制造商关于政府合规网络安全的 5 大高频提问

本文原刊于 Industry Today。客座作者 Jennifer Kurtz，制造商边缘网络安全项目总监，科罗拉多州 NIST MEP 中心，MEP 国家网络™ 代表。

据美国国土安全部，按报告网络攻击数计，制造业是第二大被攻击行业。此外，网络犯罪分子视中小制造商（SMM）为主要目标，因许多此类公司缺乏足够预防措施。

对国防部（DoD）承包商和分包商，照常营业已成过去。联邦政府日益依赖外部服务提供商开展业务，在保护非联邦信息系统和组织中的受控非密信息（CUI）上提高门槛。截至 2017 年 12 月 31 日，所有联邦政府承包商均须满足国防采购法规补充（DFARS）最低网络安全要求，否则面临失去合同风险。尽管截止日期已过，许多 SMM 缺乏知识和资源升级系统，不知如何满足这 110 项新安全要求。重要提示：适用于代表总务管理局（GSA）和国家航空航天局（NASA）工作的政府承包商的联邦采购条例，即将纳入类似网络安全要求。

MEP 国家网络，这个为美国制造商提供全面、经验证解决方案的公私合作伙伴关系，一直积极提供意识提升和协助，帮助美国制造商保护信息资产免受网络攻击风险。该组织及其合作伙伴也作为国家资源，服务寻求实施充分安全保护存储、处理、传输的受控非密信息的美国制造商。

以下是我从 SMM 听到的关于联邦政府 DFARS 安全指南的五个最高频问题。

问：什么是受控非密信息（CUI）？如何知我是否因合同处理此类信息？

答：受控非密信息（CUI）是政府专有数据。是政府希望保密但非关乎国家安全的信息。DFARS 条款 252.204.7012 可能出现在您合同中，但仅当您处理、存储或传输 CUI 时生效。CUI 可能包括：研发工程数据、工程图纸、规格、手册、技术报告、研究分析、计算机软件可执行代码和源代码。CUI 有特殊标记和处理说明，如 FOUO（仅供官方使用）。更多 CUI 标记信息见 CUI 注册表。

问：DFARS 合规是法律强制的吗？

答：合同含 DFARS 条款的任何承包商或分包商均依法须合规。若虚假声称合规，面临失去政府合同及所有相关收益、未来可能无资格竞标政府合同。

问：我是小企业，政府合同规模小。DFARS 合规适用我吗？

答：无论公司或合同规模，若您是处理、存储或传输 CUI 的联邦政府承包商或分包商，必须合规。网络犯罪分子盯上小公司，因其通常安全措施较少。供应链低层级公司可能比直接攻击主要目标网络更易渗透。供应链攻击可能比直接访问政府网络更容易获取受控非密政府信息。

问：如何知我公司当前是否 DFARS 合规？

答：参阅 NIST 手册 162。该手册提供分步指南，评估制造商信息系统对照 DFARS 安全要求。

问：我机构未达 DFARS 最低指南，不知从何开始合规流程？

答：实施政府批准的网络安全计划可能令人望而生畏。可先阅读 NIST SP 800-171 刊物，其概述 DFARS 要求。也可联系 MEP 国家网络，连接您当地 MEP 中心。当地 MEP 中心提供广泛免费或平价服务和举措，指导制造商完成合规流程。这些服务包括连接网络安全专家，开发详细差距分析、制定解决漏洞和其他合规问题的行动计划。

问：我公司非政府承包商，但想加强网络安全协议。可用 DFARS 指南吗？

答：完全可以。商业供应链制造商应认真考虑将 DFARS 安全要求作为管理组织风险的核心方面实施。

随着制造业日益数字化，理解、缓解和应对日益复杂的网络威胁已成为经营成本。