# NIST SP 800-171 คืออะไร? คู่มือปกป้องข้อมูล CUI สำหรับผู้ส่งออกไทย 2026
ผู้ประกอบการไทยที่ทำธุรกิจส่งออกไปยังสหรัฐอเมริกา หรือเป็นซัพพลายเออร์ในสายอุตสาหกรรมกลาโหม อวกาศ ชิ้นส่วนอิเล็กทรอนิกส์ ผลิตภัณฑ์ยา หรือแม้กระทั่งงานวิจัย กำลังเผชิญกับคำถามสำคัญว่า "เราพร้อมสำหรับ NIST SP 800-171 หรือยัง?" เพราะลูกค้าในสหรัฐเริ่มขอหลักฐานการปฏิบัติตามมาตรฐานนี้เป็นเงื่อนไขในการต่อสัญญา หากไม่มีแผนงานที่ชัดเจน ธุรกิจของคุณอาจเสียโอกาสไปกับคู่แข่งในเวียดนามหรือมาเลเซียที่ลงทุนเรื่อง Cybersecurity ไปก่อนแล้ว
NIST SP 800-171 ไม่ใช่กฎหมายของไทย แต่เป็นมาตรฐานที่กระทรวงกลาโหมสหรัฐ (DoD) และหน่วยงานรัฐบาลกลางอื่นๆ บังคับให้ Contractor และ Subcontractor ทุกราย ต้องปฏิบัติตามหากจะเข้าถึง Controlled Unclassified Information (CUI) ได้ บทความนี้เขียนขึ้นเพื่อให้ PM และผู้บริหาร SME ไทยเข้าใจเรื่องนี้ได้ในภาษาที่ชัดเจน ไม่ต้องตีความเอกสารภาษาอังกฤษที่ยาว 80 หน้า
ในบทความนี้คุณจะได้เรียนรู้ว่า NIST SP 800-171 คืออะไร เกี่ยวข้องกับ CMMC 2.0 อย่างไร มี 14 Family Controls อะไรบ้าง และ Checklist เริ่มต้นสำหรับ SME ไทยที่ต้องการเตรียมตัวภายใน 90 วัน
NIST SP 800-171 คืออะไร และทำไม SME ไทยต้องสนใจ
NIST SP 800-171 คือเอกสารแนะนำจาก National Institute of Standards and Technology ของสหรัฐที่ระบุ Security Requirement 110 ข้อ สำหรับการปกป้อง CUI ในระบบของ Non-Federal Organization นั่นหมายถึงบริษัทเอกชน รวมทั้งซัพพลายเออร์ต่างชาติที่ทำสัญญากับหน่วยงานรัฐบาลสหรัฐ
Controlled Unclassified Information หรือ CUI คือข้อมูลที่ไม่ถึงระดับความลับแต่ต้องควบคุมอย่างรัดกุม เช่น สเปกชิ้นส่วน Drawing ทางวิศวกรรม ข้อมูลทดสอบทางการแพทย์ งานวิจัย AI ที่ได้รับทุน และข้อมูลสัญญาใดๆ ที่ DoD กำหนดว่าเป็น CUI โรงงานไทยที่ผลิตชิ้นส่วนอากาศยานให้ Boeing/Lockheed หรือห้องปฏิบัติการที่รับวิจัยร่วมกับ NIH มีโอกาสสูงที่จะต้องจับ CUI ในระบบของตัวเอง
ผู้ส่งออกไทยกลุ่มไหนที่ได้รับผลกระทบ
| อุตสาหกรรม | ความเสี่ยงที่จะต้อง Comply | ลูกค้าตัวอย่าง |
|------------|-------------------------|-----------------|
| Aerospace & Defense | สูงมาก | Boeing, Lockheed Martin |
| Electronics & Semiconductor | สูง | Raytheon, Northrop Grumman |
| Medical Devices | ปานกลาง-สูง | FDA contractor, NIH |
| Pharmaceuticals / Biotech | ปานกลาง | DHHS, BARDA |
| IT Services & Software | สูง | DoD MSP, Cloud vendor |
| Manufacturing / OEM | ปานกลาง | Tier-2 supplier ใน DIB |
ตั้งแต่ปี 2024 เป็นต้นมา DoD ได้ออก DFARS 252.204-7012 ที่กำหนดให้ซัพพลายเออร์ต้อง Self-Assess ตาม NIST SP 800-171 และอัปโหลดคะแนนเข้าระบบ SPRS (Supplier Performance Risk System) หากไม่มีคะแนน ลูกค้าจะไม่สามารถออก Purchase Order ได้ และในปี 2026 CMMC 2.0 Level 2 จะบังคับให้หลาย Contract ต้องได้รับ Third-Party Assessment จาก C3PAO เพิ่มเติม
14 Family Controls ของ NIST SP 800-171 ในภาษาที่เข้าใจง่าย
NIST SP 800-171 แบ่ง 110 Requirement ออกเป็น 14 กลุ่ม (Family) แต่ละกลุ่มโฟกัสที่มิติหนึ่งของ Cybersecurity มาดูภาพรวมกัน
| Family | ตัวอย่างข้อกำหนด | สิ่งที่ SME ต้องทำจริง |
|--------|-----------------|----------------------|
| Access Control | จำกัดสิทธิ์ตาม Role | ตั้ง RBAC ใน AD / Google Workspace |
| Awareness & Training | อบรมพนักงานทุกปี | จัด Security Awareness Training |
| Audit & Accountability | เก็บ Log 1 ปีขึ้นไป | ใช้ SIEM เช่น Wazuh หรือ Elastic |
| Configuration Management | ควบคุม Baseline | ใช้ Ansible, Intune, Jamf |
| Identification & Authentication | MFA บังคับ | บังคับ MFA ทุก Login |
| Incident Response | Playbook + DR Plan | เขียน IR Plan ทดสอบปีละครั้ง |
| Maintenance | ควบคุมผู้ซ่อมบำรุง | Log การเข้าถึงอุปกรณ์ |
| Media Protection | เข้ารหัส USB/HDD | ใช้ BitLocker/FileVault |
| Personnel Security | Background Check | คัดกรองพนักงานที่เข้าถึง CUI |
| Physical Protection | Badge Access | ติด Access Control ที่ Server Room |
| Risk Assessment | ทำ Risk Register | ประเมินความเสี่ยงทุก 6 เดือน |
| Security Assessment | Self-Assess 110 ข้อ | ใช้ NIST Handbook 162 Template |
| System & Communications | TLS, Firewall | บังคับ HTTPS + Network Segmentation |
| System & Information Integrity | Patch, Anti-Malware | ใช้ EDR เช่น CrowdStrike, SentinelOne |
CMMC 2.0 กับ NIST SP 800-171 ต่างกันอย่างไร
นักธุรกิจไทยหลายคนสับสนระหว่าง NIST SP 800-171 กับ CMMC มาดูความต่างแบบเข้าใจง่าย
| หัวข้อ | NIST SP 800-171 | CMMC 2.0 Level 2 |
|-------|-----------------|------------------|
| สถานะ | Self-Assessment | Third-Party Audit |
| ผู้ประเมิน | องค์กรเอง | C3PAO (Certified Assessor) |
| ค่าใช้จ่าย | ต่ำ (Internal) | สูง ($50k-$200k) |
| ระยะเวลา Certify | ต่อเนื่อง | 3 ปี |
| ข้อกำหนด | 110 ข้อ | 110 ข้อเดียวกัน |
| ใครต้องทำ | Contractor ทุกราย | เฉพาะ CUI Handler ใน Contract ใหม่ |
พูดง่ายๆ NIST SP 800-171 คือ "สิ่งที่ต้องทำ" ส่วน CMMC คือ "การพิสูจน์ว่าทำจริง" ผู้ส่งออกไทยที่ยังไม่เคยเริ่ม ควรเริ่มจาก NIST SP 800-171 ก่อนเสมอ
แผนงาน 90 วันสำหรับ SME ไทยที่เพิ่งเริ่ม
สำหรับบริษัทที่ยังไม่เคย Comply เลย นี่คือ Roadmap ที่ใช้งานได้จริง
30 วันแรก Discovery และ Gap Analysis
1. ระบุ CUI ที่มีในระบบ ใครเก็บ ใครเข้าถึง ไหลไปที่ไหน
2. ทำ Asset Inventory ของ Hardware, Software, Network ทั้งหมด
3. Self-Assess 110 Requirement โดยใช้ NIST Handbook 162 Template
4. คำนวณคะแนน SPRS (เริ่มต้นที่ 110 คะแนน หักตามข้อที่ยังไม่ Comply)
5. เขียน System Security Plan (SSP) และ Plan of Action & Milestones (POA&M)
31-60 วัน ปิดช่องว่าง Quick Win
61-90 วัน ทำให้เป็นระบบ
ต้นทุนและเครื่องมือที่แนะนำสำหรับ SME ไทย
หลายคนกังวลเรื่องต้นทุน แต่ NIST SP 800-171 ไม่จำเป็นต้องใช้เครื่องมือแพงของ Enterprise ตัวอย่างเครื่องมือที่เหมาะกับ SME
ประเมินต้นทุน NIST SP 800-171 Compliance สำหรับ SME ไทย 20-50 คน ควรอยู่ที่ประมาณ 500,000 - 1,500,000 บาทต่อปี รวมที่ปรึกษา เครื่องมือ และค่าอบรม
สรุปและขั้นตอนถัดไป
NIST SP 800-171 ไม่ใช่ Overhead แต่เป็น Ticket ที่ช่วยให้ผู้ส่งออกไทยเข้าถึงตลาด Government Contract มูลค่าแสนล้านเหรียญในสหรัฐ หากคู่แข่งในอาเซียนเริ่มลงทุนเรื่องนี้ ธุรกิจไทยที่ยังไม่ขยับจะเสียเปรียบอย่างมีนัยสำคัญ การเริ่มต้นด้วย Self-Assessment แล้วค่อยๆ ปิดช่องว่างในแผน 90 วัน เป็นวิธีที่ประหยัดและได้ผล
ขั้นตอนถัดไป แนะนำให้ผู้บริหารเปิดประชุม Executive Briefing เกี่ยวกับความเสี่ยง CUI ที่มีในระบบ แล้วมอบหมายผู้รับผิดชอบ (CISO หรือ IT Manager) ในการทำ Gap Analysis ภายใน 30 วัน หากต้องการที่ปรึกษาด้าน NIST SP 800-171 และ CMMC 2.0 สำหรับตลาด Defense ของสหรัฐ ADS FIT มีทีมผู้เชี่ยวชาญพร้อมช่วยคุณวาง SSP, POA&M, Deploy เครื่องมือ Security และเตรียมตัวสำหรับ Third-Party Audit ติดต่อทีมของเราได้เลย หรืออ่านบทความอื่นในหมวด Compliance เพื่อเรียนรู้มาตรฐานสากลที่เกี่ยวข้องกับธุรกิจคุณ