NIST SP800-171｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. NIST SP800-171
             

NIST SP800-171

NIST SP 800-171は、アメリカ国立標準技術研究所（NIST）が発行したガイドラインで、非分類情報（CUI: Controlled Unclassified Information）の保護に関する要件を定めています。特に、アメリカ連邦政府と取引する民間企業やサプライヤーに適用されるもので、政府との取引に必要な情報セキュリティ基準を提供します。

このガイドラインは、民間企業が連邦政府の重要な情報を取り扱う際に、その情報を不正アクセスや漏洩から保護するためのフレームワークを提供します。

NIST SP 800-171の背景

  1. 連邦政府の情報保護の必要性 CUIは分類情報ではありませんが、機密性が求められる情報です。これには個人情報、契約情報、研究データなどが含まれます。
  2. セキュリティ標準の統一 以前は、情報保護の要件が業界や契約ごとに異なっていましたが、NIST SP 800-171は統一された基準を提供します。
  3. サイバー脅威の増加 サイバー攻撃が高度化する中で、CUIを扱うすべての企業が一定のセキュリティ要件を満たすことが求められています。

NIST SP 800-171の構造

要件のカテゴリ

NIST SP 800-171では、CUIの保護に必要な14のセキュリティファミリー（カテゴリ）に基づき、計110の具体的な要件が定められています。主なカテゴリは以下の通りです。

  1. アクセス制御（Access Control）
    • 情報やシステムへのアクセスを適切に制限します。
    • 例: ユーザーごとのアクセス権管理、リモートアクセス制御。
  2. 認証と識別（Identification and Authentication）
    • ユーザーやデバイスを一意に識別し、不正アクセスを防ぎます。
    • 例: 多要素認証の導入。
  3. 監査と説明責任（Audit and Accountability）
    • システムの活動を記録し、追跡可能性を確保します。
    • 例: ログ記録と監視。
  4. 構成管理（Configuration Management）
    • システムの設定を一貫して管理し、不適切な変更を防ぎます。
    • 例: セキュリティ設定のレビューと承認プロセス。
  5. インシデント対応（Incident Response）
    • セキュリティインシデント発生時の対応手順を整備します。
    • 例: インシデント対応計画の策定と訓練。
  6. リスク評価（Risk Assessment）
    • システムやデータのリスクを評価し、適切な対策を講じます。
    • 例: 脆弱性スキャンの実施。
  7. システムと通信の保護（System and Communications Protection）
    • データの暗号化や通信セキュリティを確保します。
    • 例: TLSやVPNの使用。
  8. 物理的保護（Physical Protection）
    • システムやデータが保存されている施設を保護します。
    • 例: サーバールームのアクセス制限。

NIST SP 800-171の適用対象

1. アメリカ連邦政府と取引のある企業

政府と契約する企業やそのサプライヤーが対象となります。特に防衛、エネルギー、研究分野で重要とされます。

2. サプライチェーン全体

主契約者だけでなく、サプライチェーン全体でCUIを取り扱う企業が基準を満たす必要があります。

3. 国際的な取引先

アメリカ政府関連の情報を扱う国際企業もNIST SP 800-171の要件に準拠することが求められる場合があります。

NIST SP 800-171への準拠ステップ

1. 現状の評価

現在のセキュリティ態勢を評価し、NIST SP 800-171とのギャップを特定します。

2. 計画の策定

特定されたギャップを埋めるための改善計画（POAM: Plan of Action and Milestones）を作成します。

3. 対策の実施

計画に基づき、技術的および運用上のセキュリティ対策を実行します。

4. 監査と検証

実施した対策が基準を満たしていることを検証し、必要に応じて改善します。

5. 継続的な改善

セキュリティ態勢を定期的に見直し、新しい脅威や技術に対応します。

NIST SP 800-171と他の規格との関係

DFARS規定（Defense Federal Acquisition Regulation Supplement）

アメリカ国防総省との契約において、NIST SP 800-171への準拠が義務付けられています。

CMMC（Cybersecurity Maturity Model Certification）

CMMCは、NIST SP 800-171を基盤としており、2020年以降、防衛契約者に対して段階的なセキュリティ成熟度の認証を義務付けています。

NIST SP 800-171のメリット

  1. セキュリティ態勢の強化 組織の情報セキュリティを体系的に向上させることができます。
  2. 政府契約の確保 基準を満たすことで、アメリカ政府や関連機関との取引を継続できます。
  3. 信頼性の向上 基準に準拠することで、取引先や顧客からの信頼が向上します。
  4. 国際的な競争力 国際市場でのセキュリティ標準を満たすことが競争力につながります。

NIST SP 800-171の課題

  1. 導入コスト 新たなセキュリティ技術や運用プロセスの導入にはコストがかかります。
  2. リソースの不足 特に中小企業では、基準を満たすための人材や技術的リソースが不足することがあります。
  3. 継続的な遵守の負担 一度基準を満たしても、新たな脅威や技術の進化に対応するため、継続的なリソース投入が必要です。

まとめ

NIST SP 800-171は、非分類情報（CUI）の保護を目的としたセキュリティ基準で、特にアメリカ政府との取引において重要な指針です。これを遵守することで、組織はサイバーセキュリティの強化、政府との取引継続、取引先からの信頼向上といった多くのメリットを得ることができます。ただし、導入や継続的な運用にはコストやリソースの確保が必要であり、戦略的な取り組みが求められます。国際的にも注目されるNIST SP 800-171は、企業のセキュリティ標準として今後ますます重要になると考えられます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。