NIST SP 800-171.

Qué exige realmente NIST SP 800-171

Cuando el gobierno de EE. UU. comparte datos sensibles pero no clasificados con un contratista, una universidad o un proveedor de servicios, necesita la garantía de que esos datos estarán protegidos aunque ahora residan fuera de los sistemas federales. NIST SP 800-171 es el catálogo de requisitos de seguridad que responde a esa necesidad.

Indica a cualquier organización no federal que maneje Controlled Unclassified Information cómo protegerla: a través del control de acceso, la concienciación y la formación, la auditoría y la rendición de cuentas, la gestión de la configuración, la identificación y la autenticación, la respuesta a incidentes, el mantenimiento, la protección de soportes, la protección física, la seguridad del personal, la evaluación de riesgos, la evaluación de la seguridad, la protección de sistemas y comunicaciones, y la integridad de los sistemas y de la información. El objetivo es la uniformidad. En lugar de que cada agencia invente sus propias cláusulas, los contratistas cumplen una base coherente y única.

Los requisitos se derivan del catálogo de controles mucho más amplio NIST SP 800-53 utilizado dentro de los sistemas federales, pero adaptados a la realidad de una organización privada. Se formulan como resultados que se deben alcanzar, no como un único producto o arquitectura prescritos, lo que da a una organización margen para implementarlos de una forma que se ajuste a sus propios sistemas. De lo que no se dispone es de discrecionalidad sobre si cumplirlos o no. Cuando el requisito aparece en su contrato, implementarlo es una condición para conservar ese contrato.

Los CUI y por qué la cuestión del alcance importa más que ninguna otra

Todo en NIST SP 800-171 depende de una pregunta previa: ¿dónde residen realmente los Controlled Unclassified Information en su entorno? Los CUI son información que el gobierno crea o posee, o que una organización crea para el gobierno, que requiere salvaguarda en virtud de una ley, un reglamento o una política de alcance gubernamental, pero que no está clasificada. Abarca categorías como planos técnicos, datos sujetos a control de exportación, información de identificación personal conservada en nombre de una agencia y material sensible similar. La norma solo se aplica a los sistemas que almacenan, procesan o transmiten esos datos.

Por eso la definición del alcance es el trabajo que determina todo lo demás. Defina la frontera de forma demasiado amplia e impondrá controles de nivel federal a toda su red con un coste enorme. Defínala de forma demasiado estrecha y dejará CUI expuestos en un sistema que olvidó contabilizar. La mayor parte de un programa 800-171 creíble se dedica a identificar los CUI, aislar los sistemas que los tocan y reducir esa frontera para que los controles recaigan donde realmente se necesitan y no en todas partes.

Dónde termina 800-171 y dónde empieza CMMC

NIST SP 800-171 es el catálogo de controles. La Cybersecurity Maturity Model Certification (CMMC) es el mecanismo de verificación que el Department of Defense de EE. UU. construyó sobre él. Durante años, los contratistas autocertificaban que cumplían el 800-171, y la brecha entre la atestación y la realidad solo salía a la luz tras un incidente. CMMC Level 2 se corresponde directamente con NIST SP 800-171, pero añade una evaluación independiente, de modo que una firma ya no basta. Si implementa realmente el 800-171, ha hecho la mayor parte del trabajo de fondo para CMMC Level 2; lo que queda es producir evidencias y superar una evaluación realizada por alguien que no es usted.

La Revision 3, publicada en 2024, reestructuró y endureció los requisitos, reorganizó las familias de controles y trasladó algunos aspectos concretos a una publicación de evaluación complementaria. Para un proveedor europeo, la relevancia es enteramente contractual. Si subcontrata a un prime estadounidense, fabrica componentes de defensa o procesa CUI para un programa del DoD, el 800-171 le obliga igual que obliga a una empresa estadounidense. Si su mercado es puramente europeo, es un contexto informativo que le ayuda a leer CMMC y los requisitos de contratación pública de EE. UU., y se combina de forma natural con la disciplina basada en el riesgo del NIST Cybersecurity Framework en lugar de sustituirla.