CMMC認証プロセスのための行動計画とマイルストーン（POA&M）

サイバー脅威の状況が進化し、サイバー攻撃が増加し続ける中、組織は情報システムのセキュリティを確保するために積極的な対策を講じる必要があります。国防総省（DoD）は、この目標に向けて重要な一歩を踏み出し、サイバーセキュリティ成熟度モデル認証（CMMC）フレームワークを導入しました。CMMCは、DoDの請負業者および下請け業者が、機密コンテンツを保護するために遵守しなければならないガイドラインと基準のセットです。CMMCコンプライアンスプロセスの重要な要素の一つが、行動計画とマイルストーン（POA&M）です。この記事では、POA&Mの詳細とCMMCプロセスにおける役割を探ります。

行動計画とマイルストーン（POA&M）の理解

POA&Mは、組織がサイバーセキュリティリスクを効果的に優先順位付けし、管理するのを支援する管理ツールです。これは、組織が情報システムの脆弱性や弱点を解決するために必要なステップを概説する文書です。POA&Mプロセスには、脆弱性の特定、リスクの分類、緩和戦略の開発が含まれます。この文書には、戦略の実施と進捗の監視のためのタイムラインも含める必要があります。

CMMCにおけるPOA&Mの重要性

POA&Mは、セキュリティ評価が実施された後に作成される構造化された文書です。これは、セキュリティの脆弱性と関連するリスクを概説し、それらの問題を修正または緩和するための実行可能なステップと期限を示します。POA&Mには、定期的なパッチ適用やユーザー教育などのベストプラクティスの実施から、アンチウイルスやファイアウォールの設定などの追加のセキュリティ対策の展開まで、幅広いセキュリティ問題が含まれる可能性があります。最新のPOA&Mを持つことで、組織は全体的なセキュリティ姿勢を改善するための努力の証拠を示すことができます。

CMMC認証プロセスの一環としてPOA&Mを使用することは、組織とDoDの両方にとって有益です。これは、非準拠のシステムやネットワークに関連する潜在的なリスクと脆弱性を軽減するのに役立ちます。包括的で実行可能なPOA&Mを整備することで、組織はセキュリティ問題を即座に特定、追跡、対処することができ、さらに、DoDに対して組織が規制要件を満たしていることを保証し、CMMC基準に準拠している組織を特定することができます。

POA&Mとシステムセキュリティ計画の類似点と相違点

行動計画とマイルストーン（POA&M）とシステムセキュリティ計画（SSP）は、サイバーセキュリティで使用される2つの重要な文書です。どちらの文書も、組織に安全な作業環境を提供するためにセキュリティ/コンプライアンスチームによって作成されます。

POA&Mは、組織の環境内の脆弱性を追跡するアクティブな文書です。この文書は、特定された弱点を修正するために取られた行動を概説し、関連するリスク、影響、目標日、特定されたリスクの成功した緩和に必要なリソースを示します。これは、脆弱性が特定され、緩和されるたびに更新される生きた文書です。

対照的に、SSPは、リスク評価や監査が実施される前に作成される静的な文書です。SSPは、組織のセキュリティ姿勢と環境を保護するために使用されるセキュリティポリシーの概要を提供することを目的としています。SSPは、セキュリティプロセスに関与する人員の役割と責任を概説し、組織におけるセキュリティの理論的基盤を提供します。

したがって、POA&MとSSPの主な違いは、POA&Mがリスクに対処するために取られた是正措置に焦点を当てているのに対し、SSPは組織のセキュリティポリシーの概要を提供することです。どちらの文書も、組織をサイバー脅威から保護するために重要ですが、POA&Mはより行動指向であり、SSPはより理論指向です。

CMMCコンプライアンスプロセスにおけるPOA&Mの役割

POA&Mは、CMMC基準に準拠するために必要な活動を概説し、文書化します。これは、組織が各成熟度レベルに準拠するために必要な活動を追跡するためのロードマップとして機能します。POA&Mは、是正措置や予防措置を含む、CMMC基準を満たすために完了しなければならない緩和活動を具体的に示す必要があります。また、特定のCMMC要件を満たすために達成すべき各マイルストーンを特定する必要があります。

さらに、POA&Mは、各活動とマイルストーンの完了のためのタイムラインと、それらを完了するために必要なリソースの見積もりを提供する必要があります。POA&Mは、組織が進捗を追跡するのを助けるものであり、これはCMMC認証プロセスの重要な部分です。進捗を追跡することで、組織はコンプライアンスを確保するために取ったステップを特定し、必要に応じて調整を行うことができます。これにより、組織は進捗とコンプライアンスへのコミットメントを示すことができ、CMMC評価者が組織のサイバーセキュリティの成熟度レベルを判断するのに役立ちます。

CMMC認証のためのPOA&Mの開発

CMMC認証のためのPOA&Mの開発には、いくつかのステップが含まれます。これらには以下が含まれます：

ステップ1: 脆弱性の特定

CMMC認証のためのPOA&Mを開発する最初のステップは、組織の情報システムにおける脆弱性を特定することです。これは、資産、脅威、脆弱性を特定するサイバーセキュリティリスク評価を通じて行うことができます。評価は、組織とその取り扱うデータに対する潜在的な影響に基づいてリスクを優先順位付けする必要があります。

ステップ2: リスクの分類

脆弱性が特定されたら、それらをその深刻度に基づいて分類する必要があります。この分類は、組織とその取り扱うデータに対する潜在的な影響に基づいて行う必要があります。リスクは高、中、低に分類され、それに応じた緩和戦略が開発されます。

ステップ3: 緩和戦略の開発

特定された各脆弱性に対して緩和戦略を開発する必要があります。これらの戦略は、具体的で、測定可能で、達成可能で、関連性があり、時間制約がある（SMART）ものである必要があります。また、高リスクの脆弱性を優先し、組織の全体的なサイバーセキュリティ戦略と一致させる必要があります。

ステップ4: タイムラインの開発

緩和戦略の実施のためのタイムラインを開発する必要があります。タイムラインは現実的で達成可能であり、組織が直面する可能性のあるリソースの制約を考慮に入れる必要があります。

ステップ5: 進捗の監視

POA&Mが開発され、緩和戦略が実施されたら、進捗を定期的に監視する必要があります。これには、戦略の実施を追跡し、その効果を評価することが含まれます。脅威の状況や組織の環境に変化があった場合は、それに応じてPOA&Mを調整する必要があります。

CMMC認証のためのPOA&Mの利点

CMMCのためのPOA&Mを開発することには、いくつかの利点があります。これらには以下が含まれます：

1. サイバーセキュリティの強化

POA&Mプロセスは、組織が情報システムの脆弱性を特定し、対処するのを支援し、サイバーセキュリティを強化します。

2. CMMCフレームワークへの準拠

POA&M文書は、組織のサイバーセキュリティへのコミットメントと、特定されたリスクを効果的に管理する能力を示し、CMMCフレームワークへの準拠の可能性を高めます。

3. リスク管理の改善

POA&Mプロセスには、リスクの特定と分類、緩和戦略の開発が含まれます。このアプローチは、組織がリスクを優先順位付けし、リソースを効果的に配分するのを助け、リスク管理を改善します。

4. 競争優位性

CMMC認証のためのPOA&Mを開発した組織は、そうでない組織に対して競争優位性を持ちます。彼らは、CMMCフレームワークへの準拠を要求するDoDや他の政府機関との契約を獲得するために、より良い位置にいます。

5. CMMC認証のためのPOA&M開発のベストプラクティス

CMMC認証のための効果的なPOA&Mを開発するには、構造化された包括的なアプローチが必要です。考慮すべきベストプラクティスには以下が含まれます：

6. 主要な利害関係者を巻き込む

CMMCのためのPOA&Mを開発するには、上級管理職、ITスタッフ、サイバーセキュリティの専門家を含む主要な利害関係者を巻き込む必要があります。このアプローチは、POA&Mが組織の全体的なサイバーセキュリティ戦略と一致し、リソースの制約や他の組織的な考慮事項を考慮に入れていることを保証します。

7. リスクベースのアプローチを使用する

POA&Mプロセスは、組織とその取り扱うデータに対する潜在的な影響に基づいてリスクを優先順位付けするリスクベースのアプローチに基づくべきです。このアプローチは、緩和戦略が最も重要なリスクに焦点を当て、組織の全体的なサイバーセキュリティ戦略と一致していることを保証します。

8. 具体的で測定可能であること

緩和戦略は具体的で測定可能であり、SMART原則に一致している必要があります。このアプローチは、進捗を効果的に追跡し、必要に応じて調整を行うことを保証します。

9. 現実的なタイムラインを開発する

緩和戦略の実施のためのタイムラインは、リソースの制約や他の組織的な考慮事項を考慮に入れて、現実的で達成可能である必要があります。このアプローチは、組織の全体的なサイバーセキュリティ姿勢を損なうことなく、効果的に進捗を達成することを保証します。

10. 定期的に進捗を監視する

進捗は定期的に監視され、必要に応じて調整されるべきです。このアプローチは、POA&Mが脅威の状況や組織の環境の変化を考慮に入れて、関連性と効果を維持することを保証します。

POA&Mのレビューと更新

組織は、POA&MがCMMC要件に沿っていることを確認するために、少なくとも年に一度はレビューと更新を行うべきです。これには、組織の現在の環境とそのビジネス運営や技術インフラストラクチャの変更のレビューが含まれるべきです。さらに、組織は、制御目標とマイルストーンが依然として有効であることを確認し、新しい目標とマイルストーンを追加する必要があるかどうかを確認するために、POA&Mをレビューするべきです。

1. 継続的な監視

継続的な監視は、POA&Mプロセスの重要な部分です。組織は、システムの変更や弱点を特定するために、セキュリティ環境、プロセス、プロトコルを継続的に監視するべきです。これにより、組織は問題がセキュリティリスクになる前に迅速かつ効率的に対処することができます。

2. 環境の変化への対応

組織はまた、定期的に環境を評価し、必要に応じてセキュリティプロトコルの更新や新技術の導入などの変更を行うべきです。これにより、組織がCMMC要件を満たし、セキュリティ環境を最新の状態に保つことができます。

3. 効果の評価

組織はまた、システムの効果を確保するために、内部および外部のレビューを含むPOA&Mの効果を定期的に評価するべきです。これは継続的な監視プロセスの重要な部分であり、組織がセキュリティ環境の潜在的な弱点を特定し、それに対処するための行動を取るのに役立ちます。

4. 必要に応じたPOA&Mの更新

組織はまた、必要に応じてPOA&Mを更新するべきです。これには、制御目標、マイルストーン、または組織が運営する環境の変更が含まれる可能性があります。組織はまた、POA&Mの更新を必要とする可能性のあるCMMC評価の変更を考慮するべきです。

POA&M作成のためのツールとリソース

組織がPOA&Mを作成し、実施するのを支援するためのツールとリソースがいくつかあります。米国国立標準技術研究所（NIST）は、組織がPOA&Mに使用するためのサイバーセキュリティフレームワーク（NIST CSF）を提供しています。CMMC評価ガイドも、POA&Mの開発に関するガイドラインを提供しています。サイバーセキュリティ評価ツール（CAT）とセキュリティコンテンツ自動化プロトコル（SCAP）は、組織のセキュリティ環境を評価し、POA&Mを作成するために使用できます。さらに、組織は他の業界固有のリソースやツールを活用して、サイバーセキュリティのニーズを満たすPOA&Mを作成することができます。

POA&Mの作成と実施における課題

多くの組織にとって、成功したPOA&Mを作成し、実施することは課題となる可能性があります。組織は、POA&Mを適切に開発し、実施するためのリソースが不足しているかもしれません。また、組織内での変化への抵抗があり、POA&Mを実施するのが難しい場合もあります。さらに、複雑な環境では、POA&Mのすべての要素を考慮に入れることが難しい場合があります。特に、組織がPOA&Mを開発し、維持するためのリソースが不足している場合、コストの考慮もPOA&Mの作成と実施において役割を果たす可能性があります。最後に、組織はPOA&Mを効果的に作成し、維持するために必要なスタッフと専門知識が不足しているかもしれません。

KiteworksプラットフォームでCMMC 2.0コンプライアンスを実証

CMMC 2.0レベル2の認定プロセスを迅速化しようとしているDoDの請負業者および下請け業者は、適切な機密コンテンツ通信プラットフォームを整備する必要があります。

KiteworksはFedRAMP認定を受けており、競合他社よりも多くのCMMC 2.0レベル2の実践領域に準拠または部分的に準拠しています。これは、Kiteworks対応のプライベートコンテンツネットワークを使用するDoDの請負業者および下請け業者が、他のソリューションオプションの50%に対して、CMMC 2.0の実践領域にほぼ90%の準拠を持っていることを意味します。この機会を活用するために、DoDの請負業者および下請け業者は、Kiteworksプラットフォームを検討するべきです。

ニーズに合わせたカスタムデモについては、お問い合わせください。

リスクとコンプライアンス用語集に戻る