NIST SP 800-171

NIST Special Publication 800-171 は、非連邦組織——主に米国政府の契約業者および下請業者——が自社システム上の管理対象非機密情報(CUI)を保護するための要件を規定します。現行の Revision 3 では、NIST SP 800-53 をベースに 17 ファミリへ整理された約 100 件の要件が定められ、アクセス制御、監査、構成管理、インシデント対応などを網羅しています。米国の防衛関連契約業者は DFARS 7012 に基づき準拠が義務付けられ、CMMC Level 2 の技術的基盤となっています。導入組織は適合性を示すためにシステム・セキュリティ計画(SSP)と是正計画(POA&M)を整備します。