ATTACH_12_For Contractors - NIST SP 800-171 and SPRS.pdf

National Institute of Standard and Technology (NIST) Special Publication (SP) 800-171 と Supplier

Performance Risk System (SPRS)について

NIST SP800-171 とは、2016 年にアメリカ国防総省(DOD)が作った情報管理の安全(security)について決めた ガイドラインです。アメリカ本国にて戦闘機の調達で情報漏洩したことで問題になったことが発端と言われていま す。Controlled Unclassified Information (CUI)、いわゆる管理された非機密情報等に対してどのように取り扱 い管理していくかを米軍の入札・契約において確認をする為に SPRS というシステムに業者さんが自己採点(self assessment)をしていただくことになります。

入札書、契約書に下記の条項が入っているものは SPRS での self assessment が必要です。既製品購入に関 わる入札、契約以外、全ての入札、契約が対象です。 契約前の段階で過去３年以内に assess したものが なければ契約できないことがありますのでご注意ください。３年より短い期間の assessment が要求されている 場合は入札書に従ってください。Security の取り扱い方法等に会社として変更があった場合も内容更新が必 要です。この assessment は入札、契約ごとにするものではなく、会社レベルとして常に SPRS 内で現在の状況 を表す採点にしておく必要があります。

252.204-7019 Notice of NIST SP 800-171 DoD Assessment Requirements

252.204-7020 NIST SP 800-171 NIST SP 800-171 DoD Assessment Requirements

この条項では用語の説明、self assessment の大まかなやり方、スコア、等について書かれています。

正しい assessment をするために、御社の法律関係各所、サイバーセキュリティに関する精通した担当と NIST

SP 800-171 の遵守について話し合っておくことを強く推奨します。

御社の他に JV を組む相手がいる場合、親会社(HLO – Highest Level Owner)がいる場合など、それぞれの assessment が必要になりますのでご注意ください。

下記の手順に従って Confidence Level というものを選択する箇所が出てきますが、通常の入札では Basic を 選ぶことになっています。 入札の要件でそれ以上のレベルを求められることがあるので入札書を確認の上選択 するようにしてください。

PIEE 内の SPRS の説明は https://pieetraining.eb.mil/wbt/xhtml/wbt/sprs/index.xhtml を参照ください。 https://pieetraining.eb.mil/wbt/xhtml/wbt/sprs/index.xhtml

NIST SP 800-171 についての説明、概要等は

https://www.acq.osd.mil/asda/dpc/cp/cyber/safeguarding.html#nistSP800171 を参照ください。

実際にどのように self assessment をするかのトレーニングビデオは https://www.sprs.csd.disa.mil/videos/Tutorials/SPRS__NIST_SP_800-

171_Entry_Tutorial/SPRS__NIST_SP_800-171_Entry_Tutorial.html をご覧ください。

SPRS の User Guide やよくある質問（FAQ）は https://www.sprs.csd.disa.mil/pdf/SPRS_Awardee.pdf または https://www.sprs.csd.disa.mil/access.htm をご覧ください。

**Self assessment と SPRS 入力の流れ**

SPRS は PIEE というサイト（WAWF 等 Invoice を提出されるシステムも同じ PIEE にあります）の中にあるシステ ムです。業者さんが必要な Role は”Cyber Vendor Role (Input する人)” または Contractor/Vendor Role (閲 覧のみ)のどちらかになります。

PIEE の Role を足す場合、PIEE https://piee.eb.mil/ にログインして、My Account、Add Additional Roles で足 します。注意：Location Code は必ず御社の NCAGE を入れてください。Role のリクエストをした後上司の許 可を経た後、ご自分以外に御社の会社内にメインで使うユーザー(Contractor Administrator = CAM)がいる場 合は CAM が、もしくはユーザーが自分一人という場合は PIEE Helpdesk が Activate することになります。

Activate されたらこのアイコンが PIEE の画面に表示されますのでそちらから入って self assessment をしていただ きます。

SPRS で assessment を行う前に、https://www.acq.osd.mil/asda/dpc/cp/cyber/docs/safeguarding/NIST-

SP-800-171-Assessment-Methodology-Version-1.2.1-6.24.2020.pdf の中にある NIST SP 800-171 DoD https://www.acq.osd.mil/asda/dpc/cp/cyber/safeguarding.html#nistSP800171 https://www.sprs.csd.disa.mil/videos/Tutorials/SPRS__NIST_SP_800-171_Entry_Tutorial/SPRS__NIST_SP_800-171_Entry_Tutorial.html https://www.sprs.csd.disa.mil/videos/Tutorials/SPRS__NIST_SP_800-171_Entry_Tutorial/SPRS__NIST_SP_800-171_Entry_Tutorial.html https://www.sprs.csd.disa.mil/pdf/SPRS_Awardee.pdf https://www.sprs.csd.disa.mil/access.htm https://piee.eb.mil/ https://www.acq.osd.mil/asda/dpc/cp/cyber/docs/safeguarding/NIST-SP-800-171-Assessment-Methodology-Version-1.2.1-6.24.2020.pdf https://www.acq.osd.mil/asda/dpc/cp/cyber/docs/safeguarding/NIST-SP-800-171-Assessment-Methodology-Version-1.2.1-6.24.2020.pdf

Assessment Scoring Template を使ってスコアを算出しておく必要がありますので準備をしておいてください。算 出は元のスコア 110 からの減点方式です。

スコアの算出が完了後、assessment を始めるにはメニューの NIST SP 800-171 Assessment のリンクから入りま す。初めての場合は”Create New HLO CAGE”から会社の情報を設定します。PIEE 内で Cyber Vendor Role が ないとできませんのでご注意ください。

HLO CAGE Code は御社の NCAGE、Assessment Standard は NIST SP 800-171、Confidence Level は通常 Basic を選ぶことになっています。下記の手順は Basic を選んだ場合のものなので、Basic 以上のレベルを求めら れた場合は入札要件に従って適切なレベルを選択してください。

会社の Header を設定して CAGE で検索をすると、

このような Detail が作られます。

初めて Assessment をするときは Header を作ってすぐに Entry ページが表示されます。

２回目以降に Assessment を行う場合は View Detail から Input できます。

Header View の上に Guidance のリンクがあるのでそちらから Assessment Methodology、 Quick Entry

Guide、DFARS 252.204 を見ることができます。

Detail View のページから New Assessment を足します。

現在の御社の状態の assessment をするには Add New Assessment のボタンから入ります。内容の変更や消 去をする場合は鉛筆マークのアイコンから edit します。

質問や問題がある場合は SPRS Helpdesk webptsmh@navy.mil に英語でお問い合わせください。 mailto:webptsmh@navy.mil