CMMCルールメイキングプロセスの理解：国防総省のOMBへの提出に関する包括的分析
サイバーセキュリティの分野では、サイバーセキュリティ成熟度モデル認証（CMMC）ほど注目と議論を集めているトピックはほとんどありません。防衛請負業者や関係者が更新を心待ちにする中、国防総省（DoD）が最近、管理予算局（OMB）に提出したことにより、この話題に新たな興味と期待が加わりました。このブログでは、この進展と防衛分野における広範な影響について詳しく探ります。
CMMCの概要
最近の進展に入る前に、CMMCの起源と目的を理解することが重要です。統一されたサイバーセキュリティ基準として導入されたCMMCは、米国防衛サプライチェーン内の機密防衛情報の保護メカニズムを強化することを目的としています。サイバー脅威がますます巧妙化する中、DoDは包括的かつ標準化されたサイバーセキュリティへのアプローチの必要性を認識し、CMMCが誕生しました。
CMMC認証プロセスは厳しいですが、私たちのCMMC 2.0コンプライアンスロードマップが役立ちます。
OMBへの重要な提出
DoDがCMMC計画をOMBに提出する決定は、単なる行政手続きではありません。これは、CMMCプログラムのルールメイキングプロセスの正式な開始を示すものであり、広範な検討と準備の集大成を意味します。この提出は、DoDがサイバー防御を強化し、そのビジョンに沿った請負業者を確保することに対するコミットメントの証です。
OMBレビューのプロセスを解読する
CMMCフレームワークがOMBの管轄下に置かれたことで、関係者は何を期待できるでしょうか？OMBの情報・規制業務局は、提出物をレビューするために最大90日間の期間を持っています。このレビューは、CMMCの最終形態とその後の実施において重要な役割を果たします。
レビューが終了すると、ルールは連邦官報に掲載され、次の2つのルートのいずれかをたどることになります：
1. 提案されたルール
（より可能性が高い）OMBがCMMCの提案されたルールを発表した場合、OMBとDoDがルールを実施し始める前に、60日間の公的コメント期間が必要です。これは、プロセスを見守る多くの業界関係者を含む人々が予想する最も可能性の高いパスです。このパスでは、60日間のコメント期間が終了した後、DoDがCMMCを契約要件に段階的に導入し始めるまでに、平均して280〜333営業日がかかるとHornによれば予想されています。したがって、9月/10月に提案されたルールが発表されると、CMMCの段階的な実施は2025会計年度第2四半期、場合によっては第3四半期に始まることになります。
2. 暫定最終ルール
（可能性は低い）OMBは暫定最終ルールを発表することを選択することもでき、これによりOMBとDoDは公的コメントをレビューしながら、すなわち並行して、CMMCを契約要件に導入し始めることができます。したがって、暫定最終ルールを選択すると、CMMCは2024会計年度第1四半期にDoD契約に追加され始める可能性があります。このシナリオは可能性が低いと予想されていますが、可能性はあります。
選択された進路に関係なく、公的コメントの期間は確実に設けられ、関係者がフィードバックや知見を共有するためのプラットフォームを提供します。
防衛契約エコシステムへの影響
DoDの提出は、変化が差し迫っていることを示し、防衛契約の風景に変化をもたらすことを示しています。最終的なCMMCルールの正確な輪郭はまだ見えていませんが、明らかなことは、変化が迫っているということです。
CMMCは単なる規制の障害ではありません。それは、ペンタゴンの強固なサイバーセキュリティ姿勢を確保するためのビジョンを体現しており、管理されていない分類情報（CUI）を扱う請負業者が厳格な基準を遵守することを保証します。これらの基準は、特にNIST 800-171および800-172のガイドラインと共鳴しています。
将来への準備：防衛請負業者のためのステップ
CMMCのルールメイキングプロセスが進行中であるため、防衛請負業者は積極的な姿勢を取る必要があります。これには以下が含まれます：
- 自己評価：現在のサイバーセキュリティ対策を理解し、コンプライアンスのギャップを特定する
- トレーニングと意識向上：スタッフや関係者がCMMCの要件とその影響を理解していることを確認する
- 専門家との連携：CMMCコンプライアンスの複雑さをナビゲートするために、サイバーセキュリティの専門家との協力を検討する。CMMC第三者評価認定機関（C3PAO）による評価の実施やCMMC認証の推奨を含む
- 最新情報の把握：DoDやOMBからの更新を定期的に監視し、進展を把握する
DoDのOMBへの提出は、CMMCの旅における重要なマイルストーンを示しています。防衛請負業者がさらなる明確さを待つ中、CMMCの背後にある広範なビジョンを認識することが重要です。それは、防衛分野のサイバーセキュリティメカニズムが強固で統一され、脅威に対して強靭である未来です。