CMMC実施が迫る中で知っておくべき32 CFRコンプライアンスについて

サイバーセキュリティ成熟度モデル認証（CMMC）プログラムは、大きな前進を遂げようとしています。2024年10月15日に連邦官報に掲載された最終規則32 CFR パート170は、2024年12月16日に発効し、早ければ2025年第1四半期に契約に含まれる可能性があります。

この投稿では、32 CFRについて詳しく見ていきます。国防総省（DoD）との業務を継続したい防衛請負業者がCMMCコンプライアンスを示す必要がある場合に何を意味するのかを解説します。

CMMC認証プロセスは厳しいですが、私たちのCMMCコンプライアンスロードマップが役立ちます。

32 CFRとは何か、なぜ重要なのか？

32 CFRは、CMMCプログラムの規制フレームワークを確立します。これは、連邦契約情報（FCI）および制御されていない分類情報（CUI）を保護するためのサイバーセキュリティ成熟度を高める3つのCMMCレベルを定義しています：

• CMMCレベル1: CMMCレベル1は基本的なサイバーハイジーンに焦点を当てており、組織が基礎的なサイバーセキュリティ慣行を実施することを要求します。具体的には、6つのユニークなドメイン内の15の要件です。これらの慣行は連邦調達規則（FAR）の要件と一致し、アクセス管理、物理的保護、基本的な監視を含むシンプルなセキュリティコントロールを通じて連邦契約情報（FCI）を保護することを目的としていますが、正式な文書化やプロセスの成熟度は必要ありません。
• CMMCレベル2: CMMCレベル2はCUIを扱う組織向けに設計されており、NIST 800-171に基づく110のセキュリティ慣行の遵守を要求します。このレベルは、暗号化、アクセス管理、定期的な監視を含むより厳格なコントロールを強調し、自己評価または第三者監査を通じてプロセスの文書化と成熟度を示します。
• CMMCレベル3: CMMCレベル3は、非常に機密性の高いCUIおよび重要な国家安全保障情報を管理する組織を対象としています。レベル3では、NIST SP 800-171からの110の管理策とNIST SP 800-172からの追加24の管理策を含む134の管理策が必要です。レベル3は、継続的な評価、詳細な文書化、および第三者認証を要求し、最高レベルのセキュリティを確保します。

32 CFR規則は、NIST 800-171や800-172のような既存の基準から引き出された各レベルの具体的なセキュリティ要件を概説しています。

重要なことに、32 CFRはCMMCを概念モデルから防衛産業基盤（DIB）のための強制可能な要件セットに変えます。これは、認定第三者評価機関（C3PAO）の基準や評価を実施する手順を含む評価および認証プロセスを詳細に説明しています。

時間が迫る：CMMC実施タイムライン

2024年10月15日に連邦官報に掲載された最終規則32 CFR パート170は、2024年12月16日に発効し、早ければ2025年第1四半期に契約に含まれる可能性があります。準備する時は今です。

DIBの防衛請負業者は、直ちに現在のサイバーセキュリティ体制を評価し、彼らのレベルに対する予想されるCMMC要件に対して準備を始めるべきです。C3PAOとの早期連携は、評価キューでの場所を確保するために重要です。この積極的なアプローチは、契約資格が義務化される前に必要なコンプライアンスレベルでの認証を確保するのに役立ちます。

CMMCに準拠する必要がありますか？こちらが完全なCMMCコンプライアンスチェックリストです。

CMMCコンプライアンスの効率化：Kiteworksプライベートコンテンツネットワーク

組織がCMMCの準備に追われる中、Kiteworksのような包括的なソリューションがますます価値を増しています。Kiteworksのプライベートコンテンツネットワークは、FedRAMP中程度の認可を受けており、CMMCレベル2の要件の約90%を即座にサポートします。

Kiteworksプラットフォームの主な機能には以下が含まれます：

• セキュアなファイル共有: Kiteworksのセキュアなファイル共有は、組織が機密ファイルを内部および外部で安全に共有できるようにし、暗号化、ユーザーアクセスコントロール、監査ログ、およびFedRAMP、そしてもちろんCMMCに準拠した規制コンプライアンスなどの高度な機能を提供します。
• メール保護: Kiteworksのメール保護機能は、メールと添付ファイルの送信中および保存中のエンドツーエンド暗号化を提供します。機能には、メール保護ゲートウェイ、送信、受信、ダウンロード、または移動されたすべてのファイルの追跡、ファイル活動を記録し、SIEMソリューションを通じてフィードするか、規制コンプライアンスを示すために使用できる監査ログ、およびセキュアでコンプライアンスを遵守したメール交換のための詳細なアクセスコントロールが含まれます。
• マネージドファイル転送: Kiteworksのセキュアなマネージドファイル転送（MFT）ソリューションは、ネットワーク間で大容量または大量の機密ファイルを転送するためのエンタープライズレベルのセキュリティを提供します。エンドツーエンドの暗号化、ワークフローの自動化、GDPRやHIPAAなどの規制への準拠を提供します。リアルタイムの追跡、アクセスコントロール、および監査ログにより、組織はデータ転送の可視性と制御を得ることができます。
• ウェブフォーム: Kiteworksのセキュアなウェブフォームソリューションは、暗号化されたカスタマイズ可能なウェブフォームを通じて機密データを収集することを可能にします。エンドツーエンドの暗号化とアクセスコントロールによりデータプライバシーを確保し、GDPR、PCI DSS、HIPAAなどの規制に準拠します。機能には、自動化されたワークフロー、監査ログ、セキュアなデータ送信のためのリアルタイム追跡が含まれます。
• 強力なアクセスコントロール: Kiteworksのアクセスコントロールは、組織が機密データへのアクセスを管理および制限し、許可されたユーザーのみが個人識別情報および保護された健康情報（PII/PHI）、知的財産（IP）、およびその他の機密情報を表示、編集、または共有できるようにします。詳細な権限、多要素認証（MFA）、および役割ベースのアクセスにより、Kiteworksは機密コンテンツへのアクセスを許可されたユーザーのみに制限します。
• 堅牢な暗号化機能: Kiteworksは、送信中および保存中の機密データを保護する堅牢な暗号化機能を提供します。Kiteworksは、送信中のコンテンツにAES 256暗号化を、保存中のコンテンツにTLS 1.3を利用します。エンドツーエンドの暗号化を利用して、Kiteworksはファイル、メール、および通信を不正アクセスから保護します。このソリューションは業界標準および規制に準拠しており、データの整合性と機密性を確保しながら、ユーザーにデータ保護の安心感を提供します。
• 包括的な監査ログ: Kiteworksは、ファイル共有、メール、およびデータ転送に関連するすべてのユーザー活動を追跡する包括的な監査ログ機能を提供します。これらのログは、アクセス、変更、および共有イベントに関する詳細な知見を提供し、CMMCやIRAPなどの規制に対する説明責任とコンプライアンスを確保します。この機能は、積極的な監視とフォレンジック分析を可能にすることでセキュリティを強化します。

これらの機能は、アクセスコントロール、監査と説明責任、システムと通信の保護を含む複数のドメインにわたってCMMC要件と密接に一致しています。このようなソリューションを活用することで、組織はCMMCコンプライアンスの取り組みを大幅に効率化し、データ侵害のリスクを軽減できます。

Kiteworksは防衛請負業者がプライベートコンテンツネットワークでCMMCコンプライアンスを示すのを支援します

最終規則32 CFR パート170は2024年10月15日に連邦官報に掲載され、2024年12月16日に発効します。CMMC認証が早ければ2025年第1四半期にDoD契約に含まれる可能性があるため、DIBの組織は迅速に行動し、サイバーセキュリティ体制を評価し、認証プロセスを開始する必要があります。Kiteworksのようなソリューションは、この準備において重要な役割を果たし、CMMC要件を満たし、機密情報を保護するための包括的なツールを提供します。実施日が近づくにつれ、情報を常に把握し、積極的に行動することが、コンプライアンスを確保し、DoD契約の資格を維持するための鍵となります。

Kiteworksのプライベートコンテンツネットワークは、FIPS 140-2レベルの検証を受けたセキュアなファイル共有およびファイル転送プラットフォームであり、メール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送、および次世代デジタル著作権管理ソリューションを統合し、組織がファイルを管理し、保護し、追跡することを可能にします。

Kiteworksは、CMMC 2.0レベル2の要件の約90%を即座にサポートします。その結果、DoD請負業者および下請け業者は、適切な機密コンテンツ通信プラットフォームを確保することで、CMMC 2.0レベル2の認定プロセスを加速できます。

Kiteworksを使用することで、DoD請負業者および下請け業者は、専用のプライベートコンテンツネットワークに機密コンテンツ通信を統合し、CMMC 2.0の実践に一致する自動化されたポリシーコントロールと追跡およびサイバーセキュリティプロトコルを活用します。

Kiteworksは、以下のコア機能と特徴を含む迅速なCMMC 2.0コンプライアンスを可能にします：

• SSAE-16/SOC 2、NIST SP 800-171、およびNIST SP 800-172を含む、米国政府の主要なコンプライアンス基準および要件に基づく認証
• FIPS 140-2レベル1の検証
• 中程度の影響レベルCUIに対するFedRAMP認可
• 保存中のデータに対するAES 256ビット暗号化、送信中のデータに対するTLS 1.2、および唯一の暗号化キー所有権

Kiteworksの展開オプションには、オンプレミス、ホスティング、プライベート、ハイブリッド、およびFedRAMP仮想プライベートクラウドが含まれます。Kiteworksを使用すると、機密コンテンツへのアクセスを制御し、自動化されたエンドツーエンド暗号化、多要素認証、およびセキュリティインフラストラクチャの統合を使用して外部で共有される際に保護し、誰が何を誰に、いつ、どのように送信するかを含むすべてのファイル活動を確認、追跡、および報告します。最後に、GDPR、HIPAA、CMMC、Cyber Essentials Plus、IRAPなどの規制および基準に準拠していることを示します。

Kiteworksについて詳しく知りたい方は、カスタムデモをスケジュールしてください。