CMMC 2.0 コンプライアンス要件の必須ガイド

サイバーセキュリティ成熟度モデル認証（CMMC）フレームワークの複雑さを考慮すると、政府の請負業者および下請業者がすべての要件を満たすために包括的なCMMCコンプライアンスチェックリストを持つことが不可欠です。

CMMC認証プロセスは困難ですが、私たちのCMMC 2.0コンプライアンスロードマップが役立ちます。

このブログ記事では、CMMC 2.0フレームワークのCMMCコンプライアンス要件を探り、包括的なCMMCコンプライアンスチェックリストを提供し、国防総省（DoD）の請負業者にCMMCコンプライアンスを達成するための実践的な知見を提供します。

CMMCコンプライアンスとは何ですか？

CMMCは、防衛産業基盤（防衛産業基盤）に従事する製造請負業者を規制するサイバーセキュリティフレームワークであり、DoDのサプライチェーンパートナーの広範なリストです。制御されていない分類情報（CUI）または連邦契約情報（FCI）を処理、送信、共有、または受信する請負業者または下請業者は、CMMCに準拠していることを示す必要があります。

CMMCフレームワークの目標は、異なる要件と基準を取り入れ、自己評価と証明のためのいくつかのモデルと組み合わせて、信頼性が高く、厳格で堅牢なセキュリティプラクティスに統合し、どの企業でも整合できるようにすることです。

国際武器取引規則（ITAR）、連邦情報セキュリティマネジメント法（FISMA）、または連邦リスク承認管理プログラム（FedRAMP）など、他の連邦政府の規制とは異なるCMMCの構成要素には以下が含まれます：

• 制御されていない分類情報（CUI）および連邦契約情報（FCI）： CMMCは、CUIの保存、処理、送信、破棄を明示的にカバーしています。CUIは、秘密分類の下で指定されていないが、国家安全保障を維持するために特別な保護が必要な独自のデータ形式です。CUIの例には、政府契約に関連する財務情報、政府職員の個人識別情報または保護対象保健情報（PII/PHI）、または防衛システムに関連する機密技術データが含まれる場合があります。

  FCIは、請負業者と政府機関間の契約関係に関する情報の、より限定的な情報形態です。CMMCは両方のケースに対応するように構築されています。

• NIST規格： CMMCは、他の連邦サイバーセキュリティフレームワークと同様に、国家標準技術研究所（NIST）が作成し維持する基準に基づいています。具体的には、CMMCはNIST 800-171、「非連邦システムおよび組織における制御されていない分類情報の保護」に依拠しています。

  さらに、CMMCコンプライアンスのレベル3は、NIST SP 800-172、「制御されていない分類情報の保護のための強化されたセキュリティ要件：NIST特別出版物800-171の補足」からも取り入れられています。

• 成熟度レベル： 防衛請負業者と政府機関が業務上の関係を結ぶために必要なセキュリティ要件を一致させるために、CMMCはNIST SP 800-171（および場合によってはSP 800-172）の管理策の実施に基づいてコンプライアンスを3つの成熟度レベルに分けています。
• 第三者評価： CMMCは、FedRAMPと同様に、こちらにリストされているような認定第三者評価機関（C3PAO）によって実施される第三者評価に依拠しています。

CMMC 2.0の要件

CMMC 1.0からCMMC 2.0への移行は、防衛産業基盤（DIB）の防衛請負業者にとって、CMMCコンプライアンスをより効率的かつ実用的にするために、フレームワークとCMMC要件の簡素化と洗練を反映しています。CMMC要件の変更には以下が含まれます：

1. CMMC成熟度レベルの削減

CMMC 1.0は、基本的なサイバーハイジーン（レベル1）から高度/進行的（レベル5）までの5つのレベルを特徴としていました。対照的に、CMMC 2.0では、防衛請負業者は現在、3つの成熟度レベルのいずれかを満たす必要があります：レベル1（基礎）、レベル2（高度）、レベル3（エキスパート）。

2. NIST規格との整合

CMMC 2.0は、既存のNIST規格（レベル2のNIST SP 800-171およびレベル3のNIST SP 800-172）との整合を強化しています。この整合は、複雑さを軽減し、確立されたフレームワークとの一貫性を高めることを目的としています。

3. 自己評価

CMMC 2.0の下では、レベル1で連邦契約情報（FCI）を扱う企業は、認定第三者評価機関（C3PAO）による第三者認証を必要とせず、年次自己評価を実施するだけで済みます。注：CMMCレベル2のコンプライアンスは、扱う情報の種類に応じて、自己評価と第三者評価の組み合わせが必要です。

4. 特定のプラクティスとプロセスの削除

CMMC 2.0フレームワークは、CMMC 1.0のレベルに含まれていた成熟度プロセスを欠いており、純粋にサイバーセキュリティプラクティスに焦点を当て、CMMC要件を簡素化しています。

最終的に、CMMC 1.0からCMMC 2.0への移行は、防衛請負業者のためのサイバーセキュリティ要件に対するより簡素化され、整合されたアプローチを反映しています。

レベルの削減と簡素化にもかかわらず、これらの要件を満たすことの重要性は強調しすぎることはありません。CMMCコンプライアンスは、既存の契約を維持し、DoDとの新しい契約を確保するために不可欠であるだけでなく、機密情報を保護し、防衛サプライチェーンの整合性と信頼性を維持するためにも重要です。

成熟度レベル別のCMMC要件

防衛請負業者がCMMCコンプライアンスと認証プロセスを開始する前に、各CMMC成熟度レベルの具体的な要件を理解することが重要です（CMMC認証とCMMCコンプライアンスの違いを理解することを含みます）。CMMC 2.0フレームワークの3つの成熟度レベル、基礎、高度、エキスパートは、それぞれ独自のプラクティスとプロセスを持ち、DoDと共有する情報の機密性に応じて、防衛請負業者のサイバーセキュリティ姿勢を段階的に強化するように設計されています。各CMMC 2.0成熟度レベルの主要な要件は以下の通りです：

CMMC 2.0レベル1の要件：基礎的なサイバーセキュリティ

CMMCレベル1は、連邦契約情報（FCI）を扱う組織のための基礎的なサイバーセキュリティプラクティスに焦点を当てています。このレベルは、基本的なサイバーハイジーンを示すことを求める組織を対象としています。主要な要件は以下の通りです：

1. 基本的な保護プラクティス： 組織は、連邦調達規則（FAR）52.204-21に整合した17のプラクティスを実施し、FCIを保護するための基本的な保護要件を含める必要があります。
2. アクセス制御： 情報システムへのアクセスを認可されたユーザーとデバイスに制限します。
3. 意識とトレーニング： 組織の職員にセキュリティ意識トレーニングを提供します。
4. 構成管理： 組織の情報システムのベースライン構成を確立し、維持します。
5. 識別と認証： 情報システムのユーザー、プロセス、デバイスを識別し、アクセスを許可する前にその識別を確認します。
6. メディア保護： 情報システムのメディアを使用中および使用後に保護します。
7. 物理的保護： 情報システムおよびそのコンポーネントへの物理的アクセスを制限します。
8. リスク評価： 組織の運用に対するリスクを定期的に評価し、レビューします。
9. セキュリティ評価： セキュリティ要件への準拠を確保するために定期的なセキュリティ評価を実施します。
10. システムおよび通信の保護： 外部境界および主要な内部ポイントで組織の通信を監視、制御、保護します。
11. システムおよび情報の整合性： 情報および情報システムの欠陥を特定し、報告し、タイムリーに修正します。

全体として、CMMC 2.0レベル1は、ほとんどの組織が実施するのに馴染みがあり、簡単な基本的なサイバーセキュリティプラクティスを要求し、FCIを扱うための基本的な保護を提供します。

CMMC 2.0レベル2の要件：高度なサイバーセキュリティ

CMMCレベル2は、DoDとの契約の一環として制御されていない分類情報（CUI）を扱う防衛請負業者を対象としています。CMMC 2.0レベル2を達成するための主要な要件は以下の通りです：

1. NIST SP 800-171との整合： レベル2は主に、国家標準技術研究所特別出版物800-171（NIST SP 800-171）に記載された110のセキュリティプラクティスに整合しています。これには、アクセス制御、インシデント対応、リスク管理などのさまざまなドメインにわたる管理策が含まれます。
2. 評価と認証： 組織は、認定されたCMMC第三者評価機関（C3PAO）による第三者評価を受け、コンプライアンスを確認する必要があります。これはCUIを含む契約に必須です。
3. 年次自己評価： 組織は、サイバーセキュリティプラクティスの継続的なコンプライアンスと改善を確保するために、年次自己評価を実施する必要があります。
4. 文書化とポリシー開発： 企業は、各セキュリティプラクティスをサポートする文書化されたポリシーと手順を持つ必要があります。これには、定期的に更新される記録と監査トレイルが含まれます。
5. リスク管理： 組織は、サイバーセキュリティリスクを継続的に特定、評価、管理するリスク管理アプローチを実施する必要があります。
6. インシデント報告： インシデントをDoDに報告するための手順を整備し、潜在的な侵害に対するタイムリーなコミュニケーションと対応を確保します。
7. 継続的な監視： 企業は、情報システムを継続的に監視し、セキュリティ脅威を迅速に検出し対応するためのメカニズムを整備する必要があります。
8. セキュリティ意識とトレーニング： すべての従業員がサイバーセキュリティの責任とCUIの保護の重要性を理解するためのセキュリティトレーニングプログラムを実施します。

これらの要件を満たすことにより、組織は機密情報を保護し、CUIを含むDoD契約の資格を維持する準備が整います。

CMMC 2.0レベル3の要件：エキスパートサイバーセキュリティ

CMMCレベル3は、制御されていない分類情報（CUI）を扱う組織を対象としており、より高度なサイバーセキュリティプラクティスを実施する必要があります。レベル3の要件はまだ公的な文書で完全には詳細化されていませんが、利用可能な情報に基づく一般的な概要は以下の通りです：

1. NIST規格との整合： レベル3は、NIST SP 800-171で概説された管理策に基づき、高度なサイバーセキュリティプラクティスと保護に焦点を当てたNIST SP 800-172と密接に整合しています。
2. 高度なセキュリティプラクティス： 組織は、下位のCMMCレベル（レベル1およびレベル2）からのものを含む110以上のプラクティスを遵守し、追加の要件を強化して高度な脅威検出と対応に焦点を当てます。
3. インシデント対応と管理： 効果的にサイバーセキュリティインシデントを管理し報告する能力を備えた堅牢なインシデント対応プラクティスを整備します。
4. 継続的な監視： 組織は、サイバーセキュリティイベントを迅速に検出、対応、回復するための継続的な監視システムを実施する必要があります。
5. リスク管理： リスクを継続的に評価、優先順位付け、軽減するための成熟したリスク管理フレームワークが必要です。
6. エキスパートレベルの評価： このレベルの組織は、認定された第三者評価者による3年ごとの評価を受ける必要があります。
7. 連邦契約情報（FCI）およびCUIの保護： 組織は、FCIとCUIの両方を保護する強力な能力を示す必要があります。

これらは高レベルのガイドラインであるため、CMMC 2.0レベル3のコンプライアンスを目指す組織は、国防総省（DoD）からの更新を注意深くフォローし、サイバーセキュリティの専門家と相談して、進化するすべての具体的な要件を満たすようにする必要があります。

CMMCコンプライアンスチェックリスト

CMMC認証は、CMMCコンプライアンスの前提条件であり、厳格なプロセスです。CMMC認証を取得するためには、企業はDoDによって定められた広範な要件を満たす必要があります。以下は、CMMC認証を達成したい組織が対処し、満たす必要がある項目のCMMCチェックリストです。

組織に適したCMMC成熟度レベルを評価する

CMMC 2.0コンプライアンスを達成するための最初のステップは、組織に最も適したCMMC成熟度レベルを決定することです。CMMC認証プロセスは階層的なアプローチであり、企業は扱うデータの機密性に基づいて追求する適切なレベルを選択する必要があります。CMMC認証には3つのレベルがあります（上記参照）。

CMMCコンプライアンスの準備状況を評価するためにCMMC自己評価を実施する

組織が望むまたは必要とする成熟度レベルを決定したら、次のステップは組織のサイバーセキュリティプロファイルの自己評価を実施することです。この評価には、ポリシーと手順、ネットワークセキュリティ、アクセス制御、インシデント対応能力を含む組織のサイバーセキュリティ成熟度のレビューを含める必要があります。

他のサイバーセキュリティフレームワークを活用してCMMCコンプライアンスの取り組みを簡素化する

CMMC認証を達成することは複雑なプロセスですが、組織はCMMC要件と整合する既存のフレームワークや認証を活用することで移行を容易にすることができます。CMMCは既存のフレームワークから開発されており、CMMCと他の確立されたサイバーセキュリティフレームワークとの間には大きな重複があります。これらは規制コンプライアンスのために活用されます。

そのようなフレームワークの1つは、国家標準技術研究所サイバーセキュリティフレームワーク（NIST CSF）であり、サイバーセキュリティリスクの管理と軽減のためのガイドラインとベストプラクティスのセットを提供します。CSFを実施することで、組織はサイバーセキュリティプラクティスをCMMC要件と整合させることができ、認証プロセスをより簡素化し、スムーズにすることができます。

FedRAMP、FISMA、国際標準化機構27000規格（ISO 27001）、およびNIST特別出版物800-171など、他のフレームワークや認証もCMMC認証の達成に役立ちます。これらのフレームワークや認証を活用することで、組織は全体的なサイバーセキュリティ姿勢を改善し、CMMC要件への準拠を示すことができます。

CMMCコンプライアンスのための行動計画とマイルストーン（POA&M）を作成する

行動計画とマイルストーン（POA&M）は、組織のサイバーセキュリティ対策の弱点と欠陥に対処するための戦略を示す重要な文書です。CMMCコンプライアンスを示す上で重要な役割を果たします。POA&Mを作成するには、一連のステップが必要です。適切なレベルを特定した後、現在のサイバーセキュリティ姿勢と必要な認証との間のギャップを特定します。これには、組織の既存のポリシー、手順、技術的対策の徹底的な評価が必要です。

特定されたギャップに基づいて、最初に対処すべき領域を優先順位付けします。次に、各タスクのタイムラインを開発し、各アクションアイテムの完了期限を設定します。チームメンバーにタスクを割り当て、明確な責任を持たせ、進捗を追跡する責任を負わせます。最後に、コンプライアンスに向けたすべてのステップを文書化し、進捗を定期的に追跡し、必要に応じて行動計画とマイルストーンを更新します。このアプローチにより、CMMCコンプライアンスへの体系的かつ秩序だったアプローチが確保され、より効率的でタイムリーな結果につながります。

CMMCコンプライアンスを達成するためのシステムセキュリティ計画（SSP）を開発する

CMMCコンプライアンスを達成するために、組織は、NIST 800-171に従って制御されていない分類情報（CUI）を保存または送信するIT環境内の各システムに関する詳細を含むシステムセキュリティ計画（SSP）を作成する必要があります。

SSPは、システム間の情報フロー、認証および認可手順、企業の規則、スタッフのセキュリティ義務、ネットワーク図、および管理業務を概説しています。SSPは、ビジネスのセキュリティプロファイルまたは手順に重大な変更が加えられるたびに更新される必要がある生きた文書です。

契約入札および受注プロセス中に、国防総省は請負業者のSSPを評価します。DoDのビジネスを獲得するためには、請負業者はアクティブで正当なSSPを持っている必要があります。

SSPの作成（および更新）はリソースを多く消費するプロセスですが、CMMC認証基準を維持するために不可欠です。したがって、請負業者はSSPを作成および更新するために必要なリソースを確保する必要があります。

CMMCコンプライアンスを確保するためにCMMC第三者評価機関を選択する

自己評価を完了した後、CMMC第三者評価機関（C3PAO）を選択する必要があります。C3PAOは、認定機関（AB）によってCMMC評価を実施する権限を与えられた組織です。C3PAOは、CMMCフレームワークへの組織のコンプライアンスを評価する責任を負います。

C3PAOとの提携は、CMMCコンプライアンスを達成するプロセスにおいて重要なステップです。しかし、市場には複数のC3PAOが存在しており、適切なC3PAOを選択することは容易ではありません。

C3PAOを選択し、協力する際に考慮すべき点は以下の通りです：

• 認定されたC3PAOのリストをCMMC-ABのウェブサイトで確認する
• 業界での経験を持つC3PAOを探す
• C3PAOの認定状況を確認する
• 過去のクライアントからの参考文献とフィードバックを求める
• 価格構造を考慮する

C3PAOを選択したら、CMMCコンプライアンスを達成するために密接に協力する必要があります。C3PAOはコンプライアンスプロセス全体を通じてガイダンスを提供し、CMMCフレームワークへの組織のコンプライアンスを評価します。

CMMCコンプライアンスのためのタイムラインを設定する

CMMC認証プロセスは時間のかかる作業であり、企業はそれに応じて計画を立てる必要があります。認証プロセスを計画する際に企業が考慮すべき要因は以下の通りです：

• 組織の規模
• 現在のサイバーセキュリティ姿勢
• 認証プロセスは、認証レベルに応じて最大12か月かかる可能性があります
• C3PAOは、実際の評価の前にギャップ分析を実施し、これには最大3か月かかる可能性があります
• 認証プロセスには継続的なメンテナンスと定期的な評価が必要です

CMMCコンプライアンスを達成するために十分なリソースを割り当てる

CMMC認証プロセスは、財務および人員の配分に関して費用のかかる作業であり、企業はそれに応じて予算を立てる必要があります。請負業者は、サイバーセキュリティ評価、是正措置、および継続的なメンテナンスに関連するコストを負担することを想定しておく必要があります。予算を計画する際に企業が考慮すべき要因は以下の通りです：

• 認証プロセスのコストは、CMMCレベルに応じて異なる場合があります
• C3PAOの雇用コストは、経験と認定状況に応じて異なる場合があります
• 認証プロセスには継続的なメンテナンスが必要であり、コンプライアンス費用が増加する可能性があります

CMMC評価の準備方法

組織がCMMC評価の準備をするために取ることができる具体的なステップがあります。これらのステップの一部は以下の通りです：

• NIST要件を理解する： NISTは、セキュリティ文書をウェブサイトで自由に公開しています。そのため、評価で調査されるセキュリティ管理のカテゴリーについて、組織が基本的な理解をしておく必要はほとんどありません。少なくとも、組織内で評価者や政府と連携できる人物またはグループを持つことが重要です。
• ギャップ分析を実施する： セキュリティ会社を雇い、ITインフラストラクチャを分析し、CMMC要件と比較してどのように位置しているかをマッピングします。これにより、現在の状況と必要な変更やアップグレードを行うための明確なビジョンが得られます。
• リスク評価を実施する： CMMCの基準は明確に定義されていますが、業界標準やビジネス目標を考慮して、それらをチェックリストとして採用する前に検討することができます。リスク評価を実施することで、ビジネスの成長を妨げることなく、コンプライアンスを達成するために必要なことを理解することができます。
• C3PAOを選択する： CMMC認定機関（CMMC-AB）は、認定されたC3PAOのオンラインマーケットプレイスディレクトリを提供しています。このユーティリティを使用して、協力したい企業を選択します。

  ただし、CMMC-ABは、請負業者が評価関係外でC3PAOと協力することを禁止しています。たとえば、利益相反を避けるために、C3PAOは、企業を評価する前にコンサルティングやサイバーセキュリティIT作業を提供することはできません。

• 継続的な評価の準備をする： 初回のCMMC認証後、組織は継続的な再認証と監視を処理する必要があります。認証の成熟度レベルに応じて、年次自己評価または3年ごとのC3PAO監査が必要になる場合があります。

CMMCコンプライアンスのコスト

DoDと協力しようとする組織にとって、CMMCコンプライアンスの真のコストを理解することは重要です。コストは、組織の規模、ネットワークインフラストラクチャの複雑さ、達成しようとしているCMMCコンプライアンスのレベルなど、いくつかの要因によって大きく異なる可能性があります。CMMCコンプライアンスのコストには、サイバーセキュリティのアップグレード、コンサルタント料金、スタッフの追加トレーニングが含まれる場合があります。

これらの費用にもかかわらず、CMMCコンプライアンスを達成することは、DoD請負業者にとっての要件であるだけでなく、組織のサイバーセキュリティ姿勢への貴重な投資でもあります。これらの初期コストに続いて、組織はCMMCコンプライアンスに伴う継続的な費用も考慮する必要があります。これには、定期的なサイバーセキュリティ監査、定期的なネットワークアップグレード、そして新たな脅威に先んじるための継続的な従業員トレーニングが含まれる場合があります。必要な文書の維持や、コンプライアンスプロセスを管理するために第三者サービスプロバイダーを雇うことを選択した場合には、追加のコストが発生する可能性があります。

CMMCコンプライアンスのコストに影響を与える重要な要因の1つは、組織が達成しようとしているCMMCレベルです。CMMCモデルは5つのレベルで構成されており、レベル1が最も基本的で、レベル5が最も高度です。各レベルは、段階的により厳格なサイバーセキュリティ管理を必要とするため、レベルが上がるにつれてコストも増加します。組織が必要なコンプライアンスレベルを正確に評価し、それに応じて予算を立てることが重要です。

もう1つのコストの考慮事項は、組織の規模と複雑さです。複雑なネットワークインフラストラクチャを持つ大規模な組織は、サイバーセキュリティのニーズが増加するため、より高いコンプライアンスコストに直面する可能性があります。一方、小規模な組織はコストをより管理しやすいと感じるかもしれませんが、コンプライアンスを確保するために必要なインフラストラクチャとトレーニングに投資する準備をしておく必要があります。

CMMCコンプライアンスのコストはかなりのものになる可能性がありますが、それを単なる費用としてではなく、組織の将来への投資として再び見ることが重要です。CMMCコンプライアンスを達成することで、組織はDoDと協力するための要件を満たすだけでなく、全体的なサイバーセキュリティを大幅に強化し、将来的に高額なサイバー攻撃を回避する可能性があります。したがって、CMMCコンプライアンスのコストを管理し計画することは難しいかもしれませんが、潜在的な利益は初期および継続的なコストをはるかに上回ります。さらに、コンプライアンスを遵守しないことは、これらの契約に依存する組織にとって、DoDとのビジネスの喪失につながる可能性があり、コンプライアンスのコストを価値ある投資にしています。

KiteworksでCMMCコンプライアンスの準備を整える

現代のデータ駆動型ビジネスは、運用をサポートするために安全で摩擦のないITインフラストラクチャに依存します。政府の請負業者にとって、これはCMMC準拠の安全なファイル共有ソリューションを使用することを意味します。

Kiteworksプライベートコンテンツネットワークは、そのようなソリューションです。

Kiteworksを使用することで、防衛請負業者や高度に規制された業界で活動する他の組織は、私たちの独自のプライベートコンテンツネットワークを使用して安全で、コンプライアンスを確保できます。このプライベートで保護された通信プラットフォームは、組織に安全でコンプライアンスを確保したメール、ファイル共有、マネージドファイル転送（MFT）、ウェブフォーム、およびアプリケーションプログラミングインターフェース（API）を提供します。

Kiteworksは、強化された仮想アプライアンス、エンドツーエンド暗号化、安全な展開オプション（FedRAMP仮想プライベートクラウドを含む）、詳細な制御、認証、セキュリティインフラストラクチャの統合、および包括的なログと監査報告を特徴としており、組織がセキュリティ基準への準拠を容易かつ安全に示すことができます。

Kiteworksは、FedRAMP、連邦情報処理規格（FIPS）、FISMA、ITAR、一般データ保護規則（GDPR）、オーストラリアの情報セキュリティ登録評価者プログラム（IRAP）、NIST CSF、ISO 27001、英国サイバーエッセンシャルプラス、欧州連合のNIS 2指令など、多数の連邦および国際データプライバシー規制と基準への準拠を組織が示すのを支援します。

最後に、Kiteworksは、DIBのDoD請負業者および下請業者が、CMMCレベル2のプラクティスのほぼ90%をすぐに達成することを可能にします。

カスタムデモをリクエストして、KiteworksとプライベートコンテンツネットワークがCMMCコンプライアンス要件を達成するのにどのように役立つか、CMMC 2.0レベル2への準拠を示すことを含めて学びましょう。