NIST SP 800-171
La norma NIST SP 800-171 es el conjunto de controles destinado a proteger la información controlada no clasificada (CUI) cuando se encuentra en un sistema no federal —es decir, en sus sistemas, no en los del Gobierno—. Constituye la base técnica del nivel 2 del CMMC, y es obligatorio para los contratistas de defensa según la cláusula 252.204-7012 del DFARS, aunque su aplicación se extiende mucho más allá del ámbito de la defensa, a cualquier situación en la que una agencia federal comparta CUI con un contratista o un beneficiario de una subvención.
La norma establece 110 controles repartidos en 14 familias: control de acceso, respuesta a incidentes, gestión de la configuración, protección de soportes, etc. Nada de ello es exótico; se trata de prácticas de seguridad reconocibles. Lo que la hace exigente es su amplitud y la carga que supone la documentación: es necesario demostrar, y no solo afirmar, que cada control está implantado, lo que suele implicar un Plan de Seguridad del Sistema que describa su implementación y un Plan de Acción y Hitos (POA&M) para todo aquello que aún no se haya cumplido.
Dónde tiene realmente repercusión
Los dos aspectos en los que observo que las empresas pierden más tiempo son: no saber exactamente dónde se encuentra la información controlada (CUI) en su entorno, por lo que el alcance de «lo que debe cumplir con la norma 800-171» se amplía desmesuradamente hasta abarcar sistemas que nunca deberían haber estado incluidos en dicho alcance; y el hecho de contar con prácticas de seguridad reales que nunca se han documentado de forma que se correspondan claramente con el lenguaje de controles que un evaluador o un responsable de contratación espera encontrar. Ambos problemas tienen solución, y resulta mucho más económico solucionarlos de forma proactiva que durante la revisión de un contrato.
Cómo lo abordaría yo
En primer lugar, identifique y delimite con exactitud dónde circula realmente la información controlada (CUI); esa decisión sobre el alcance determina prácticamente todo lo que viene a continuación. A continuación, realice una evaluación honesta de las deficiencias, control por control, sin autoelogios, seguida de un plan de corrección que aborde primero las deficiencias de mayor riesgo, en lugar de las que resulten más fáciles de tachar de la lista. Le ayudaré a elaborar el Plan de Seguridad del Sistema y el POA&M que documenten su situación actual, redactados de tal forma que resistan un escrutinio riguroso y no se limiten a parecer completos.
Si maneja información controlada (CUI) y necesita saber cuál es su situación real con respecto a la norma 800-171 —ya sea su primera evaluación o una actualización previa a la renovación de un contrato—, Contacte conmigo.