CMMC 2.0 メディア保護要件を満たす方法

サイバーセキュリティ成熟度モデル認証（CMMC）2.0は、防衛産業基盤（DIB）内のメディアを保護するための強化されたプロトコルを導入しています。これらの強化は、DIB内の請負業者が厳格なサイバーセキュリティ基準を遵守することを確保するための広範な取り組みの一環です。

CMMC 2.0におけるメディア保護は、デジタルおよび非デジタルメディアの両方を保護することに焦点を当てています。これには、不正アクセス、データ侵害、データ損失を防ぐための厳格な管理策の実施が含まれます。防衛請負業者は、CMMCコンプライアンスの広範な文脈の中でメディア保護の重要性を認識しなければなりません。遵守しない場合、重大なリスクと影響を招く可能性があります。

最終的に、CMMCメディア保護要件を遵守することは、さまざまな環境で機密データの機密性、整合性、可用性を確保するために重要です。防衛セクターを標的とする脅威が増加していることを考えると、防衛請負業者および下請け業者にとって、メディア保護要件を理解し実施することが不可欠です。

このブログ記事では、CMMC 2.0のメディア保護要件について、その内容、実際に必要なこと、非遵守のペナルティ、そして最後にCMMCメディア保護要件を満たすためのベストプラクティスを探ります。

CMMCコンプライアンスを通じたデータ保護の最適化

CMMCコンプライアンスを通じたデータ保護の最適化は、機密情報を扱う組織にとって重要です。CMMC基準を遵守することで、データセキュリティが強化され、サイバー脅威に関連するリスクが軽減されます。メディア保護ドメインのようなCMMC要件を遵守することで、企業はデータを強固に保護し、信頼を維持し、デジタル環境での競争力を保つことができます。

CMMC認証プロセスは困難ですが、私たちのCMMC 2.0コンプライアンスロードマップが役立ちます。

CMMCレベル2.0コンプライアンスのためのメディア保護

メディア保護は、CMMCレベル2.0コンプライアンスを達成しようとする組織にとって不可欠です。この投稿では、物理的または電子的メディアに保存された制御されていない分類情報（CUI）や連邦契約情報（FCI）などの機密情報を保護するための必要なプロトコルとベストプラクティスを概説します。これらのガイドラインを遵守することで、組織は強固なメディアセキュリティを確保し、データ侵害や不正アクセスのリスクを大幅に減少させることができます。

CMMCメディア保護ドメインの概要

CMMCメディア保護ドメインは、物理的および電子的メディアを保護することに焦点を当てており、機密情報を保存するシステムを含み、許可された個人のみがアクセスできるようにします。これには、厳格なメディアの保存および輸送管理の実施、暗号化の強制、および不正アクセスやデータ侵害を防ぐための強固なデータ破壊プロトコルの確立が含まれます。

物理メディアとは、データを保存または輸送するために使用される有形のオブジェクトを指します。CMMC 2.0のメディア保護要件に関連する物理メディアの例には以下が含まれます：

• USBフラッシュドライブ
• 外付けハードドライブ
• CD、DVD、Blu-rayディスク
• 紙の文書
• バックアップテープ
• SDカード
• 磁気ストライプカード

防衛請負業者は、これらおよび他の形態の物理メディアを保護するための管理策を実施することが求められ、適切なラベル付け、機密情報の暗号化、アクセス制御の確立、輸送および廃棄時のメディアの保護を含みます。

対照的に、電子メディアとは、データを保存または送信するために使用されるデジタル形式およびデバイスを指します。CMMC 2.0のメディア保護要件に関連する電子メディアの例には以下が含まれます：

• コンピュータハードドライブ
• クラウドストレージサービス
• ネットワーク接続ストレージ（NAS）
• メールサーバー
• データベース
• エンタープライズリソースプランニング（ERP）システム
• 仮想マシン
• ファイルサーバー
• ウェブホスティングサーバー
• モノのインターネット（IoT）デバイス

DIB内の組織は、CMMC 2.0コンプライアンスの一環として、これらのタイプの電子メディアを保護するために、暗号化、アクセス制御、監視、セキュアな廃棄を含む適切な管理策を実施する必要があります。

制御されていない分類情報（CUI）や連邦契約情報（FCI）を含む機密データ、設計仕様、運用情報、戦略計画がこれらのメディアに保存されており、不正アクセスやサイバー脅威の主要なターゲットとなっています。したがって、CMMCメディア保護の重要性は、国家安全保障を脅かす可能性のある侵害を防ぐためにこの情報を保護することにあります。

必須のCMMCメディア保護対策

CMMC 2.0メディア保護要件を満たすためには、機密データを保護するために設計された一連の対策を実施する必要があります。メディア保護は、5つの異なる実践に分類されます：

1. アクセス制御: DIBのITおよびコンプライアンス専門家は、許可された人員のみが機密メディアを扱うことができるようにする必要があります。これを達成するためには、堅牢な認証プロセスを導入し、組織内の個々の役割に基づいてアクセスを制限することが重要です。厳格なアクセス制御を維持することで、組織は不正なデータアクセスのリスクを大幅に減少させることができます。
2. データ暗号化: 防衛請負業者、下請け業者（そして正直に言えば、すべてのセクターのすべての企業）は、データ暗号化の使用を完全に受け入れる必要があります。暗号化はデータを不正なユーザーにとって読めない形式に変換し、機密情報が誤った手に渡っても保護されることを保証します。暗号化は、保存中のデータと転送中のデータの両方に適用され、すべての形式のメディアにわたる包括的なセキュリティレイヤーを提供します。
3. バックアップ: 信頼性のあるバックアップソリューションを実施することは、データの可用性と整合性を確保し、潜在的なデータ損失や侵害から保護するために重要です。定期的に重要なデータのコピーを作成し、安全な場所に保存することで、ハードウェアの故障、サイバー攻撃、または誤削除が発生した場合に迅速に情報を回復することができます。これらのソリューションには、通常、自動バックアップスケジュールと複数のサイトにわたる冗長性が含まれており、データのレジリエンスを確保します。
4. 監視: メディアの使用状況を定期的に監視することで、組織は不正アクセスや異常を迅速に検出できます。このプロアクティブなアプローチは、機密情報を保護し、リスクを最小限に抑え、CMMCメディア保護のベストプラクティスに沿ったものです。継続的な監視は、潜在的な脆弱性を特定し、タイムリーな介入を可能にし、メディアセキュリティを強化します。
5. セキュアな廃棄: 情報は最終的に陳腐化します。機密情報を含むメディアの安全な廃棄は、情報が誤った手に渡らないようにする方法で廃棄されなければなりません。メディアのセキュアな廃棄には、通常、廃棄前にメディアを完全に消去、破壊、または安全に消去することが含まれます。これにより、データの不正な回収が防止され、データ侵害につながる可能性があります。

CMMCメディア保護のベストプラクティス

特にCMMC 2.0メディア保護要件の文脈で、メディア保護のベストプラクティスを採用することは、技術、ポリシー、意識を組み合わせた戦略的アプローチを含みます。CMMC 2.0メディア保護要件に準拠したメディア保護プログラムを開発する際には、次のベストプラクティスを考慮してください。

適切なメディア保護のための定期的な従業員トレーニングを実施する

適切なメディア保護に関する定期的な従業員トレーニングを実施することで、不正アクセスや侵害から機密データを保護する重要性を強化します。定期的なトレーニングセッションは、従業員に最新の脅威と予防技術を更新し、セキュリティ意識と警戒心の文化を育成します。これらのセッションは通常、新しいマルウェアのトレンド、フィッシング攻撃戦略、データ侵害戦術など、幅広いトピックをカバーします。

これらの進化する脅威を理解することで、従業員は疑わしい活動を特定し対応する能力を向上させます。この継続的な教育は、セキュリティが優先される職場環境を育成し、従業員が機密情報を保護するために警戒心を持ち、積極的に行動することを奨励します。その結果、組織はサイバーセキュリティインシデントのリスクを減少させ、防御を強化し、潜在的な攻撃に対する全体的なレジリエンスを向上させます。

メディアアクセスを制限するための厳格なアクセス制御を実施する

物理的および電子的メディアへのアクセスを制限することで、不正なデータ露出のリスクを最小限に抑えます。厳格なアクセス制御を実施することで、組織は許可された人員のみが機密データを扱い、対話できるようにし、紙の文書のような物理的な形式や、データベースやデジタルファイルのような電子的な媒体に保存されている場合でも、機密データを保護します。

物理メディアの場合、適切な対策には、ロックされたキャビネットや適切なクリアランスを持つ者のみが入れる制限区域などの安全な保管ソリューションが含まれます。これにより、機密文書が盗難、紛失、不正なコピーなどの潜在的な脅威から保護されます。

電子メディア保護の場合、同様の原則が適用されますが、デジタルセキュリティの実践に焦点を当てます。たとえば、コンピュータ、サーバー、クラウドストレージシステムへのアクセスは、パスワード、生体認証、多要素認証（MFA）などの強力な認証方法を通じて制御されるべきです。

物理的および電子的メディアを保護するための暗号化ツールを使用する

暗号化は、機密データが不正アクセスから守られることを保証するために不可欠です。暗号化は、適切な復号鍵がない限り、機密データを読めない形式に変換することで、物理的および電子的メディアを保護します。転送中のデータ—一つの場所から別の場所に移動するデータ—に対して、暗号化は、途中でデータが傍受されても読めないままであることを保証します。

同様に、保存中のデータ—ハードドライブ、USB、またはクラウドストレージに保存されている情報—も暗号化の恩恵を受けます。暗号化は、物理メディアが紛失または盗難された場合でもデータを保護します。暗号化の能力は、適切な復号鍵がない限り、データを安全で読めない形式に変換するため、現代のデータセキュリティ戦略の重要な要素です。

包括的なメディア保護ポリシーを確立する

堅牢なメディア保護ポリシーを確立することで、体系的な手順を通じて機密情報を保護します。これにより、デジタルおよび物理的メディアが一貫してラベル付けされ、追跡され、不正アクセスやデータ侵害のリスクが最小限に抑えられます。メディア保護ポリシーには、機密メディアの適切な取り扱いに関する明確なガイドラインが含まれているべきです。もちろん、ポリシーは従業員に伝達されるべきです。

ポリシーには、データの整合性と機密性を維持するための安全な保管、輸送、使用、廃棄のプロトコルが含まれているべきです。明確に定義されたメディア保護ポリシーは、組織のサイバーセキュリティ姿勢を強化し、規制コンプライアンスを可能にし、レジリエンスを高め、ステークホルダーの信頼を促進します。

メディアの使用と保管の実践を定期的に監査および監視する

組織内でメディアがどのように使用され、保管されているかを定期的に監査および監視することは、堅牢なデータセキュリティを維持するために重要です。このプロセスには、組織がデジタルおよび物理的メディアを管理するために採用しているプロトコルと技術を体系的にレビューおよび評価することが含まれます。これにより、組織は悪意のある行為者によって悪用される可能性のある既存のシステムの弱点や脆弱性を特定できます。

これらの監査には、暗号化方法、アクセス制御、データ処理手順の有効性を評価することが含まれることがよくあります。監視の実践は、組織内でデータがどのように移動し、誰がアクセスしているかを追跡するために不可欠です。この継続的な監視により、組織は不正アクセスやデータ漏洩を迅速に検出できます。これらのセキュリティギャップを早期に特定することで、組織は即時の是正措置を講じることができます。

メディアを共有するためのセキュアなデータ転送方法を利用する

暗号化と認証機能を提供するセキュアなデータ転送方法を利用することで、転送中のデータの整合性を確保します。これは、データ侵害のリスクを軽減するために重要です。特に機密情報を転送する際には、データを不正アクセスから保護するためにセキュアな方法を使用することが重要です。これらの方法には、データをコードに変換し、正しい復号鍵を持つ者のみが解読できるようにする暗号化が含まれることがよくあります。これにより、転送中にデータが傍受されても、悪意のある行為者によって簡単に読まれたり悪用されたりすることはありません。

暗号化に加えて、データ交換に関与する当事者の身元を確認するために認証機能も使用されます。認証方法には、パスワード、セキュリティトークン、または生体認証が含まれ、データが正当なユーザーまたはシステムによって送受信されていることを確認します。これらの実践は、不正アクセスを防ぎ、転送中にデータが改ざんされないようにします。これらの保護がない場合、データは変更、破損、または盗まれ、潜在的なデータ侵害につながる可能性があります。

すべてのメディアデバイスの最新のインベントリを維持する

すべてのメディアデバイスの正確なインベントリは、デバイスの使用状況を明確に把握し、組織がリソースをより効果的に管理し、すべてのデバイスが最適に使用されることを保証します。使用中のデバイスとその場所を正確に把握することで、組織はソフトウェアの更新やハードウェアの交換が必要なデバイスを迅速に特定できます。このプロアクティブなアプローチは、デバイスが古くなったり、故障したりすることによるシステムの非効率や中断を防ぐのに役立ちます。

運用効率の向上に加えて、正確なインベントリはセキュリティの脆弱性を最小限に抑えるのに大きく貢献します。メディアデバイスの定期的な更新とタイムリーな交換は、堅牢なセキュリティプロトコルを維持するために不可欠です。古いデバイスには、悪意のある行為者によって悪用される可能性のある未修正のセキュリティ欠陥があるかもしれません。

デバイスのメンテナンスを把握することで、組織は潜在的なサイバー脅威からデータとITインフラストラクチャを保護できます。各メディアデバイスの詳細な記録を保持します。デバイスの仕様、場所、状態、およびメンテナンス履歴を文書化します。これらの記録の定期的な監査を実施して、インベントリの正確性を確認し、すべてのデバイスが把握されていることを保証します。各デバイスを追跡することで、組織は誰が機密情報にアクセスできるかをよりよく管理し、許可された人員のみが重要なシステムと対話できるようにします。

セキュアなバックアップおよびリカバリプロセスを開発および実施する

セキュアなバックアップおよびリカバリプロセスを作成し実行することは、誤削除、ハードウェアの故障、サイバー攻撃、自然災害などの潜在的な脅威から機密データを保護するために不可欠です。すべての重要なデータを特定し、その重要性と損失の潜在的な影響に基づいて適切なバックアップ戦略を決定します。定期的なバックアップを実施し、オンサイトおよびオフサイトの両方のソリューションを活用して強力な保護を提供します。この二重のアプローチにより、データが複数の場所に保存され、局所的なインシデントによるデータ損失のリスクが軽減されます。

信頼性のあるバックアップソフトウェアを使用することが重要であり、自動バックアップ、バージョニング、増分バックアップをサポートし、ストレージスペースを最適化し、現在および過去のデータバージョンを維持します。データ損失が発生した場合にデータを正常に復元できることを確認するために、定期的にリカバリプロセスをテストすることも重要です。これには、データ損失シナリオをシミュレートし、すべてのデータが迅速かつ正確に回復できることを確認することが含まれます。したがって、組織はダウンタイムを最小限に抑えることができ、これは運用を維持するために重要です。

同様に、全体的なバックアップ戦略の一部として災害復旧計画を組み込むことで、組織は大規模な混乱に備えることができます。これには、役割と責任の定義、コミュニケーションプロトコルの確立、およびすべてのチームメンバーがデータ復旧状況で効果的に対応するためのトレーニングを受けることが含まれます。

CMMCに準拠する必要がありますか？完全なCMMCコンプライアンスチェックリストをご覧ください。

メディア保護を強化するための高度な技術

メディア保護コンプライアンスの最高レベルを達成するために、DIB請負業者は高度なセキュリティ技術を採用することを検討するべきです。レイヤードセキュリティアプローチ、または多層防御として知られる方法を実施することは、メディアを保護するために複数のセキュリティ対策を利用することを含みます。この戦略には、ファイアウォール、侵入検知システム、データ損失防止ツールの使用が含まれることがあります。レイヤードアプローチは、1つのセキュリティ対策が侵害された場合でも、追加のレイヤーが機密データを保護するために残ることを保証します。

さらに、物理的および電子的メディアのセキュアな廃棄方法を採用することは、不正なデータ回収を防ぐために重要です。これには、電子デバイスのセキュアなデータ消去技術の採用や、物理メディアのシュレッディングや消磁が含まれます。厳格な廃棄実践を適用し、機密データの破壊を確認することで、組織はデータライフサイクル全体を通じて包括的なメディア保護を確保できます。

KiteworksはDIB請負業者がCMMCコンプライアンスを示すのを支援します

CMMCメディア保護要件を実施することは、単なるコンプライアンスの問題ではなく、DIB内での機密メディアを保護し、データの整合性、機密性、可用性を維持するための包括的な必要性を含んでいます。IT、リスク、コンプライアンスの専門家は、メディア保護に対してプロアクティブなアプローチを取り、ベストプラクティス、定期的な評価、高度な技術を採用して、組織のレジリエンスとセキュリティを確保する必要があります。メディア保護を優先することで、組織はリスクを大幅に軽減し、防衛セクター内での地位を強化し、進化する脅威に対して機密情報を保護することができます。

Kiteworksのプライベートコンテンツネットワークは、防衛請負業者がCMMCメディア保護要件を遵守するのを支援する上で重要な役割を果たします。堅牢な暗号化とセキュアなファイル転送方法を採用することで、セキュアなメール、セキュアなマネージドファイル転送（MFT）、セキュアなファイル転送プロトコル（SFTP）およびその他の伝送チャネルを含む、KiteworksはCUIやFCIのような機密データを不正アクセスから保護します。DIB請負業者は、Kiteworksを活用して、CMMCメディア保護のベストプラクティスを実施し、データ共有の制御や厳格なユーザーアクセス制御を行うことができます。これにより、セキュリティが向上するだけでなく、CMMC 2.0フレームワークに準拠するプロセスが簡素化されます。最後に、Kiteworksは詳細な監査トレイルとコンプライアンス報告を提供します。これらの機能は、請負業者がメディア保護対策を検証し、CMMCコンプライアンスを維持する上での包括的なメディア保護の重要性を強調します。

Kiteworksのプライベートコンテンツネットワークは、FIPS 140-2レベル検証済みのセキュアなファイル共有およびファイル転送プラットフォームであり、メール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送、および次世代デジタル著作権管理ソリューションを統合し、組織がすべてのファイルを管理、保護、および追跡できるようにします。

Kiteworksは、CMMC 2.0レベル2要件の約90%を標準でサポートしています。その結果、DoD請負業者および下請け業者は、適切な機密コンテンツ通信プラットフォームを確保することで、CMMC 2.0レベル2認定プロセスを加速できます。

Kiteworksを使用することで、DoD請負業者および下請け業者は、機密コンテンツ通信を専用のプライベートコンテンツネットワークに統合し、CMMC 2.0の実践に沿った自動化されたポリシー制御と追跡およびサイバーセキュリティプロトコルを活用します。

Kiteworksは、以下の主要な機能と特徴を備えた迅速なCMMC 2.0コンプライアンスを可能にします：

• SSAE-16/SOC 2、NIST SP 800-171、NIST SP 800-172を含む、米国政府の主要なコンプライアンス基準および要件に基づく認証
• FIPS 140-2レベル1検証
• 中程度の影響レベルCUIに対するFedRAMP認証
• 保存中のデータに対するAES 256ビット暗号化、転送中のデータに対するTLS 1.2、および唯一の暗号化鍵所有権

Kiteworksの展開オプションには、オンプレミス、ホスト型、プライベート、ハイブリッド、およびFedRAMP仮想プライベートクラウドが含まれます。Kiteworksを使用することで、機密コンテンツへのアクセスを制御し、自動化されたエンドツーエンド暗号化、多要素認証、およびセキュリティインフラストラクチャ統合を使用して外部に共有される際に保護し、誰が何を誰に、いつ、どのように送信するかをすべてのファイル活動を確認、追跡、報告します。最後に、GDPR、HIPAA、CMMC、Cyber Essentials Plus、IRAPなどの規制および基準に準拠していることを示します。

Kiteworksについて詳しく知りたい方は、カスタムデモをスケジュールしてください。