O NIST propõe requisitos de segurança reforçados para determinados contratantes governamentais

O Instituto Nacional de Padrões e Tecnologia (NIST) anunciou alterações propostas à Publicação Especial (SP) 800-171 do NIST, Proteção de Informações Controladas Não Classificadas em Sistemas e Organizações Não Federais. As alterações propostas são duplas: (1) fazer pequenas alterações editoriais e esclarecimentos à SP 800-171 existente e (2) propor requisitos de segurança reforçados para programas críticos e ativos de alto valor para proteger contra ameaças persistentes avançadas (APT) numa nova publicação, a SP 800-171B. Essas propostas não afetarão apenas os contratados do governo que estão diretamente sujeitos aos requisitos por meio de seus acordos com o governo, mas também podem se estender ao setor privado. Essas propostas estão abertas para comentários públicos até 2 de agosto de 2019*.

Publicados originalmente em 2015, os controlos NIST SP 800-171 foram concebidos para definir padrões mínimos de segurança para contratantes governamentais que processam, armazenam ou transmitem informações controladas não classificadas (CUI). Os tipos de informações consideradas CUI estão listados no Registo CUI e incluem uma ampla gama de informações, desde informações fiscais federais até informações críticas de defesa. As revisões propostas para o SP 800-171, Revisão 2, são pequenas alterações editoriais; nenhuma alteração foi proposta para os requisitos básicos ou derivados de segurança. O NIST declarou que uma atualização abrangente do SP 800-171 será publicada na Revisão 3.

No entanto, o NIST propôs novos padrões de segurança rigorosos para sistemas e organizações não federais que suportam programas críticos ou fazem parte de ativos de alto valor — como sistemas de armas — em sua nova publicação, SP 800-171B. O SP 800-171B do NIST baseia-se nos requisitos de segurança estabelecidos no SP 800-171. Como os controlos do NIST SP 800-171 são frequentemente citados em acordos do setor privado como requisitos mínimos para fornecedores que processam, armazenam ou transmitem dados de organizações, os controlos propostos provavelmente se espalharão para outros setores e afetarão os fornecedores, independentemente de eles terem contratos com o governo.

O que implicam os novos requisitos da SP 800-171B?

Os novos requisitos da NIST 800-171B têm como objetivo complementar (em vez de substituir) a SP 800-171 e estabelecer um padrão substancialmente mais elevado para as práticas mínimas de segurança nas organizações aplicáveis, em comparação com a SP 800-171 de forma mais geral. Especificamente, a SP 800-171B adiciona 32 requisitos de segurança aprimorados aos 110 controlos de segurança listados na SP 800-171, com foco em três componentes principais: (1) uma arquitetura resistente à penetração; (2) operações de limitação de danos; e (3) projeto de sistemas para resiliência cibernética e capacidade de sobrevivência. Por exemplo, a NIST 800-171B adiciona os três requisitos seguintes aos controlos existentes relacionados com o acesso a CUI (limitando ainda mais os direitos de acesso): (1) empregar autorização dupla para executar operações críticas ou sensíveis do sistema e da organização; (2) restringir o acesso a sistemas e componentes do sistema apenas aos recursos de informação que são propriedade, fornecidos ou emitidos pela organização; e (3) empregar soluções seguras de transferência de informação para controlar os fluxos de informação entre domínios de segurança em sistemas conectados.

Para a maioria das empresas, os requisitos aprimorados provavelmente são mais onerosos do que os requisitos gerais da NIST SP 800-171. Um exemplo dispendioso de um novo requisito é que as organizações devem estabelecer e manter um centro de operações de segurança em tempo integral e uma equipa de resposta a incidentes que possa ser mobilizada para qualquer local em 24 horas. A proposta prevê que o NIST permitirá que as organizações contratem terceiros para cumprir essas novas normas, em vez de exigir que as organizações tenham a capacidade de cumprir as normas internamente.

Como a norma SP 800-171B afetará as organizações?

De acordo com a SP 800-171B, as organizações só terão de cumprir a SP 800-171B «quando exigido por uma agência federal num contrato, subvenção ou outro acordo». Assim, uma vez finalizada a SP 800-171B, as organizações devem rever os seus acordos para determinar se o cumprimento é necessário. Conforme mencionado acima, é provável que as organizações do setor privado exijam cada vez mais que os fornecedores cumpram os requisitos mais rigorosos para os dados da própria organização que esta considera altamente confidenciais — especialmente organizações com grandes volumes de dados confidenciais. Assim, e independentemente de quando a NIST SP 800-171B for emitida na sua forma final, as organizações que sabem que provavelmente estarão sujeitas a esses novos requisitos devem começar a pensar em como implementá-los. Alguns desses requisitos exigirão novas tecnologias, formações e funcionários, portanto, quanto mais cedo cada organização criar um plano e uma estratégia de implementação, mais suave e econômica será a implementação.

Como pode comentar estas propostas?

Os comentários devem ser enviados por e-mail para [email protected] ou em https://www.regulations.gov, processo NIST-2019-0002.

Para saber mais sobre as propostas ou para obter ajuda para enviar um comentário, entre em contacto com qualquer um dos autores para obter mais informações.

*Nota do editor: Data atualizada em 10 de julho de 2019.