Alles wat u moet weten over NIST 800-172

NIST 800-172 is een speciale publicatie van het National Institute of Standards and Technology (NIST) die geavanceerde beveiligingsvereisten uiteenzet. Opgesteld in februari 2021, richt het zich primair op het verbeteren van de bescherming van controlled unclassified information (CUI) in niet-federale systemen en organisaties. NIST 800-172 is met name van groot belang voor overheidsinstanties en hun private partners die gevoelige informatie uitwisselen die, indien gecompromitteerd, de nationale veiligheid kan beïnvloeden. Het gaat verder dan de basismaatregelen voor beveiliging en benadrukt de noodzaak van verhoogde waakzaamheid en robuuste verdedigingsmechanismen.

Met de toenemende complexiteit van cyberdreigingen biedt NIST 800-172 een uitgebreid raamwerk om risico’s in verband met advanced persistent threats (APT’s) te beperken. Door de richtlijnen van NIST 800-172 te volgen, kunnen organisaties hun beveiligingsstatus aanzienlijk verbeteren en de veiligheid van kritieke data en infrastructuur waarborgen.

Wat is NIST 800-172?

NIST 800-172 is een speciale publicatie ontwikkeld door het National Institute of Standards and Technology (NIST). Het biedt een uitgebreide set van geavanceerde beveiligingsvereisten die specifiek zijn ontworpen om controlled unclassified information (CUI) te beschermen in niet-federale systemen en organisaties. Deze publicatie bouwt voort op de fundamentele beveiligingscontroles die zijn gespecificeerd in NIST Special Publication 800-171, waarin de basismaatregelen voor het beveiligen van CUI worden vastgesteld.

NIST 800-172 introduceert verbeterde controles en vereisten die inspelen op een breder scala aan dreigingsvectoren en beoogt de beveiligingsstatus van organisaties die gevoelige informatie verwerken te versterken. Het document is vooral relevant voor sectoren die betrokken zijn bij kritieke infrastructuur, defensie en andere risicovolle omgevingen waar de mogelijke gevolgen van beveiligingsincidenten bijzonder ernstig zijn.

Belangrijke principes zijn onder meer een gelaagde beveiligingsstrategie, proactieve dreigingsdetectie en snelle incidentrespons. Gelaagde beveiliging, ook bekend als defense-in-depth, houdt in dat meerdere verdedigingslagen worden geïmplementeerd om gevoelige informatie te beschermen. Dit principe zorgt ervoor dat als één laag wordt gecompromitteerd, andere lagen nog steeds bescherming bieden. Proactieve dreigingsdetectie omvat continue monitoring en analyse om dreigingen te identificeren en tegen te gaan voordat ze aanzienlijke schade kunnen veroorzaken. Tot slot zorgt snelle incidentrespons ervoor dat organisaties snel kunnen reageren op en herstellen van beveiligingsincidenten, waardoor potentiële schade wordt geminimaliseerd.

Door deze en andere strenge maatregelen uiteen te zetten, streeft NIST 800-172 naar een hoger beschermingsniveau tegen complexe cyberdreigingen en vijandige activiteiten. De richtlijnen zijn ontworpen om organisaties te helpen robuuste cyberbeveiligingspraktijken te implementeren, waardoor het risico op ongeautoriseerde toegang, datalekken en andere beveiligingsincidenten wordt geminimaliseerd. Al met al is NIST 800-172 een essentieel onderdeel van het bredere cyberbeveiligingsraamwerk van NIST, gericht op het versterken van de weerbaarheid en veiligheid van de informatiesystemen en infrastructuren van de Verenigde Staten.

NIST 800-172-vereisten

Om te voldoen aan NIST 800-172 moeten organisaties een reeks vereisten volgen die zijn ontworpen om hun cyberbeveiligingsstatus te versterken. Deze vereisten omvatten:

• Verbeterde beveiligingscontroles: NIST 800-172 beschrijft specifieke verbeterde beveiligingsvereisten die verder gaan dan de basiscontroles in NIST 800-171. Dit omvat geavanceerde maatregelen zoals hardnekkige monitoring en incidentresponsmogelijkheden, zodat potentiële beveiligingsdreigingen snel worden gedetecteerd en beperkt.
• Threat Intelligence en samenwerking: Organisaties moeten processen implementeren voor het verzamelen, analyseren en delen van Threat Intelligence met relevante partijen. Deze samenwerkingsgerichte aanpak helpt om beveiligingsdreigingen proactief aan te pakken en versterkt de algehele weerbaarheid.
• Bescherming van kritieke informatie: Er moeten extra maatregelen worden genomen om kritieke CUI te beschermen tegen advanced persistent threats (APT’s). Dit omvat encryptie van gegevens in rust en onderweg, zodat gevoelige informatie niet eenvoudig toegankelijk is voor ongeautoriseerde gebruikers.
• Continue monitoring en respons: Naleving van NIST 800-172 vereist continue monitoring van netwerken, systemen en applicaties om afwijkingen in realtime te detecteren en erop te reageren. Deze proactieve aanpak zorgt ervoor dat kwetsbaarheden snel worden aangepakt.
• Incidentrespons en herstelplanning: Organisaties moeten uitgebreide incidentresponsplannen hebben die snel kunnen worden geactiveerd bij een cyberaanval. Deze plannen moeten de stappen voor indamming, uitroeiing en herstel beschrijven om de impact op de bedrijfsvoering te minimaliseren.

Het begrijpen en implementeren van deze vereisten zal de bescherming van CUI aanzienlijk verbeteren en zorgen voor robuuste beveiliging tegen complexe cyberdreigingen.

NIST 800-172 versus NIST 800-171

Zowel NIST 800-172 als NIST 800-171 richten zich op de bescherming van CUI, maar ze zijn bedoeld voor verschillende niveaus van beveiligingsvereisten. NIST 800-171, eerder vastgesteld, biedt een basis voor de bescherming van CUI binnen niet-federale informatiesystemen. Het stelt fundamentele controles en praktijken vast die organisaties moeten implementeren om gevoelige informatie te beveiligen.

NIST 800-172 daarentegen vult deze basiscontroles aan door strengere maatregelen te introduceren die gericht zijn op het tegengaan van geavanceerde dreigingen. Waar NIST 800-171 zich richt op het opzetten van een solide beveiligingsbasis, bouwt NIST 800-172 hierop voort en overbrugt het eventuele gaten om een hoger beschermingsniveau te waarborgen. Organisaties die zeer gevoelige informatie verwerken of te maken hebben met complexere cyberdreigingen, doen er goed aan beide standaarden te volgen voor volledige beveiligingsnaleving.

Wie moet voldoen aan NIST 800-172?

NIST 800-172 is van toepassing op federale instanties en hun aannemers die controlled unclassified information (CUI) verwerken. Voorbeelden zijn defensie-aannemers, cybersecuritybedrijven, cloudserviceproviders, lucht- en ruimtevaartbedrijven, onderzoeksinstellingen en IT-dienstverleners. Deze organisaties moeten voldoen aan strengere beveiligingsvereisten dan die in NIST 800-171. Organisaties moeten een uitgebreide checklist volgen om aan de NIST 800-172-vereisten te voldoen.

Organisaties hebben vaak moeite om het verschil tussen NIST 800-172 en NIST 800-171 te onderscheiden, maar inzicht in de details kan leiden tot betere gegevensbescherming. Voor organisaties die NIST 800-172-naleving willen bereiken, is een goed gestructureerde nalevingschecklist essentieel. Deze checklist omvat geavanceerde praktijken zoals het toepassen van multi-factor authentication, continue monitoring en incidentrespons. Door vast te houden aan de principes van NIST 800-172 kunnen organisaties risico’s effectief beperken.

Om aan NIST 800-172 te voldoen, moeten organisaties strenge maatregelen implementeren, waaronder geavanceerde cryptografische bescherming, hardnekkige monitoring en directe dreigingsrespons. Weten hoe u aan NIST 800-172 voldoet kan een uitdaging zijn, maar er zijn uitgebreide richtlijnen en bronnen beschikbaar voor een succesvolle implementatie. Inzicht in het implementatieproces van NIST 800-172 en het naleven van de compliancevereisten helpt om gevoelige informatie effectief te beschermen.

Is NIST 800-172-naleving vereist voor FedRAMP, CMMC, ITAR of vergelijkbare regelgeving?

Organisaties vragen zich vaak af hoe ze aan NIST 800-172 kunnen voldoen, vooral gezien de overlap met andere raamwerken zoals FedRAMP, CMMC en ITAR. Laten we de relatie tussen NIST 800-172 en deze afzonderlijke regelgevingen nader bekijken.

NIST 800-172 en CMMC

Naleving van NIST SP 800-172 is niet expliciet vereist voor Cybersecurity Maturity Model Certification (CMMC) 2.0-naleving. Het is echter belangrijk om de relatie tussen deze standaarden en raamwerken te begrijpen om de implicaties volledig te doorgronden. CMMC 2.0, dat is ontworpen om controlled unclassified information (CUI) en federal contract information (FCI) binnen de Defense Industrial Base (DIB) te beschermen, omvat drie niveaus van cyberbeveiligingsvolwassenheid. CMMC Level 1 (Foundational) is afgestemd op de 17 basisbeveiligingspraktijken uit FAR 52.204-21. CMMC Level 2 (Advanced) sluit nauw aan bij de 110 beveiligingscontroles uit NIST SP 800-171. CMMC Level 3 (Expert) is beïnvloed door standaarden zoals NIST SP 800-172, maar bevat geen directe één-op-één-koppeling. Kortom, CMMC Level 3 vereist niet expliciet volledige naleving van NIST SP 800-172.

NIST 800-172 en FedRAMP

FedRAMP (Federal Risk and Authorization Management Program) is een Amerikaans overheidsprogramma dat beveiligingsbeoordelingen, autorisaties en continue monitoring voor cloudproducten en -diensten standaardiseert. FedRAMP-naleving richt zich primair op het naleven van de controles uit NIST SP 800-53, afgestemd op de specifieke behoeften en risico’s van clouddiensten. NIST SP 800-172-naleving is geen specifieke vereiste voor FedRAMP-autorisatie, maar het is mogelijk dat toekomstige updates aanvullende standaarden of vereisten integreren op basis van veranderende beveiligingsbehoeften en wetgeving.

NIST 800-172 en ITAR

De International Traffic in Arms Regulations (ITAR) is een reeks Amerikaanse overheidsregels die de export en import van defensiegerelateerde artikelen en diensten reguleert. ITAR-naleving richt zich vooral op de bescherming van technische gegevens en defensiegerelateerde informatie, zodat deze niet zonder de juiste autorisatie in handen van buitenlandse partijen vallen. Hoewel ITAR niet specifiek NIST 800-172-naleving vereist, kan het voor organisaties die zowel ITAR-gerelateerde data als controlled unclassified information verwerken nuttig zijn om NIST 800-172 of NIST 800-171-standaarden te implementeren om hun algehele beveiligingsstatus te versterken. ITAR-naleving omvat vaak meerdere lagen van controles, waaronder fysieke beveiliging, personeelscreening, toegangscontrole en cyberbeveiligingsmaatregelen. Het gebruik van NIST-raamwerken kan helpen bij het voldoen aan sommige van deze cyberbeveiligingsvereisten, maar strikte naleving van NIST 800-172 is geen wettelijke vereiste onder ITAR.

Dus hoewel NIST 800-172-naleving niet expliciet vereist is voor CMMC, FedRAMP of ITAR, kunnen organisaties die NIST 800-172-naleving aantonen of zelfs enkele standaarden volgen, hun beveiligingsstatus aanzienlijk versterken en het voldoen aan meerdere regelgevende vereisten vergemakkelijken.

Risico’s van niet-naleving van NIST 800-172

Het niet naleven van NIST 800-172 stelt organisaties bloot aan diverse aanzienlijke risico’s. Een van de meest urgente gevaren is de verhoogde kans op datalekken, wat kan leiden tot verlies of diefstal van gevoelige informatie. Dit ondermijnt niet alleen de vertrouwelijkheid van CUI, maar ook het vertrouwen tussen overheidsinstanties en hun partners.

Niet-naleving kan ook leiden tot zware financiële en juridische gevolgen. Organisaties kunnen boetes, sancties en rechtszaken krijgen, wat de middelen onder druk zet en de operationele efficiëntie beïnvloedt. Bovendien kan een gecompromitteerde beveiligingsstatus de reputatie van een organisatie schaden, waardoor het moeilijk wordt om toekomstige contracten en samenwerkingen veilig te stellen.

Hoe voldoet u aan NIST 800-172?

Naleving van NIST 800-172 vereist een reeks duidelijk gedefinieerde stappen. Allereerst moeten organisaties een grondige beoordeling uitvoeren van hun huidige beveiligingsstatus. Dit houdt in dat bestaande controles worden geïdentificeerd, de effectiviteit ervan wordt geëvalueerd en verbeterpunten worden vastgesteld.

Vervolgens moeten organisaties een uitgebreid beveiligingsplan ontwikkelen en implementeren dat inspeelt op de specifieke vereisten van NIST 800-172. Dit plan moet gedetailleerde procedures bevatten voor monitoring, authenticatie, redundantie, beoordelingen, incidentrespons en training. Elk onderdeel moet zorgvuldig worden gedocumenteerd en regelmatig worden herzien om voortdurende naleving te waarborgen.

Bovendien moeten organisaties investeren in geavanceerde beveiligingstechnologieën en -tools die de principes en vereisten van NIST 800-172 ondersteunen. Dit kan onder meer inbraakdetectiesystemen, security information and event management (SIEM)-oplossingen en geavanceerde authenticatieplatforms omvatten.

NIST 800-172-nalevingschecklist

Naleving van NIST 800-172 vereist dat organisaties een uitgebreide checklist van acties en controles volgen. De belangrijkste aandachtspunten zijn:

• Verbeteren van monitoringmogelijkheden: Implementeer geavanceerde monitoringtools om dreigingen in realtime te detecteren en erop te reageren.
• Implementeren van geavanceerde authenticatiemechanismen: Gebruik multi-factor authentication en andere geavanceerde technieken om gebruikersidentiteiten te verifiëren.
• Zorg voor redundantie in kritieke systemen: Ontwikkel en onderhoud back-upsystemen om operationele continuïteit te waarborgen bij een beveiligingsincident.
• Regelmatige beveiligingsbeoordelingen uitvoeren: Voer frequente evaluaties uit om kwetsbaarheden te identificeren en deze snel aan te pakken.
• Incidentresponsplannen ontwikkelen: Stel plannen op en werk ze regelmatig bij om te reageren op en te herstellen van beveiligingsincidenten.
• Informeer personeel over beste practices op het gebied van beveiliging en dreigingsbewustzijn om een sterke beveiligingscultuur te behouden.
• Monitoring en verbetering van beveiligingsmaatregelen: Organisaties moeten ook continu hun beveiligingsinspanningen monitoren en verbeteren. Deze aanpak zorgt ervoor dat de verdediging robuust blijft tegen zich ontwikkelende dreigingen, waarbij de integriteit en vertrouwelijkheid van CUI wordt behouden.

Hoe implementeert u NIST 800-172?

Het implementeren van NIST 800-172 vereist een gestructureerde en georganiseerde aanpak. Organisaties moeten beginnen met het samenstellen van een toegewijd team van cybersecurityprofessionals dat het implementatieproces overziet. Dit team moet bestaan uit mensen met expertise in risicobeheer, incidentrespons, beveiligingstechnologie en compliance. De volgende stap voor het team is het ontwikkelen van een uitgebreid implementatiestappenplan waarin de noodzakelijke stappen en tijdlijnen voor naleving worden beschreven. Dit stappenplan moet prioriteit geven aan de meest kritieke gebieden, zodat de meest gevoelige informatie en systemen direct aandacht krijgen. Het moet ook duidelijk gedefinieerde mijlpalen en controlemomenten bevatten om de voortgang te monitoren en waar nodig bij te sturen.

Succesvolle implementatie vereist ook samenwerking met externe partners en stakeholders. Dit betekent dat overheidsinstanties en private partners hun beveiligingspraktijken op elkaar moeten afstemmen en actief informatie moeten delen over opkomende dreigingen en beste practices. Dergelijke samenwerking versterkt niet alleen de algehele beveiliging, maar bevordert ook een cultuur van gedeelde verantwoordelijkheid onder alle betrokken partijen.

Kiteworks helpt overheidsaannemers bij het aantonen van naleving van NIST 800-171 en NIST 800-172

NIST 800-172 speelt een cruciale rol bij het versterken van de beveiliging van controlled unclassified information binnen niet-federale systemen. Het introduceert geavanceerde beveiligingsmaatregelen om complexe cyberdreigingen aan te pakken, wat zowel overheidsinstanties als private partners ten goede komt. Het fungeert als een aanvullend raamwerk op NIST 800-171, vult lacunes aan en verhoogt de beveiligingsstandaarden.

Het naleven van NIST 800-172 is essentieel voor het behouden van een sterke cyberbeveiligingsstatus en het beschermen van kritieke informatie. Het negeren van deze richtlijnen brengt organisaties in gevaar voor datalekken, juridische gevolgen en financiële verliezen.

Het Kiteworks Private Content Network, een FIPS 140-2 Level gevalideerd platform voor beveiligd delen van bestanden en bestandsoverdracht, consolideert e-mail, bestandsoverdracht, webformulieren, SFTP, beheerde bestandsoverdracht en next-generation digital rights management-oplossingen zodat organisaties elk bestand kunnen controleren, beschermen en volgen zodra het de organisatie binnenkomt of verlaat.

Kiteworks-inzetopties omvatten on-premises, gehost, privé, hybride en FedRAMP virtual private cloud. Met Kiteworks: beheer de toegang tot gevoelige content; bescherm deze bij externe uitwisseling met geautomatiseerde end-to-end encryptie, multi-factor authentication en beveiligingsintegraties; zie, volg en rapporteer alle bestandsactiviteiten, namelijk wie wat naar wie, wanneer en hoe verzendt. Tot slot: toon naleving aan van regelgeving en standaarden zoals GDPR, HIPAA, CMMC, Cyber Essentials Plus, IRAP en vele anderen.

Wilt u meer weten over Kiteworks? Plan vandaag nog een persoonlijke demo.

Terug naar Risk & Compliance Woordenlijst