NIST SP 800-171 コンプライアンスとは？機密データを守るためのガイド

NIST SP 800-171 は、国防総省（DoD）のすべての請負業者が長年にわたり従うことを求められてきた要件を詳述しています。ガイドラインは 2020 年に更新され、改訂 3 は 2023 年 5 月に公開されました。

Netwrix は、組織が NIST 800-171 コンプライアンスを達成し、維持し、そして証明できるよう支援する準備ができています。以下では、主要な要件を要約し、規制への取り組みを始めるための推奨事項を紹介します。

NIST 800-171 とは？

NIST Special Publication 800-171 は、連邦政府以外の情報システムおよび組織における管理された非機密情報（CUI）の保護について扱っています。これは、連邦または州の機関にサービスを提供する組織が、CUI を処理または保管するシステムを安全にし、厳格に管理することを支援することを目的としています。

Executive Order 13556 は「保護が必要な非機密情報を行政府がどのように扱うかを標準化する」ため、政府全体にわたる CUI プログラムを確立しました。Controlled unclassified Information は、非機密に分類されているものの、それでも保護が必要な、政府によって作成されたあらゆる情報を指します。これには、電子メール、電子ファイル、設計図（ブループリント）、図面、企業または請負業者の専有情報（例：発注書や契約書）、および物理的な記録が含まれます。NIST 800-171 により保護されるすべての種類の機微情報は、CUI registry に概要が示されています。

NIST SP 800-171 の要件を遵守する必要があるのは誰ですか？

NIST SP 800-171 の準拠は、CUI を処理・保存・送信する非連邦組織に求められます。例には次のようなものがあります：

• 防衛請負業者
• 連邦政府機関との契約によって、CUI の作成・取扱い・保存が伴う組織
• 米国政府と連携する医療機関（特に、VA を通じて退役軍人にサービスを提供する機関）
• CUI を使用し、連邦機関の資金提供を受けている大学や研究機関
• NASA またはその他の政府機関と契約している航空宇宙・航空企業
• 製造業者（軍用装備など）連邦政府の用途向けの製品を扱う企業
• 政府の IT システムを扱う IT サービス提供事業者、または連邦機関向けにクラウド サービスを提供する事業者
• 政府機関のために金融データを管理する、または政府に対して金融サービスを提供する金融機関
• 政府案件や機密性の高い法的事項に取り組む法律事務所
• 政府請負業者のサプライチェーンの一部であり、CUI にアクセスできる組織

組織はどのようにコンプライアンスを証明しますか？

元の NIST SP 800-171 では、組織が自らのコンプライアンスのレベルについて自己証明（self-attest）することが認められていましたが、Rev 2 以降は、組織のコンプライアンスのレベルを判断するために、認定された評価者による評価を受ける必要があります。その基準は Cybersecurity Maturity Model Certification（CMMC）です。

CMMC は、サイバーセキュリティの成熟度レベルの体系を詳述する評価フレームワークおよび認証プログラムです。元の CMMC では、レベルはレベル 1（Basic Cyber Hygiene）からレベル 5（Advanced/Progressive）までの範囲でした。バージョン 2 では、このモデルをサイバーセキュリティの 3 つのレベルに整理し、各レベルの要件を NIST のサイバーセキュリティ基準に合わせます。CUI を取り扱うあらゆる事業は、契約で求められる CMMC レベルに準拠するために認証を受ける必要があります。

NIST SP 800-171 の統制

NIST SP 800-171 は、CUI を保護するためのガイドラインを提供する 14 の管理（コントロール）ファミリーで構成されています。ここでは、それらの管理ファミリーと短いチェックリストを紹介します。最も重要な NIST のセキュリティ要件に、できるだけ効果的に準拠できているかを確認するのに役立ちます

アクセス制御

このファミリーは NIST SP 800-171 の中で最も規模が大きく、22 のコントロールで構成されています。IT 環境におけるすべてのアクセスイベントを監視し、システムとデータへのアクセスを制限する必要があります。

NIST SP 800-171 では、次のアクションに重点的に取り組むことを推奨しています:

• 最小権限の原則を実装します。
• 組織内で CUI の流れを制御し、モバイルデバイス上で暗号化します。
• リモートアクセスを監視し、制御します。
• モバイルデバイスの使用を管理し、制限します。
• 個人の職務を分離して、異常な活動の発生を防ぐのに役立てます。
• 暗号化と認証を使用して、無線アクセスを承認し保護します。

意識向上とトレーニング

この一連の管理策では、管理者、システム管理者、その他の利用者が、自身の活動に関連するセキュリティリスクを認識していることを確実にする必要があります。組織のセキュリティポリシーおよび基本的なサイバーセキュリティの実践に精通しており、内部者および外部者の脅威を認識し、対応できるようであることが求められます。

適切な意識を確保する最善の方法は、従業員に対して定期的にセキュリティトレーニングを実施することです。

監査と説明責任

このファミリーは 9 つの管理策で構成されており、セキュリティ調査で使用するために監査記録を保持し、利用者が自らの行為に対して説明責任を負うようにすることが求められます。組織は、未承認の活動を検出し、速やかに対応するために、監査ログを収集して分析する必要があります。

次の手順により、これらのコントロールを実装できます：

• 監査対象のイベントを確認し、更新します。
• 監査プロセスにおける失敗を報告します。
• オンデマンド分析を支援し、コンプライアンスの証拠を提供するためにレポートを生成します。
• 監査システムを不正なアクセスから保護します。

設定管理

このカテゴリには、さらに 9 つの管理策（controls）があります。ユーザーがインストールしたソフトウェアや、組織のシステムに加えられるすべての変更を制御し、監視できるように、基準となる設定（baseline configurations）を確立し、維持する必要があります。

次の活動に重点を置く必要があります。

• IT システムの変更によりアクセスが制限されたすべてのイベントを文書化してください。
• 必要な機能だけを提供するようにシステムを構成し、最小機能の原則（least functionality）を適用します。
• 必須ではないプログラム、機能、プロトコル、およびサービスの使用を制限、無効化、または防止します。
• 許可されていないソフトウェアをブラックリスト化します。

識別と認証

このファミリーには、重要なシステムへの不正アクセスを防止し、データ損失のリスクを軽減するために設計された 11 のコントロールが含まれています。ネットワーク上のユーザー、プロセス、およびデバイスの身元（アイデンティティ）を確認できる必要があります。

以下のベストプラクティスに必ず従ってください：

• ネットワークおよびローカルアクセスには多要素認証（MFA）を使用してください。
• 長期間使用されていないユーザーアカウントを無効にしてください。
• 強力な パスワードポリシーを作成してください。これには、パスワードの最低限の複雑さを強制し、暗号化されたパスワードのみを保存することが含まれます。

インシデント対応

組織は、データ侵害 やシステム停止につながり得るいかなるインシデントに対しても迅速に対応できるインシデント対応戦略を備えている必要があります。

ここでの最善の推奨事項は、次のとおりです。

• セキュリティインシデントを検出、分析、対応、および報告するための機能を実装します。
• インシデント対応計画を定期的にテストしてください。

メンテナンス

不適切なシステムのメンテナンスは CUI の開示につながる可能性があるため、その情報の機密性に対する脅威となります。したがって、メンテナンスを定期的に実施することが求められます。

特に、次の点に注意してください:

• メンテナンス作業を行う個人およびチームを綿密に監視してください。
• 社外（オフサイト）での保守のために取り外す機器に、機密データが含まれていないことを確認してください。
• 診断およびテストプログラムを含むメディアに、悪意のあるコードが含まれていないことを確認してください。

メディア保護

この制御ファミリーでは、CUIを含むシステム・メディア（紙媒体とデジタル媒体の両方を含む）のセキュリティを確保することが求められます。

次のようないくつかの対策を講じる必要があります。

• メディアへのアクセスを管理し、制限します。
• デジタル・メディアに保存されている CUI を保護するために、暗号化メカニズムを実装します。
• 廃棄前に、システム・メディアに CUI が含まれていないことを確認してください。
• 識別可能な所有者がいない場合は、ポータブル記憶媒体の使用を禁止してください。

人的セキュリティ

この比較的小さな一群の管理策では、ユーザーの活動を監視し、従業員の退職やデータ転送などの人事上の対応の実施中および実施後に、CUI を含むすべてのシステムが保護されていることを確認する必要があります。

物理的保護

物理的保護には、物理的な事象に起因する損傷や紛失から、ハードウェア、ソフトウェア、ネットワーク、およびデータを保護することが含まれます。

NIST SP 800-171 では、組織に次のことを求めています:

• システムおよび機器への物理的アクセスを、許可されたユーザーに制限します。
• 物理的アクセスの監査ログを維持します。
• 物理的アクセス機器を制御します。

リスク評価

NIST SP 800-171 の対象となる組織は、IT 環境に対する潜在的なリスクを定期的に評価する必要があります。また、重要なシステムおよびアプリケーションの脆弱性をスキャンし、risk assessment の結果に従ってそれらを是正する必要があります。

セキュリティ評価

組織は、セキュリティ制御がデータを安全に保つのに十分に効果的かどうかを判断するために、それらを監視し評価する必要があります。次のことを行う必要があります：

• システムの境界、システム間の関係、およびセキュリティ要件を実装するための手順を説明する計画を用意してください。
• その計画を定期的に更新してください。
• 重要なシステムにおける脆弱性を低減または解消するためのアクションプランを実行してください。

システムおよび通信の保護

このかなり大規模なファミリーは、ITシステムによって送信または受信される情報を監視、制御、および保護するための16の管理策で構成されています。

特に、次の点が必要です。

• 情報の不正な転送を防止する。
• 内部ネットワークから分離された、公開的にアクセス可能なシステムコンポーネント用のサブネットワークを構築します。
• CUI の不正な開示を防ぐために、暗号化メカニズムを実装します。
• デフォルトではネットワーク通信トラフィックを拒否します。
• モバイルコードおよび VoIP 技術の使用を制御し、監視します。

システムおよび情報の完全性

この一連の管理策では、システムの不具合を迅速に特定して修正するとともに、重要な資産を悪意のあるコードから保護することが求められます。

これには次のタスクが含まれます:

• ITシステムの不正使用、または別のサイバー脅威を示唆する可能性のあるセキュリティ警告を監視し、直ちに対応します。
• ITシステムに対して定期的なスキャンを実施し、外部ソースからダウンロード、開封、または実行されるファイルをその都度スキャンします。
• 新しいバージョンが利用可能になり次第、ウイルス対策ソフト、マルウェア対策ソフト、および関連ツールをすぐに更新します。

NIST SP 800-171 準拠のためのベストプラクティス

以下のベストプラクティスにより、NIST SP 800-171への準拠を進められます：

• 要件を理解する：NIST Special Publication 800-171 の要件、管理策、および推奨されるセキュリティの実践方法を含めて、しっかりと時間をかけて学習してください。
• データを分類する：NIST SP 800-171 に準拠するには、組織が取り扱う CUI が何かを把握し、それを保護するために適切なセキュリティ管理策を適用できるようにする必要があります。
• 厳格なアクセス制御を実装します： 強力な認証や効果的な パスワードポリシー 、ロールベースのアクセス、定期的なアクセス確認などの手法で CUI へのアクセスを制御します。
• 定期的なセキュリティトレーニングを提供する：従業員に対して、サイバーセキュリティのベストプラクティスと、NIST 準拠の重要性を教育してください。ヒューマンエラーはセキュリティ侵害のよくある原因なので、組織の人員に常に情報を共有し、注意を促し続けることが重要です。
• アクティビティを監査する：セキュリティ上の脅威を速やかに検知して対応できるよう、継続的な監視を実装します。
• インシデント対応計画を用意する：セキュリティ侵害が発生した場合に取るべき手順を詳しく定めた包括的な計画を作成します。効果的に対応できるように準備しておくことで、セキュリティインシデントの影響を大幅に最小化できます。
• サードパーティのリスクを管理する：第三者のベンダーやサービス提供事業者と連携する場合、彼らも NIST の準拠基準を遵守していることを確認してください。相手のセキュリティ運用を評価し、契約書にはデータ保護に関する明確なガイドラインを定めましょう。
• 記録を保持する：コンプライアンスの取り組み、評価、セキュリティインシデントに関する詳細な記録を維持してください。ドキュメントは、コンプライアンスの提示に役立つだけでなく、インシデント発生後の分析や改善にも役立ちます。

NIST SP 800-171 コンプライアンス チェックリスト

次のチェックリストは、NIST 800-171 への準拠を確認するのに役立ちます。:

• 連邦または州の機関に相談してください。DoD の請負業者でなくても、他の連邦政府機関にサービスを提供している場合、その機関から NIST SP 800-171 への準拠を証明するよう求められる可能性があります。連邦または州の機関があなたに期待していることと、それらの締切を十分に理解しておく必要があります。
• 自組織に適用される形で CUI を定義します。ネットワーク内で CUI が保存、処理、または送信される場所を特定してください。
• ギャップ分析を実施します。セキュリティ態勢を評価し、現在どこが準拠（コンプライアンス）できているのか、どこに追加の対応が必要なのかを判断します。
• 必要な対応を優先順位づけし、実行計画を立てます。
• ギャップ分析と優先順位付けの結果に基づいて、変更を実装します。
• 下請け（サブコントラクター）が NIST SP 800-171 に準拠していることを確認します。
• 組織が CUI をどのように保護しているかを示すドキュメントの作成を担当する人物を指名し、さらにコンプライアンス手順において IT チームおよび経営陣を関与させる役割も担ってもらいます。NIST SP 800-171 のコンプライアンスを支援するために、アドバイザリーおよび評価サービスを提供するコンサルタントもいます。

付録：関連ガイドライン

見てきたとおり、NIST 900-171 は、非連邦の請負業者が CUI をどのように保護しなければならないかを扱っています。ここでは、関連する出版物を2つ紹介します。

NIST SP 800-53

NIST 800-53 は、連邦機関が情報セキュリティシステムをどのように構築し、管理すべきかを扱っています。これは、すべての連邦機関に適用される連邦情報セキュリティ管理法（Federal Information Security Management Act: FISMA）の補足です。全体はおよそ125ページで、主に、非連邦組織の内部システムに渡される CUI 情報の保護を扱っています。たとえば、政府機関の請負業者であれば、NIST 800-171 によって指針が示されます。 一方で、連邦の職員であれば、あなたの所属部署は NIST 800-53 に整合させる必要があります。

NIST 800-53 には、NIST-800-171 に含まれていない4つの追加のセキュリティ管理策が含まれています：

• コンティンジェンシー計画 — バックアップおよび復旧プロセスの計画とテストなど、サイバーセキュリティ攻撃に備えるためのアクションを扱います。
• 計画（組織固有） — 方針の目的、範囲、役割および責任を含むセキュリティ計画を扱います
• セキュリティ評価と承認 — セキュリティ評価の実施と、機密データへのアクセスの承認を扱います
• システムおよびサービスの調達 — システムおよびサービスを、そのライフサイクル全体を通じて調達、開発、管理することに関わる内容です。

ISO 27001

ISO 27001は、世界中の組織を対象に設計された情報セキュリティ管理システムのための標準です。NIST SP 800-171 よりも柔軟で、より具体的なセキュリティ要件という形ではなく、114のコントロール（管理策）を詳細に規定しています。ISO 27001 では、正式な認証を受けるための選択肢も提供されています。

これらのフレームワークは重点領域が異なりますが、どちらも次の点の重要性を強調しています：

• リスク評価の実施
• 包括的な情報セキュリティのポリシーおよび手順の確立
• 役割と責任に基づいて、情報および情報システムへのアクセスを制限すること
• 情報セキュリティを保護する方法について人員をトレーニングする
• インシデント対応手順を策定する
• 情報セキュリティに関連する文書および記録を維持する
• サプライチェーンのパートナーのセキュリティ実践を評価し、契約にセキュリティ要件を定める

NIST Special Publication 800-171 についてもっと知りたいですか？NIST の Computer Security Resource Center (CSRC) の公式ページをご覧ください： https://csrc.nist.gov/publications/detail/sp/800-171/rev-1/final