NIST SP800-171 への適合支援ソリューション

求められる SBOM やソフトウェアサプライチェーンへの対応

NIST SP800-171 とは

2016 年に米国防省は取引企業に対して「2017 年までに NIST SP800-171 に準拠した IT システムを利用し、機密情報および CUI(Controlled Unclassified Information) を扱わなければならない」と通達しました。2018 年以降、米国政府との取引企業に対して、NIST SP800-171 の条件を課すようになりました。

※CUI の例：自動運転の走行試験データ、機器の図面・仕様書、関連する SW のバイナリ / ソースコードなども含まれる

日本においては、2022 年より防衛装備庁が、『防衛産業サイバーセキュリティ基準』を新たに整備したことを発表しました。これは NIST SP800-171 同程度の要件が課されています。

ISMS との関係

ISMS と NIST SP800-171 との大きな違いは、ISMS は情報セキュリティマネジメントで「未然の防御」に重点を置く企業運用ルールであるのに対して、NIST SP800-171 は攻撃・侵入を前提に「特定・防御・検知・対応・復旧」まで網羅し、ICT の側面から何をどうするべきか細かく要件を指定している点があげられます。

1. アクセス制御：システムへのアクセスが出来る人 / 機能を制限すること
2. 意識向上と訓練：セキュリティポリシーを遵守すること
3. 監査と責任追跡性：システムの監査を行うとともに責任の追及が出来ること
4. 構成管理：SBOM などを使いシステムを構成する機器に求められるセキュリティ構成設定を確立すること
5. 識別と認証：システム利用者、デバイスを識別すること
6. インシデント対応：インシデントの追跡、報告が出来ること
7. メンテナンス：組織のシステムのメンテナンスを行うこと
8. 記録媒体保護：CUI をセキュアに格納するとともにアクセスできる者を制限すること
9. 人的セキュリティ：システムへのアクセスを行う個人を審査すること
10. 物理的保護：組織のシステム、装置等への物理的アクセスを制限すること
11. リスクアセスメント：情報資産のリスクを適切に評価すること
12. セキュリティアセスメント：セキュリティ管理策を定期的に評価すること
13. システムと通信の保護：システムの鍵となる通信を監視し、制御し、保護すること
14. システムと情報の完全性：ソフトウェアサプライチェーンなど、情報及びシステムフローの完全性をタイムリーに識別すること

サイバートラストの SP800-171 支援サービス

サイバートラスト マネージド PKI

サイバートラスト マネージド PKI は、お客様ブランドの電子認証局を初期導入コストや運用コストを抑え、多様なご利用用途に対応し、安全確実なアウトソーシングでご提供する ASP 型プライベート認証局サービスです。

サイバートラスト デバイス ID

サイバートラスト デバイス ID は、会社が許可した端末を厳格に認証し、安全なネットワークアクセスを実現するマルチデバイス、マルチネットワーク、マルチクラウド対応のデバイス証明書管理サービスです。

Secure IoT Platform

Secure IoT Platform は、IoT 機器の固有情報と国際基準の電子証明書を組み合わせた機器認証により、機器の本物性を担保するトラストサービスです。セキュア IoT プラットフォームによって IoT 機器の製造から設置・運用、廃棄までライフサイクルを通して安心・安全な管理が行えます。

SBOM コンシェルジュ

SBOM についてなんでもお気軽にご相談ください。SBOM 入門セミナー無料・定期開催中。

AlmaLinux OS サポートサービス

AlmaLinux OS をエンタープライズで最大限に活用しながら運用上のリスクを最小限に抑える、Linux サポートサービスです。

EMLinux

EMLinux は 国際安全基準レベルのセキュリティ対応と産業グレードの超長期利用を実現する IoT 開発に最適な組込み Linux ディストリビューションです。

CentOS 延長サポート

CentOS コミュニティサポート終了後も安全に使い続ける最適解。サイバートラストによる、CentOS に対するセキュリティアップデートと日本語テクニカルサポートをご提供します。

脆弱性診断サービス

脆弱性診断サービスは、情報システムに対し最新のサイバー攻撃を熟知した専門のセキュリティエンジニアが、攻撃者の視点で情報システムの脆弱性を徹底的に調査。情報システムの潜在的な問題点を洗い出し、適切な対策を講じるために情報システムの安全性を確認・評価します。

IoT セキュリティコンサルティングサービス

サイバートラストの IoT セキュリティコンサルティングは、25 年以上にわたる認証局運用から得られた技術力から始まり、IoT 製品自体はもちろんオフィスエリア（ICT）から工場ライン（OT）まで、リスクアセスメントや脆弱性診断、サイバーセキュリティ対策を提供することが強みです。