از قوانین گسترده؛تر مانند GDPR گرفته تا مقررات خاص صنعت مانند HIPAA، امروزه اکثر سازمانها باید از نوعی دستورالعمل حفاظت از داده پیروی کنند. برخی از مشاغل حتی ممکن است مجبور باشند از مقررات حفاظت از دادههای متعددی پیروی کنند. به این ترتیب، رعایت مقررات حفاظت از دادهها به طور فزایندهای پیچیده شده است.
انتشارات ویژه مؤسسه ملی استانداردها و فناوری ۱۷۱-۸۰۰ (NIST SP 800-171) یکی از این چارچوبهای حفاظت از دادهها است – البته یک چارچوب خاص. اما NIST SP ۸۰۰-۱۷۱ فقط برای سازمانهای غیرفدرالی که اطلاعات طبقهبندینشده کنترلشده دولتی (CUI) را مدیریت میکنند، کاربرد دارد. این یک چارچوب بسیار پیچیده است، به ویژه برای مشاغل کوچک تا متوسط (SMB)، و به این ترتیب، شایسته توجه است. بنابراین، بیایید نگاهی به NIST SP ۸۰۰-۱۷۱ بیندازیم.
NIST چیست؟
مؤسسه ملی استاندارد و فناوری، یک آژانس غیر نظارتی وزارت بازرگانی ایالات متحده (DOC) است. این موسسه نوآوری و رقابت صنعتی را با پیشرفت علم اندازه گیری، استانداردها و فناوری ارتقا میدهد. همچنین دستورالعملها و بهترین شیوهها را در زمینههای مختلف از جمله امنیت سایبری، فناوری اطلاعات، تولید و مهندسی توسعه داده و حفظ میکند.
NIST SP ۸۰۰-۱۷۱ چیست؟
NIST Special Publication ۸۰۰-۱۷۱ مجموعهای از دستورالعملهایی است که توسط NIST برای کمک به سازمانهای غیر فدرال برای محافظت از CUI در سیستمها و شبکههای خود تهیه شده است. این دستورالعملها کنترلهای امنیتی خاص و بهترین شیوهها را برای محافظت از اطلاعات حساس از دسترسی، افشا و از دست دادن غیرمجاز مشخص میکند. در حالی که این یک مقررات قانونی نیست، سازمانهایی که به نمایندگی از دولت CUI را مدیریت میکنند، طبق قرارداد موظف به پیروی از NIST SP ۸۰۰-۱۷۱ هستند.
این چارچوب برای کسب و کارهای کوچک و متوسط (SMB) که اطلاعات طبقه بندی نشده کنترل شده (CUI) را از طرف دولت فدرال ایالات متحده اداره میکنند، اعمال میشود. برای مطابقت با NIST SP ۸۰۰-۱۷۱، سازمانها باید قابلیتهای رمزگذاری، کنترلهای دسترسی، سیستمهای مانیتورینگ، و قابلیتهای واکنش به حادثه را برای تقویت وضعیت امنیت سایبری خود و محافظت از CUI پیادهسازی کنند.
CUI یا اطلاعات طبقه بندی نشده کنترل شده چیست؟
CUI اطلاعات طبقهبندینشدهای است که بر اساس قانون، مقررات یا خطمشی سراسری دولت به حفاظت یا کنترل نیاز دارد. CUI دستهای از اطلاعات حساس است که معیارهای طبقه بندی طبق دستور اجرایی ۱۳۵۲۶ را ندارد، اما به دلیل حساسیت و تأثیر بالقوه آن بر امنیت ملی، حریم خصوصی یا سایر منافع، همچنان نیازمند حفاظت است. نمونه هایی از CUI عبارتند از:
- اطلاعات کسب و کار اختصاصی
- دادههای دولتی حساس اما طبقه بندی نشده
- اطلاعات قابل شناسایی شخصی (PII)
- اطلاعات حساس برای مجریان قانون
تأثیرات NIST SP ۸۰۰-۱۷۱ بر SMB ها
- تعهدات انطباق – شرکتهای کوچک و متوسط که با CUI دولتی سروکار دارند باید تعهدات خود را رعایت کنند یا با جریمههای مالی، اختلافات قراردادی یا آسیب به اعتبار روبرو شوند.
- امنیت پیشرفته – NIST SP ۸۰۰-۱۷۱ اجرای کنترلهای امنیتی جامعی را که برای محافظت از CUI طراحی شده است را الزامی میکند. SMBها باید روی فناوریها، فرآیندها و آموزش سرمایه گذاری کنند تا رمزگذاری، کنترلهای دسترسی، سیستمهای مانیتورینگ و قابلیتهای واکنش به حادثه را اعمال کنند و وضعیت امنیتی آنها را به طور قابل توجهی افزایش دهند.
- ملاحظات هزینه – SMBهایی که به دنبال انطباق با NIST SP ۸۰۰-۱۷۱ هستند، اغلب نیاز به سرمایه گذاری مالی در زیرساخت، پرسنل و تعمیر و نگهداری مداوم دارند. با این حال، مشاغل کوچک تا متوسط اغلب با بودجه محدود و منابع محدود کار میکنند و ممکن است برای تخصیص بودجه لازم برای دستیابی به انطباق با مشکل مواجه شوند.
- مزیت رقابتی – انطباق با NIST SP ۸۰۰-۱۷۱ میتواند به SMB ها یک مزیت رقابتی ارائه دهد، به ویژه در هنگام رقابت برای قراردادهای دولتی. سازمانهای کوچکتر ممکن است با پیش از دستیابی به انطباق ۱۷۱-۸۰۰ NIST، قراردادهای دولتی را بر رقبای بزرگتر خود برنده شوند.
- پیامدهای زنجیره تامین – شرکتهای کوچک و متوسط که مستقیماً تحت قراردادهای دولتی نیستند، اما در یک زنجیره تامین دولتی کار میکنند، تابع الزامات انطباق همتایان بزرگتر خود هستند. عدم رعایت NIST SP ۸۰۰-۱۷۱ میتواند به روابط تجاری آسیب برساند، و منجر به از دست رفتن درآمد و ناکارآمدی شود.
- الزامات بیمه سایبری – برخی از ارائه دهندگان بیمه ممکن است رعایت NIST SP ۸۰۰-۱۷۱ را به عنوان پیش نیاز پوشش بیمه امنیت سایبری الزامی کنند. SMB هایی که به استاندارد پایبند هستند ممکن است واجد شرایط دریافت حق بیمه کمتر، پوشش جامع و استراتژیهای کاهش ریسک متناسب با نیازهای آنها باشند.
چگونه SMB ها میتوانند با NIST SP ۸۰۰-۱۷۱ مطابقت داشته باشند
- از کارشناسان یا مشاوران امنیت سایبری آشنا با الزامات و بهترین شیوههای NIST SP ۸۰۰-۱۷۱ راهنمایی بخواهید.
- از راهحلها و فناوریهای مقرونبهصرفه متناسب با نیازهای سازمانی و محدودیتهای بودجه استفاده کنید.
- اولویتبندی کنترلهای امنیتی حیاتی بر اساس ارزیابی ریسک و اهداف انطباق، با تمرکز بر بخشهایی که بیشترین تأثیر را دارند.
- فرهنگ بهبود مستمر و یادگیری را بپذیرید، همکاری بین تیمهای داخلی و شرکای خارجی را برای رسیدگی به چالشهای امنیت سایبری به طور جمعی تقویت کنید.
منبع: https://www.tripwire.com/state-of-security/impact-nist-sp-800-171-smbs
