「NIST SP800-171」の義務を遵守するためには、企業はCUIに関連する重要なシステムのレビューやアセスメントを実施する必要があります。標準的なシステムには、エンドユーザーのワークステーションとラップトップ、サーバー、ストレージデバイス、およびルータ、ファイアウォール、スイッチ、ワイヤレスアクセスポイント(WAP)、プリンタなどのネットワークデバイスが含まれます。物理的なセキュリティにも対処する必要があります。
「NIST SP800-171」に対応する要件を、4つの主要なグループにまとめると以下のようになります。
(1)コントロール – データ管理のコントロールとプロセス
CUIへのアクセスに特化したシステムログやネットワークデバイスログなどの監査レコードがある場合は、すでにコントロール要件を満たしている場合もあります。
・適切なセキュリティ管理の評価と開発
・CUIへのアクセスに関する監査レコードの作成と維持
・暗号化を含むデータの安全な送信
・データの暗号化 など
(2)監視と管理 – 定義されたITシステムのリアルタイム監視/管理
・情報システムへのユーザーアクセスを監視、管理する
・ユーザーを認証し、マルチファクタ認証を利用する
・重要なシステムにパッチを当て、脆弱性をスキャンする
・ウイルス対策/マルウェアソリューションを導入し、活動を監視する
・悪質な活動のネットワークトラフィックを監視する など
(3)エンドユーザーの教育 – 文書化された明確なエンドユーザーの教育と手順
・エンドユーザおよびシステム管理者に、CUIを処理するための適切な手順についてトレーニングを行う
・管理者が最小限のパスワードの複雑さを遵守し、定義して実行する
・会社内の各部門がCUIをどのように管理しているかを説明する包括的な文書を準備する など
(4)セキュリティ対策 – 定義されたセキュリティ対策の実装
(ファイアウォールソリューションを導入している場合は、すでに多くの領域がカバーされている可能性があります。)
・適切なセキュリティ管理の評価と開発
・CUIを安全にバックアップする
・承認されていないソフトウェアを防止するためのポリシーを作成し、実施する
・ネットワーク/アプリケーションポート(ファイアウォール/システム)へのアクセスを識別、追跡、制限する など
「NIST SP800-171」は一度準拠すれば終わるのではなく、継続的なプロセスです。検証を定期的に計画し、継続して行っていくことが重要となります。