米国 NIST SP 800-171 改訂 3 版非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護とNIST SP 800-171A 改訂3版管理対象非機密情報のセキュリティ要件の評価 (2024.05.14): まるちゃんの情報セキュリティ気まぐれ日記

March 2025
Sun	Mon	Tue	Wed	Thu	Fri	Sat
						1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28	29
30	31

2024.05.20

米国 NIST SP 800-171 改訂 3 版非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護とNIST SP 800-171A 改訂3版管理対象非機密情報のセキュリティ要件の評価 (2024.05.14)

こんにちは、丸山満彦です。

NISTが、SP 800-171 改訂3版非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護 とSP 800-171A 改訂3版管理対象非機密情報のセキュリティ要件の評価の確定版を公表していますね...

SP800-53が改正されたのに合わせた改訂ですが、2020年2月に第2版が公表されていますので、4年ちょっとでの改訂となります。

3.14. System and Information Integrity	3.14. システムと情報の完全性
3.15. Planning	3.15. 計画
3.16. System and Services Acquisition	3.16. システムとサービスの取得
3.17. Supply Chain Risk Management	3.17. サプライチェーンリスクマネジメント

が新たに追加されています...

● NIST - ITL

・2024.05.14 NIST SP 800-171 Rev.3 Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations

NIST SP 800-171 Rev. 3 Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations	NIST SP 800-171 改訂3版非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護
Abstract	概要
The protection of Controlled Unclassified Information (CUI) is of paramount importance to federal agencies and can directly impact the ability of the Federal Government to successfully conduct its essential missions and functions. This publication provides federal agencies with recommended security requirements for protecting the confidentiality of CUI when the information is resident in nonfederal systems and organizations. The requirements apply to components of nonfederal systems that process, store, or transmit CUI or that provide protection for such components. The security requirements are intended for use by federal agencies in contractual vehicles or other agreements established between those agencies and nonfederal organizations. This publication can be used in conjunction with its companion publication, NIST Special Publication 800-171A, which provides a comprehensive set of procedures to assess the security requirements.	管理対象非機密情報（CUI）の防御は、連邦政府機関にとって最も重要であり、連邦政府がその重要な任務と機能を成功裏に遂行する能力に直接影響を与える可能性がある。本書は、連邦機関に対し、情報が連邦機関以外のシステムおよび組織に常駐している場合に、CUIの機密性を保護するための推奨セキュリティ要件を提供する。要件は、CUIを処理、保管、または送信する連邦政府以外のシステムのコンポーネント、またはそのようなコンポーネントの保護を提供するコンポーネントに適用される。本セキュリティ要件は、連邦機関と非連邦機関との間で締結される契約書またはその他の合意において、連邦機関が使用することを意図している。本書は、その関連刊行物である NIST 特別刊行物 800-171A と併せて使用することができ、セキュリティ要件を評価するための包括的な手順を提供する。

・[PDF] NIST.SP.800-171r3

・[DOCX] [PDF] 仮訳

目次...

1. Introduction	1. 序文
1.1 Purpose and Applicability	1.1 目的と適用性
1.2 Organization of This Publication	1.2 本出版物の構成
2. The Fundamentals	2. 基礎
2.1. Security Requirement Assumptions	2.1. セキュリティ要件の前提
2.2. Security Requirement Development Methodology	2.2. セキュリティ要件の開発
3. The Security Requirements	3. セキュリティ要件
3.1. Access Control	3.1. アクセス制御
3.2. Awareness and Training	3.2. 意識向上およびトレーニング
3.3. Audit and Accountability	3.3. 監査および説明責任
3.4. Configuration Management	3.4. 構成管理
3.5 Identification and Authentication	3.5. 識別および認証
3.6. Incident Response	3.6. インシデント対応
3.7. Maintenance	3.7. 保守
3.8. Media Protection	3.8. 媒体保護
3.9. Personnel Security	3.9. 職員のセキュリティ
3.10. Physical Protection	3.10. 物理的保護
3.11. Risk Assessment	3.11. リスクアセスメント
3.12. Security Assessment and Monitoring	3.12. セキュリティアセスメントと監視
3.13. System and Communications Protection	3.13. システムおよび通信の保護
3.14. System and Information Integrity	3.14. システムおよび情報の完全性
3.15. Planning	3.15. 計画
3.16. System and Services Acquisition	3.16. システムとサービスの取得
3.17. Supply Chain Risk Management	3.17. サプライチェーンのリスクマネジメント
References	参考文献
Appendix A. Acronyms	附属書 A. 略語
Appendix B. Glossary	附属書 B. 用語集
Appendix C. Tailoring Criteria	附属書 C. テーラリング基準
Appendix D. Organization-Defined Parameters	附属書 D. 組織定義のパラメータ
Appendix E. Change Log	附属書 E. 変更履歴

評価のほう...

・2024.05.14 NIST SP 800-171A Rev. 3 Assessing Security Requirements for Controlled Unclassified Information

NIST SP 800-171A Rev. 3 Assessing Security Requirements for Controlled Unclassified Information	NIST SP 800-171A 改訂3版管理対象非機密情報のセキュリティ要件の評価
Abstract	概要
The protection of Controlled Unclassified Information (CUI) is of paramount importance to federal agencies and can directly impact the ability of the Federal Government to successfully conduct its essential missions and functions. This publication provides organizations with assessment procedures and a methodology that can be used to conduct assessments of the security requirements in NIST Special Publication 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. The assessment procedures are flexible and can be customized to the needs of organizations and assessors. Assessments can be conducted as independent, third-party assessments or as government-sponsored assessments. The assessments can be applied with various degrees of rigor based on customer-defined depth and coverage attributes.	管理対象非機密情報（CUI）の保護は、連邦政府機関にとって最も重要であり、連邦政府がその重要な任務と機能を成功裏に遂行する能力に直接影響を与える可能性がある。本書は、NIST特別刊行物800-171「非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護」のセキュリティ要件の評価を実施するために使用できる評価手順および手法を組織に提供する。評価手順は柔軟であり、組織や評価者のニーズに合わせてカスタマイズすることができる。アセスメントは、独立したサードパーティによるアセスメントとして実施することも、政府主催のアセスメントとして実施することもできる。アセスメントは、顧客が定義した深さとカバレッジの属性に基づいて、さまざまな厳しさで適用することができる。