ATTACH_11_For Contractors - NIST SP 800-171 and SPRS.pdf
PDF 598 KB Posted
- Solicitation number
- N4008426R2001
About this file
This document is an instructional guide for Japanese-speaking contractors on complying with NIST SP 800-171 cybersecurity requirements and completing self-assessments in the Supplier Performance Risk System (SPRS) for Department of Defense contracts.
NIST SP 800-171, established by the DoD in 2016, sets security guidelines for managing Controlled Unclassified Information (CUI) in federal contracts. Contractors must complete a self-assessment in SPRS if contract clauses 252.204-7019 (Notice of NIST SP 800-171 DoD Assessment Requirements) or 252.204-7020 (NIST SP 800-171 DoD Assessment Requirements) are included in solicitations or contracts, except for commercial off-the-shelf purchases. Assessments must be conducted within three years prior to contract award and updated if security procedures change. Assessments are company-level evaluations maintained continuously in SPRS rather than bid-specific submissions. Joint ventures, parent companies, and subsidiaries require separate assessments. The standard Confidence Level for assessments is "Basic," though solicitations may require higher levels. The document provides step-by-step instructions for accessing SPRS through the PIEE system, obtaining the required "Cyber Vendor Role," creating a new HLO CAGE header, and entering assessment data using the Assessment Scoring Template (calculated using a 110-point deduction method). Users must review the NIST SP 800-171 Assessment Methodology document before conducting assessments and may contact the SPRS Helpdesk at webptsmh@navy.mil for technical assistance.
View the file
Other files
| File | Type | Posted |
|---|---|---|
| N4008426R2001_Amend 0003.pdf | ||
| ATTACH_02_1503030 ELINS_ISWM BULK Rev2.xlsx | XLSX spreadsheet | |
| ATTACH_04_Experience Form_Revised.docx | DOCX document | |
| N4008426R2001_Amend 0002.pdf | ||
| N4008426R2001_Amend 0001.pdf | ||
| ATTACH_02_1503030 ELINS_ISWM BULK Rev1.xlsx | XLSX spreadsheet | |
| ATTACH_07_Site Visit Request Form.xlsx | XLSX spreadsheet | |
| ATTACH_03_PAP_ISWM BULK.pdf | ||
| N4008426R2001_RFP.pdf | ||
| ATTACH_04_Experience Form.docx | DOCX document | |
| ATTACH_05_Past Performance Questionnaire.docx | DOCX document | |
| ATTACH_12_For Contractors - CMMC.pdf | ||
| ATTACH_02_1503030 ELINS_ISWM BULK.xlsx | XLSX spreadsheet | |
| ATTACH_09_Before_Starting_Business_with_NAVFAC_2023.pdf | ||
| ATTACH_10_W-14.pdf | ||
| ATTACH_06_Pre Proposal Inquiry Form.xlsx | XLSX spreadsheet | |
| ATTACH_08_PIEE Solicitation Module Guide.pdf |
Show all 17
On GovTribe
Work with this file
- Download the original file
- Contacts named in this file
- Similar government files
- Ask GovTribe AI about this file
Text version
National Institute of Standard and Technology (NIST) Special Publication (SP) 800-171 と Supplier
Performance Risk System (SPRS)について
NIST SP800-171 とは、2016 年にアメリカ国防総省(DOD)が作った情報管理の安全(security)について決めた ガイドラインです。アメリカ本国にて戦闘機の調達で情報漏洩したことで問題になったことが発端と言われていま す。Controlled Unclassified Information (CUI)、いわゆる管理された非機密情報等に対してどのように取り扱 い管理していくかを米軍の入札・契約において確認をする為に SPRS というシステムに業者さんが自己採点(self assessment)をしていただくことになります。
入札書、契約書に下記の条項が入っているものは SPRS での self assessment が必要です。既製品購入に関 わる入札、契約以外、全ての入札、契約が対象です。 契約前の段階で過去３年以内に assess したものが なければ契約できないことがありますのでご注意ください。３年より短い期間の assessment が要求されている 場合は入札書に従ってください。Security の取り扱い方法等に会社として変更があった場合も内容更新が必 要です。この assessment は入札、契約ごとにするものではなく、会社レベルとして常に SPRS 内で現在の状況 を表す採点にしておく必要があります。
252.204-7019 Notice of NIST SP 800-171 DoD Assessment Requirements
252.204-7020 NIST SP 800-171 NIST SP 800-171 DoD Assessment Requirements
この条項では用語の説明、self assessment の大まかなやり方、スコア、等について書かれています。
正しい assessment をするために、御社の法律関係各所、サイバーセキュリティに関する精通した担当と NIST
SP 800-171 の遵守について話し合っておくことを強く推奨します。
御社の他に JV を組む相手がいる場合、親会社(HLO – Highest Level Owner)がいる場合など、それぞれの assessment が必要になりますのでご注意ください。
下記の手順に従って Confidence Level というものを選択する箇所が出てきますが、通常の入札では Basic を 選ぶことになっています。 入札の要件でそれ以上のレベルを求められることがあるので入札書を確認の上選択 するようにしてください。
PIEE 内の SPRS の説明は https://pieetraining.eb.mil/wbt/xhtml/wbt/sprs/index.xhtml を参照ください。 https://pieetraining.eb.mil/wbt/xhtml/wbt/sprs/index.xhtml
NIST SP 800-171 についての説明、概要等は
https://www.acq.osd.mil/asda/dpc/cp/cyber/safeguarding.html#nistSP800171 を参照ください。
実際にどのように self assessment をするかのトレーニングビデオは https://www.sprs.csd.disa.mil/videos/Tutorials/SPRS__NIST_SP_800-
171_Entry_Tutorial/SPRS__NIST_SP_800-171_Entry_Tutorial.html をご覧ください。
SPRS の User Guide やよくある質問（FAQ）は https://www.sprs.csd.disa.mil/pdf/SPRS_Awardee.pdf または https://www.sprs.csd.disa.mil/access.htm をご覧ください。
**Self assessment と SPRS 入力の流れ**
SPRS は PIEE というサイト（WAWF 等 Invoice を提出されるシステムも同じ PIEE にあります）の中にあるシステ ムです。業者さんが必要な Role は”Cyber Vendor Role (Input する人)” または Contractor/Vendor Role (閲 覧のみ)のどちらかになります。
PIEE の Role を足す場合、PIEE https://piee.eb.mil/ にログインして、My Account、Add Additional Roles で足 します。注意：Location Code は必ず御社の NCAGE を入れてください。Role のリクエストをした後上司の許 可を経た後、ご自分以外に御社の会社内にメインで使うユーザー(Contractor Administrator = CAM)がいる場 合は CAM が、もしくはユーザーが自分一人という場合は PIEE Helpdesk が Activate することになります。
Activate されたらこのアイコンが PIEE の画面に表示されますのでそちらから入って self assessment をしていただ きます。
SPRS で assessment を行う前に、https://www.acq.osd.mil/asda/dpc/cp/cyber/docs/safeguarding/NIST-
SP-800-171-Assessment-Methodology-Version-1.2.1-6.24.2020.pdf の中にある NIST SP 800-171 DoD https://www.acq.osd.mil/asda/dpc/cp/cyber/safeguarding.html#nistSP800171 https://www.sprs.csd.disa.mil/videos/Tutorials/SPRS__NIST_SP_800-171_Entry_Tutorial/SPRS__NIST_SP_800-171_Entry_Tutorial.html https://www.sprs.csd.disa.mil/videos/Tutorials/SPRS__NIST_SP_800-171_Entry_Tutorial/SPRS__NIST_SP_800-171_Entry_Tutorial.html https://www.sprs.csd.disa.mil/pdf/SPRS_Awardee.pdf https://www.sprs.csd.disa.mil/access.htm https://piee.eb.mil/ https://www.acq.osd.mil/asda/dpc/cp/cyber/docs/safeguarding/NIST-SP-800-171-Assessment-Methodology-Version-1.2.1-6.24.2020.pdf https://www.acq.osd.mil/asda/dpc/cp/cyber/docs/safeguarding/NIST-SP-800-171-Assessment-Methodology-Version-1.2.1-6.24.2020.pdf
Assessment Scoring Template を使ってスコアを算出しておく必要がありますので準備をしておいてください。算 出は元のスコア 110 からの減点方式です。
スコアの算出が完了後、assessment を始めるにはメニューの NIST SP 800-171 Assessment のリンクから入りま す。初めての場合は”Create New HLO CAGE”から会社の情報を設定します。PIEE 内で Cyber Vendor Role が ないとできませんのでご注意ください。
HLO CAGE Code は御社の NCAGE、Assessment Standard は NIST SP 800-171、Confidence Level は通常 Basic を選ぶことになっています。下記の手順は Basic を選んだ場合のものなので、Basic 以上のレベルを求めら れた場合は入札要件に従って適切なレベルを選択してください。
会社の Header を設定して CAGE で検索をすると、
このような Detail が作られます。
初めて Assessment をするときは Header を作ってすぐに Entry ページが表示されます。
２回目以降に Assessment を行う場合は View Detail から Input できます。
Header View の上に Guidance のリンクがあるのでそちらから Assessment Methodology、 Quick Entry
Guide、DFARS 252.204 を見ることができます。
Detail View のページから New Assessment を足します。
現在の御社の状態の assessment をするには Add New Assessment のボタンから入ります。内容の変更や消 去をする場合は鉛筆マークのアイコンから edit します。
質問や問題がある場合は SPRS Helpdesk webptsmh@navy.mil に英語でお問い合わせください。 mailto:webptsmh@navy.mil
File details come from the government source that posted it. Updated .