O que é a conformidade com o NIST? Um guia prático para equipes de TI e MSPs

O termo “NIST” é usado para se referir a várias coisas diferentes, muitas vezes de forma intercambiável e nem sempre com precisão. A agência. A Estrutura de Cibersegurança. As publicações especiais da série 800. A Estrutura de Gestão de Riscos. A Estrutura de Privacidade. Saber qual “NIST” está sendo discutido em uma determinada conversa e qual deles é realmente relevante para uma obrigação específica de conformidade é o primeiro passo prático para trabalhar com as orientações do NIST.

A conformidade com o NIST, no sentido mais amplo, significa seguir as diretrizes de segurança cibernética e gestão de riscos publicadas pelo Instituto Nacional de Padrões e Tecnologia. Na prática, isso geralmente significa alinhar-se a uma ou mais publicações específicas do NIST, como a Estrutura de Cibersegurança (CSF), a SP 800-53, a SP 800-171 ou outras, dependendo do contexto regulatório, do setor e do que os clientes, órgãos reguladores ou seguradoras da organização estão exigindo.

Este guia serve como orientação. Ele explica o que é o NIST como organização, quais são as estruturas e publicações relevantes, em que casos a conformidade com o NIST é voluntária e em que casos é obrigatória, e como ela se alinha a outras estruturas com as quais as equipes de TI e os MSPs se deparam. Para uma análise aprofundada, voltada para profissionais, especificamente sobre a estrutura do NIST mais amplamente adotada, consulte o guia da Estrutura de Cibersegurança do NIST (CSF 2.0).

Simplifique a conformidade com o NIST em várias estruturas.

Compliance Manager GRC inclui modelos para o NIST CSF 2.0, SP 800-171 e CMMC, além de HIPAA, PCI-DSS, ISO 27001 e CIS Controls, com avaliação contínua e documentação de evidências pronta para auditoria.

Explore Compliance Manager GRC

O que é o NIST?

O NIST é uma agência federal subordinada ao Departamento de Comércio dos Estados Unidos. Foi fundado em 1901 como National Bureau of Standards, tendo sido renomeado em 1988, e sua área de atuação abrange a ciência da medição, normas industriais e uma ampla gama de áreas tecnológicas, incluindo segurança cibernética, manufatura avançada e inteligência artificial.

O trabalho de segurança cibernética com o qual a maioria das equipes de TI e dos MSPs se depara está sob a alçada do Laboratório de Tecnologia da Informação do NIST, que elabora a Estrutura de Segurança Cibernética, a Estrutura de Gestão de Riscos, a Estrutura de Privacidade e as diversas publicações especiais que detalham controles, processos e metodologias de avaliação específicos. As orientações do NIST são intencionalmente não prescritivas no que diz respeito às ferramentas. Elas indicam quais resultados devem ser alcançados, e não qual produto deve ser adquirido.

A razão pela qual as orientações do NIST têm tanto peso, além de sua aplicabilidade direta aos sistemas federais dos EUA, é que elas são adotadas por referência em uma longa lista de outros regimes regulatórios e estruturas comerciais. O CMMC para contratados do setor de defesa baseia-se na norma SP 800-171. As leis estaduais de proteção de dados frequentemente fazem referência ao NIST em suas normas de segurança. As seguradoras de risco cibernético exigem cada vez mais a conformidade com o NIST como condição para a cobertura. Mesmo organizações que não têm nenhuma obrigação direta perante o NIST muitas vezes acabam se alinhando às diretrizes do NIST de qualquer maneira, porque seu maior cliente, sua seguradora ou seu órgão regulador o utiliza como ponto de referência.

A série de orientações do NIST sobre segurança cibernética

O portfólio de segurança cibernética do NIST se divide em um pequeno número de estruturas de alto nível e um número maior de publicações detalhadas.

A Estrutura de Cibersegurança do NIST (CSF) é a mais amplamente adotada. Lançada originalmente em 2014 para infraestruturas críticas, a versão atual é a CSF 2.0 (fevereiro de 2024), que ampliou o escopo para todas as organizações, adicionou uma nova função, “Governar”, juntamente com as cinco originais (Identificar, Proteger, Detectar, Responder, Recuperar), e ampliou substancialmente as orientações sobre gestão de riscos da cadeia de suprimentos. O CSF é a estrutura na qual a maioria das organizações baseia seu programa de segurança. Para um guia prático sobre as seis funções, níveis e perfis do CSF 2.0, consulte o guia dedicado ao CSF 2.0.

A Estrutura de Gestão de Riscos (RMF) do NIST é o processo estruturado para gerenciar riscos de segurança e privacidade ao longo de todo o ciclo de vida do desenvolvimento de sistemas. Enquanto o CSF define os resultados esperados, a RMF estabelece o processo para alcançá-los: categorizar sistemas, selecionar controles, implementar, avaliar, autorizar e monitorar. A RMF é obrigatória para os sistemas de informação federais dos EUA nos termos da FISMA e é cada vez mais utilizada como espinha dorsal dos processos em programas de segurança do setor privado.

A Estrutura de Privacidade do NIST é o equivalente ao CSF com foco na privacidade. Ela possui uma estrutura semelhante (Núcleo, Perfis, Níveis de Implementação) e foi concebida para ajudar as organizações a identificar e gerenciar riscos à privacidade em conjunto com seus riscos de segurança cibernética. Ela se alinha perfeitamente ao CSF e ao GDPR, o que a torna útil para organizações que operam em diversos regimes regulatórios.

A série de Publicações Especiais (SP) do NIST fornece orientações técnicas e de processos detalhadas às quais as estruturas de nível superior fazem referência. A série 800, em particular, é a que as equipes de TI encontram com mais frequência.

A série NIST SP 800: principais publicações

A série 800 é extensa (centenas de publicações), mas apenas um pequeno número delas cobre a maior parte do trabalho prático para equipes de TI e MSPs comuns.

A SP 800-53 é o catálogo de controles de segurança e privacidade para sistemas de informação federais. Ela contém mais de mil controles organizados em 20 famílias de controles e serve como a base de implementação à qual as subcategorias do CSF se referem. A maioria das outras normas federais de segurança cibernética dos EUA é derivada da SP 800-53 ou está alinhada a ela.

A SP 800-171 é o subconjunto dos controles da SP 800-53 que se aplicam às Informações Controladas Não Classificadas (CUI) mantidas em sistemas não federais. Ela contém 110 requisitos de segurança distribuídos por 14 famílias de controles. O Nível 2 do CMMC, o regime de certificação para a base industrial de defesa dos EUA, baseia-se diretamente na SP 800-171. Para os MSPs que prestam serviços a contratados ou subcontratados do setor de defesa, a SP 800-171 é o principal documento de referência.

A norma SP 800-30 estabelece a metodologia para a realização de avaliações de risco de segurança cibernética. Enquanto a maioria das estruturas de referência se limita a recomendar a realização de uma avaliação de risco, a norma 800-30 explica como conduzi-la de fato, de maneira que seja justificável e auditável.

O SP 800-37 é o documento procedural da Estrutura de Gestão de Riscos (RMF). Ele descreve as seis etapas da RMF (Preparar, Categorizar, Selecionar, Implementar, Avaliar, Autorizar, Monitorar) e serve como guia operacional para organizações que executam um programa alinhado à RMF.

A norma SP 800-61 trata do gerenciamento de incidentes de segurança de informática. É o documento de referência para a criação de um programa de resposta a incidentes e é amplamente citado em requisitos regulatórios que exigem a capacidade de resposta a incidentes.

A norma SP 800-137 trata do monitoramento contínuo da segurança da informação. Ela estabelece a estrutura para o acompanhamento contínuo da situação de segurança da informação, das vulnerabilidades e das ameaças — disciplina que transforma a implementação pontual de controles em um programa de segurança sustentável.

Existem dezenas de outras publicações da série 800 que abordam temas específicos, desde computação em nuvem (SP 800-144) até sistemas de controle industrial (SP 800-82) e gerenciamento de identidade (SP 800-63). Para a maioria das equipes de TI e MSPs, as seis mencionadas acima cobrem a maior parte do trabalho de referência diário do NIST, sendo que outras são consultadas à medida que surgem requisitos específicos.

Quando a conformidade com o NIST é voluntária em vez de obrigatória

A adesão ao NIST é, tecnicamente, voluntária para organizações não federais. Na prática, a linha que separa o voluntário do obrigatório vem se tornando cada vez mais tênue há anos.

As orientações do NIST são diretamente obrigatórias para as agências federais dos EUA nos termos da FISMA (Lei Federal de Modernização da Segurança da Informação), que exige que as agências desenvolvam, documentem e implementem programas de segurança da informação alinhados às normas e diretrizes do NIST.

É obrigatório, por extensão contratual, para contratados e subcontratados federais que lidam com Informações Controladas Não Classificadas. O programa CMMC, que está sendo gradualmente incorporado aos contratos do Departamento de Defesa, torna a conformidade com a norma SP 800-171 uma pré-condição para a elegibilidade à licitação na maioria dos contratos de defesa.

Na prática, é obrigatório por meio da adoção regulatória em diversos marcos normativos estaduais e setoriais. O Regulamento de Segurança Cibernética do Departamento de Serviços Financeiros de Nova York (23 NYCRR 500), as orientações da Regra de Segurança da HIPAA e várias leis estaduais de proteção de dados fazem referência às publicações do NIST como fontes oficiais.

Essa exigência tem se tornado cada vez mais comum no âmbito comercial, no contexto da subscrição de seguros cibernéticos. As seguradoras deixaram de se limitar à avaliação de riscos baseada em questionários e passaram a exigir comprovação de alinhamento com uma estrutura de segurança cibernética reconhecida, sendo que a CSF é a estrutura mais comumente solicitada. As organizações que renovarem sua cobertura cibernética em 2026 devem esperar que lhes seja perguntado sobre o alinhamento com a CSF.

O alinhamento voluntário também é o caminho predominante para organizações do setor privado que desejam um programa estruturado de segurança cibernética, mas não têm uma exigência regulatória específica. A ampliação explícita do CSF 2.0 para todas as organizações facilitou isso. A estrutura não se limita mais apenas a infraestruturas críticas e pode ser efetivamente utilizada por pequenas empresas, empresas de médio porte e pelos próprios MSPs.

Como o NIST está em conformidade com a HIPAA, a PCI-DSS, a ISO 27001 e os Controles CIS

O NIST se sobrepõe significativamente a outras estruturas com as quais uma organização provavelmente já esteja trabalhando. Considerá-las como programas distintos, operando sob controles separados, é o erro de implementação mais comum.

A Regra de Segurança da HIPAA segue de perto as orientações do NIST. O Departamento de Saúde e Serviços Humanos faz referência explícita às publicações do NIST em suas orientações de segurança, e as organizações que atendem aos requisitos da Regra de Segurança da HIPAA geralmente já realizaram a maior parte do trabalho de alinhamento com o CSF no contexto da área da saúde.

A norma PCI-DSS para processamento de cartões de pagamento apresenta uma sobreposição substancial de controles com a norma NIST SP 800-53, especialmente no que diz respeito ao controle de acesso, criptografia, gerenciamento de vulnerabilidades e resposta a incidentes. Um comerciante ou prestador de serviços que implemente um programa PCI robusto está bem posicionado para estendê-lo ao CSF.

A ISO 27001 é a norma internacional de sistema de gestão para segurança da informação. Ela compartilha a abordagem baseada em riscos e focada em resultados do CSF, mas acrescenta uma estrutura formal de sistema de gestão que pode ser auditada para fins de certificação. O CSF e a ISO 27001 são altamente compatíveis, e muitas organizações utilizam ambos, empregando o CSF para o enquadramento estratégico e a ISO 27001 para o sistema de gestão certificável.

O CIS Controls v8.1 é um conjunto prescritivo e priorizado de 18 controles de segurança que se alinha amplamente às funções e categorias do CSF. O CIS Controls costuma ser o ponto de partida mais fácil para organizações que estão começando a trabalhar com segurança de forma estruturada, pois fornece ações específicas em ordem de prioridade, enquanto o CSF apresenta resultados sem prescrever ações. Uma organização que implementa o CIS Controls já está realizando uma parte substancial do trabalho de alinhamento com o CSF.

O padrão em todos esses casos é o mesmo. Uma única arquitetura de controle subjacente deve atender a várias estruturas. A implementação inteligente mapeia os controles aos requisitos da estrutura uma única vez e reutiliza as evidências repetidamente, em vez de executar programas de conformidade paralelos, cada um exigindo sua própria documentação.

Um caminho prático para a implementação do NIST destinado a equipes de TI e MSPs

Para organizações que estão dando os primeiros passos, o trabalho geralmente se divide em cinco etapas.

Identifique a obrigação efetiva do NIST. A organização é uma contratada federal sujeita às exigências do CMMC? Uma entidade da área da saúde sujeita à HIPAA? Uma empresa de serviços financeiros sujeita à norma NYDFS 500? Uma empresa do setor privado buscando alinhamento voluntário para fins de seguro cibernético ou credibilidade comercial? A obrigação específica determina qual publicação do NIST deve ser considerada a referência principal.

Defina o quadro estratégico. Para a maioria das organizações, a resposta é o NIST CSF 2.0, pois ele é aplicável em todos os setores, possui o mais amplo reconhecimento externo e se alinha perfeitamente a outras obrigações. Os contratados federais com obrigações relacionadas a CUI combinarão o CSF com a norma SP 800-171.

Realize uma avaliação do Perfil Atual com base na estrutura escolhida. Documente quais resultados de segurança cibernética estão efetivamente sendo alcançados atualmente, onde estão as lacunas e quais delas são mais relevantes para a obrigação regulatória ou comercial que orienta o trabalho.

Elabore um perfil-alvo e um roteiro. Onde a organização precisa estar, quando precisa chegar lá, quanto isso custará e qual é a ordem de prioridade das tarefas.

Escolha ferramentas que se alinhem à estrutura, em vez de entrarem em conflito com ela. A plataforma Kaseya 365 implementa diretamente a maioria das subcategorias do CSF. O Kaseya VSA 10 e o Datto RMM abrangem o gerenciamento de ativos e o gerenciamento de patches (Identificar, Proteger). O Datto EDR abrange a detecção e resposta em terminais (Detectar, Responder). O Datto BCDR abrange a recuperação (Recuperar). O BullPhish ID abrange o treinamento de conscientização (Proteger). Compliance Manager GRC abrange governança, acompanhamento de perfis e coleta de evidências (Governar), com modelos integrados do NIST CSF 2.0, SP 800-171, CMMC e estruturas relacionadas que transformam o trabalho de conformidade de um exercício em planilhas em um serviço operacional contínuo.

A conformidade com o NIST, quando tratada como um projeto pontual, acaba se tornando uma pasta empoeirada cheia de políticas que não refletem a realidade. Quando tratada como uma disciplina contínua, ela se torna o tecido conjuntivo que une o restante do programa de segurança cibernética em uma estrutura coerente, pronta para auditorias, para seguros e para contratos por padrão. As organizações que tiram o máximo proveito das orientações do NIST são aquelas que deixam de tratá-las como um fardo regulatório e passam a considerá-las como o projeto arquitetônico de como seu programa de segurança deve funcionar.

Pontos principais

• “NIST” refere-se a vários conceitos distintos: a agência, a Estrutura de Cibersegurança, a Estrutura de Gestão de Riscos, a Estrutura de Privacidade e a série de publicações SP 800. Saber qual deles se aplica a uma obrigação específica é o primeiro passo prático.
• A conformidade com o NIST é, tecnicamente, voluntária fora dos sistemas federais, mas é cada vez mais exigida por contratos (CMMC), regulamentações (NYDFS 500, referências à HIPAA) e na subscrição de seguros cibernéticos.
• O CSF 2.0 é a estrutura do NIST mais amplamente adotada. A SP 800-171 é a principal referência para empresas contratadas pelo setor de defesa que lidam com CUI. O conjunto mais restrito de publicações da série SP 800 (800-53, 800-171, 800-30, 800-37, 800-61, 800-137) abrange a maior parte do trabalho de referência prático do NIST.
• O NIST apresenta sobreposições substanciais com a HIPAA, o PCI-DSS, a ISO 27001 e os Controles CIS. Uma única arquitetura de controle deve atender a todas as estruturas relevantes, em vez de se executarem programas de conformidade paralelos.