理解 NIST SP 800‑171：政府承包商合规要点

本文原刊于 IndustryWeek。客座作者 Traci Spencer，TechSolve Inc. 资助项目经理，俄亥俄 MEP 西南区域合作伙伴，属 MEP 国家网络^TM。

涉足政府合同供应链的制造商可预期此类订单带来额外收入，水平可能超常规业务。但获取并保持此类工作意味着遵守《联邦采购条例》（FAR）和《国防联邦采购条例补充》（DFARS）。

FAR 是管辖美国政府所有采购和合同程序的法规体系。DFARS 作为补充与 FAR 并行。国防部（DoD）是 DFARS 行政主体，但 DFARS 要求覆盖面超出该部门。

NIST SP 800-171 是 NIST 特别出版物，提供保护受控非密信息（CUI）机密性的建议要求。国防承包商须实施 NIST SP 800-171 建议要求，以证明其提供充分安全保护国防合同涵盖的受控国防信息，满足 DFARS 条款 252.204-7012 要求。若制造商属 DoD、联邦总务管理局（GSA）、NASA 或其他联邦/州机构供应链一环，实施 NIST SP 800-171 安全要求势在必行。

如何实施 NIST SP 800-171？

制造商困惑如何实施 NIST SP 800-171 并最终达成 DFARS 合规、是否有专业资源助其避开陷阱，这很正常。首要一点：DFARS 合规很可能需要与精通 NIST SP 800-171 要求的网络安全顾问合作。

建议小制造商求助所在州制造业延伸伙伴关系（MEP）中心。作为 MEP 国家网络™ 一部分、连接 NIST 的大型组织，当地 MEP 中心代表对 NIST SP 800-171 有实务认知，可助企业备战 DFARS 合规。过程长短视公司运营环境和信息系统复杂度而定，但实施 NIST SP 800-171 是公司保护信息的必要过程。

成功计划包含什么？

想保留 DoD、GSA、NASA 及其他联邦州机构合同的制造商，需有符合 NIST SP 800-171 要求的计划。DFARS 网络安全条款 252.204-7012 于 2017 年 12 月 31 日生效，涉及非联邦系统（如政府承包商使用的系统）上 CUI 的处理、存储或传输。

制造商首要步骤之一是识别阻碍 DFARS 合规的差距，据此决定推进路径。

制造商如何着手合规？

MEP 国家网络提供专用资源，助制造商了解企业网络安全态势、理解 DFARS 合规对自身含义。企业可自查 DFARS 合规是否适用，查看建议工厂车间加固步骤的信息图。

MEP 国家网络还提供制造商反复参考的特定资源：NIST 自评手册（NIST Handbook 162）。逾 150 页，帮助读者评估设施、判断距实施 NIST SP 800-171 有多近、从而了解离 DFARS 合规有多近。也帮助确定改进投入资金以最大化影响的重点领域。

例如，手册内容建议如何开展评估、与哪些相关员工讨论安全要求。读者会注意到每个评估问题有“替代方法”选项。指制造商可能发现某些 NIST SP 800-171 要求不适用。此时可采用不同但同等有效的安全维护方式——前提是通知正确政府部门并获批准。

制造厂代表还可通过观看研讨会视频加深对合规关键要素的理解，视频梳理手册核心内容。

复杂性不应成障碍

制造商初看政府合同网络安全要求可能过于复杂，尤其小规模运营时。

但利用可用资源——含当地 MEP 中心——制造商会意识到：通过实施 NIST SP 800-171 要求，达成并保持 DFARS 合规是可能的，从而打开获得经济回报丰厚、声誉提升的政府合同大门。

当地 MEP 中心是制造商着手制定实施 NIST SP 800-171 网络安全要求详细计划的理想资源。

每个 MEP 中心拥有公私部门资源，助企业更自信达成合规。网点覆盖全美 50 州和波多黎各。