服务

NIST SP 800-171

NIST SP 800-171 是用于在非联邦系统上保护受控非密信息（CUI）的控制措施集，也就是说，是在您的系统上，而不是政府的系统上。它是 CMMC Level 2 之下的技术支柱，国防承包商依据 DFARS 条款 252.204-7012 必须遵守，但它的适用范围也远远超出国防领域，凡是联邦机构与承包商或受资助方共享 CUI 的地方都会用到。

该标准在 14 个类别中列出了 110 项控制措施，包括访问控制、事件响应、配置管理、介质保护等等。其中没有什么奇特之处，都是人们熟悉的安全卫生实践。让它难以应对的是广度和文档负担：您需要证明而不仅仅是声称每项控制措施已经落实，这通常意味着要有一份描述您实施情况的系统安全计划（System Security Plan），以及针对尚未满足事项的行动与里程碑计划（POA&M）。

真正产生约束力的地方

我看到企业浪费最多时间的两个地方：一是不清楚 CUI 究竟存放在环境中的哪里，于是“哪些必须符合 800-171”的范围不断膨胀，涵盖了本无需纳入范围的系统；二是有真实的安全实践，却从未以能够清晰对应评估员或合同官员期望看到的控制措施表述的方式写下来。两者都可以解决，而且主动解决要比在合同审查期间解决便宜得多。

我会怎么做

首先，找到并划定 CUI 实际流转的确切位置，这一范围界定的决定几乎驱动着后续的一切。然后是逐项控制措施的诚实差距评估，而不是自我美化的评估，接着是优先处理最高风险缺口的整改计划，而不是挑最容易勾选的先做。我会帮助您建立系统安全计划和 POA&M，记录您所处的位置，并且写得经得起真正的审视，而不是仅仅看起来完整。

如果您在处理 CUI，需要了解自己相对于 800-171 的真实处境，无论是首次评估，还是合同续签前的复核，请联系我。