關於 NIST SP 800-171
美國國家標準與技術局 (NIST) 會推廣和維護度量標準和指導方針，以協助保護聯邦機構的資訊和信息系統。 為了回應管理受控未分類資訊的 13556 (CUI) ，它發行了 NIST SP 800-171， 保護非同盟資訊系統和組織中受控制的未分類資訊。 CUI 定義為資訊，包括數位和實體，由政府 (或實體代表其建立，) 雖然未分類，但仍會敏感且需要保護。
NIST SP 800-171 最初發佈於 2015 年 6 月，並已更新數次，以響應不斷演進的網路威脅。 它提供如何安全地存取、傳輸和儲存在非同盟資訊系統和組織中 CUI 的指導方針。 其需求分為四個主要類別：
- 管理和保護的控件和程式
- IT 系統的監視和管理
- 清除終端使用者的做法和程式
- 實作技術和實體安全性措施
Microsoft和 NIST SP 800-171
認證的第三方評定組織 Kratos Secureinfo 和 Coalfire 與Microsoft合作，證明其範圍內的雲端服務在處理 CUI 時，符合 NIST SP 800-171 中保護受 控未分類資訊 (CUI) 中的準則。 Microsoft FedRAMP 需求的實作可協助確保Microsoft使用已備妥的系統和做法，符合或超過 NIST SP 800-171 的需求。
NIST SP 800-171 需求是 NIST SP 800-53 的子集，這是 FedRAMP 所使用的標準。 NIST SP 800-171 的附錄 D 提供其 CUI 安全性需求與 NIST SP 800-53 中相關安全性控件的直接對應，其中已在 FedRAMP 計劃下評估並授權範圍內的雲端服務。
處理或儲存美國政府 CUI 的任何實體 — 研究機構、諮詢公司、製造承包商都必須遵守 NIST SP 800-171 的嚴格需求。 此證明表示Microsoft範圍內的雲端服務可以容納想要部署 CUI 工作負載的客戶，並保證Microsoft完全符合規範。 例如，在其信息系統中使用範圍內Microsoft雲端服務來處理、儲存或傳輸「涵蓋的防禦資訊」的所有 DoD 承包商，都符合美國國防部 DFARS 子句，這些條款需要符合 NIST SP 800-171 的安全性需求。
Microsoft 範圍內雲端平台與服務
- Azure Commercial、Azure Government
- Dynamics 365 美國政府
- Intune
- Office 365 美國政府社群雲端 (GCC) 、Office 365 GCC High 和 DoD
- 請注意，Office 365 商業版不包含在針對 NIST 800-171 進行的第三方稽核中，而且不在範圍內。
Azure、Dynamics 365 和 NIST SP 800-171
如需 Azure、Dynamics 365 和其他 線上服務 合規性的詳細資訊，請參閱 Azure NIST SP 800-171 供應專案。
Office 365 和 NIST SP 800-171
Office 365環境
Microsoft Office 365 是一種多租用戶超大規模雲端平台，也是全球數個區域客戶可用的應用程式和服務整合式體驗。 大部分的 Office 365 服務可讓客戶指定客戶資料所在的地區。 Microsoft 可能會將客戶資料複製到相同地理區域內的其他區域 (例如，美國) 以復原資料，但 Microsoft 不會將客戶資料複製到所選的地理區域之外。
本節涵蓋下列 Office 365 環境：
- 用戶端軟體 (用戶端)：客戶裝置上執行的商業用戶端軟體。
- Office 365 (商業)：全球都可使用的商業公用 Office 365 雲端服務。
- Office 365 政府社群雲端 (GCC)：Office 365 GCC 雲端服務適用於美國聯邦、州、地方和部落政府以及代表美國政府持有或處理資料的承包商。
- Office 365 政府社群雲端 - High (GCC High)：Office 365 GCC High 雲端服務是根據美國國防部 (DoD) 安全規定指南層級 4 而設計，嚴格控制和支援 受監管的聯邦和國防資訊。 此環境由聯邦機構、國防工業基地 (DIB) 和政府承包商使用。
- Office 365 DoD (DoD)：Office 365 DoD 雲端服務是根據 DoD 安全規定指南層級 5 而設計，控制和支援嚴格的聯邦和國防法規。 此環境專供美國國防部使用。
使用本節內容可幫助您履行您在受監管行業和全球市場中的合規義務。 若要了解哪些地區提供哪些服務，請參閱全球服務提供狀態和 Microsoft 365 客戶資料的儲存位置文章。 如需 Office 365 政府版雲端環境的詳細資訊，請參閱 Office 365 政府版雲端文章。
您的組織全權負責確保遵守所有適用的法律和法規。 本節中提供的資訊不構成法律建議，如果您對組織的法規合規性有任何疑問，您應該諮詢法律顧問。
Office 365 適用性和範圍內服務
使用下表判斷 Office 365 服務和訂閱的適用性：
| 適用性 | 範圍內服務 |
|---|---|
| GCC | 活動摘要服務、Bing 服務、Delve、Exchange Online、智慧服務、Microsoft Teams、Office 365 客戶入口網站、Office Online、Office 服務基礎結構、Office 使用量報告、OneDrive、人員 卡片、SharePoint Online、商務用 Skype、Windows Ink |
| GCC High | 活動摘要服務、Bing 服務、Exchange Online、智慧服務、Microsoft Teams、Office 365 客戶入口網站、Office Online、Office 服務基礎結構、Office 使用量報告、OneDrive、人員 卡、SharePoint Online、商務用 Skype、Windows Ink |
| DoD | 活動摘要服務、Bing 服務、Exchange Online、智慧服務、Office 365 客戶入口網站、Office Online、Office 服務基礎結構、Office 使用量報告、OneDrive、人員 卡、Microsoft Teams、SharePoint Online、商務用 Skype、Windows Ink |
常見問題集
我可以為組織使用Microsoft NIST SP 800-171 的合規性嗎？
是。 Microsoft客戶可以使用獨立第三方評定組織報告中所述的稽核控件， (3PAO) FedRAMP 標準作為其自身 FedRAMP 和 NIST 風險分析和資格限定工作的一部分。 這些報告證明控件的有效性Microsoft在其範圍內的雲端服務中實作。 客戶必須負責確保其 CUI 工作負載符合 NIST SP 800-171 指導方針。
使用 Microsoft Purview 合規性管理員來評估您的風險
Microsoft Purview 合規性管理員 是 Microsoft Purview 入口網站中的一項功能，可協助您了解組織的合規性狀態，並採取動作來協助降低風險。 合規性管理員會提供特優範本以為此法規建立評定。 可在合規性管理員的 [評定範本] 頁面尋找範本。 瞭解如何在合規性管理員中建立評估。