DFARS 252.204-7012コンプライアンス：防衛請負業者が知っておくべきすべて
防衛産業が増え続けるサイバー脅威に直面する中、国防総省調達規則補足（DFARS）252.204-7012への準拠は、機密データの保護、国家安全保障の維持、国防総省の利益を守るために重要です。
この投稿では、DFARS 252.204-7012の基本、国防請負業者への影響、そしてコンプライアンスに必要な基本的なステップを探ります。防衛契約におけるサイバーセキュリティの世界に入り込み、この重要な規制について詳しく学びましょう。
DFARS 252.204-7012とは何ですか？
DFARS 252.204-7012は、防衛請負業者が管理されていない分類情報（CUI）を保護するために適切なサイバーセキュリティ対策を実施することを義務付ける規制です。CUIとは、保護が必要であるが分類されていない機密情報を指します。この規制は、国防総省の代理でCUIを扱う、保存する、または送信するすべての防衛請負業者、下請業者、および供給業者に適用されます。
DFARS 252.204-7012が防衛契約に与える影響は大きく、規制に従わない場合、既存の契約の喪失、将来の契約からの失格、その他の財務的および法的な影響を招く可能性があります。したがって、防衛請負業者はこの要件を真剣に受け止め、国防総省とのビジネス関係を維持するためにコンプライアンスを目指す必要があります。
DFARS 252.204-7012のコンプライアンス要件
以下は、防衛請負業者がコンプライアンスを達成するために満たすべきDFARS 252.204-7012の主要な要件です：
| 1. | 管理されていない分類情報の保護 | 請負業者は、CUIの機密性、整合性、可用性を保護するために適切なセキュリティ対策を実施しなければなりません。 |
| 2. | サイバーインシデント報告 | 請負業者は、サイバーインシデントを発見から72時間以内に国防総省に報告しなければなりません。 |
| 3. | セキュリティ評価 | 請負業者は、情報システムの徹底的なセキュリティ評価を実施し、その評価の概要を国防総省に提出しなければなりません。 |
| 4. | NIST SP 800-171への準拠 | 請負業者は、非連邦情報システムおよび組織におけるCUIの保護に関するセキュリティ要件を概説したNIST特別出版物（SP）800-171に準拠しなければなりません。 |
| 5. | フローダウン要件 | 請負業者は、下請業者もDFARS 252.204-7012規制に準拠することを確保しなければなりません。 |
表 1.1: DFARS 252.204-7012のコンプライアンス要件
DFARS 252.204-7012に準拠しない場合、深刻な結果を招く可能性があります。まず、非準拠は請負業者または下請業者のシステム、アプリケーション、または手順が安全でないことを示唆し、CUIが不正アクセスにさらされることになります。次に、非準拠は請負業者または下請業者が政府契約へのアクセスを失うことやその他のペナルティを招く可能性があります。これらのリスクを軽減するために、防衛請負業者は必要なリソースに投資し、規制のガイドラインに従った強固なサイバーセキュリティ対策を確立することで、コンプライアンスを優先しなければなりません。
NIST SP 800-171とDFARS 252.204-7012の違いは何ですか？
国立標準技術研究所特別出版物800-171、またはNIST SP 800-171は、DFARS 252.204-7012で概説されたサイバーセキュリティ要件を実施するためのフレームワークを提供するガイドラインのセットです。ガイドラインには110のセキュリティコントロールが含まれており、14のファミリーに分かれており、CUIの保護を強化することを目的としています。
DFARS 252.204-7012の対象となる防衛請負業者にとって、NIST SP 800-171への準拠は重要です。これらのガイドラインに従うことは、機密情報を保護するための請負業者のコミットメントと、国防総省のサイバーセキュリティ要件を満たす能力を示しています。
Kiteworksは、コンプライアンスと認証の成果を多数誇っています。
CMMCとDFARS 252.204-7012の違いは何ですか？
サイバーセキュリティ成熟度モデル認証（CMMC）は、国防総省の機密情報を保護する取り組みをさらに強化するための今後のサイバーセキュリティ認証です。実施されると、CMMC 2.0は、防衛請負業者が取り扱う情報の機密性と国防総省との契約の複雑さに応じて、特定の認証レベル（CMMCレベル1、CMMCレベル2、またはCMMCレベル3）を取得することを要求します。
CMMCは、サイバーリスクを軽減するための統一基準を確立することで、防衛産業基盤（DIB）のサイバーセキュリティ体制を強化することを目的としています。これは、DFARS 252.204-7012の要件を補完し、さらに構築するものであり、防衛請負業者がこの分野の進展について情報を得続けることが重要です。
DFARS 252.204-7012コンプライアンスの準備
防衛請負業者は、国家安全保障にとって重要な政府の機密情報を保護するために、DFARS 252.204-7012に完全に準拠しなければなりません。コンプライアンスを達成するプロセスは、請負業者の組織の規模と複雑さによって異なる場合があります。一般的に、このプロセスには数ヶ月かかることがあり、新しいポリシー、手順、およびコントロールの実施が必要であり、複雑です。また、新しいハードウェアやソフトウェアの取得や外部コンサルタントの雇用など、かなりのコストがかかる場合もあります。対象防衛情報の特定、セキュリティ要件の実施、コンプライアンスの評価と文書化、サイバーインシデントの報告、フローダウン要件の実施の5つのコア要件のそれぞれを満たすことは、異なるタイムラインと課題を伴う可能性があります。それにもかかわらず、請負業者は、政府契約の喪失や法的責任などの深刻なペナルティを回避するために、DFARS 252.204-7012コンプライアンスを確保するために必要なステップを踏まなければなりません。
| ステップ 1 | 行動計画とマイルストーン（POA&M）の作成 | コンプライアンスへの第一歩は、堅牢な行動計画とマイルストーン（POA&M）を作成することです。POA&Mは、請負業者がDFARS 252.204-7012の要件を満たすために講じるセキュリティ対策を概説した構造化された文書です。POA&Mには、セキュリティコントロールの実施と脆弱性の軽減のためのタイムライン、責任者、および各アクションアイテムに必要なリソースを含める必要があります。また、セキュリティ対策の監視と更新のためのフォローアップ計画も含めるべきです。 |
| ステップ 2 | システムセキュリティ計画（SSP）の作成 | DFARS 252.204-7012に準拠するために、防衛請負業者はシステムセキュリティ計画（SSP）を策定する必要があります。SSPは、請負業者が政府の機密情報を保護するために実施したセキュリティコントロールを概説した包括的な文書です。SSPには、請負業者のネットワークと政府情報を扱う下請業者のネットワークの両方に対するセキュリティ対策の詳細を含める必要があります。SSPには、脆弱性の特定と軽減の手順、セキュリティコントロールの実施を担当する人員、およびセキュリティ対策の効果をテストおよび評価するプロセスを記述する必要があります。さらに、SSPには、セキュリティ侵害に対応する手順を概説したインシデント対応計画を含める必要があります。 |
| ステップ 3 | 自己評価と第三者評価の実施 | DFARS 252.204-7012は、防衛請負業者が自己評価を実施し、セキュリティコントロールの効果を検証するために第三者評価を受けることを要求しています。自己評価には、SSPに記載されたセキュリティ対策のレビューと、欠陥や脆弱性の特定が含まれます。欠陥や脆弱性が特定された場合、請負業者はそれを修正するための計画を策定し、実施しなければなりません。自己評価と第三者評価の結果は、POA&Mに含め、請負業者の継続的なセキュリティ対策を導くために使用されるべきです。 |
表 1.2: DFARS 252.204-7012のコンプライアンス要件
防衛請負業者にとってのDFARS 252.204-7012コンプライアンスの課題
DFARS 252.204-7012に準拠することは、防衛請負業者にとって挑戦的です。多くの場合、サイバーセキュリティインフラストラクチャへの大規模な投資、従業員のトレーニング、コンプライアンス管理が必要です。一般的な課題には、予算の制約、サイバーセキュリティの専門知識の欠如、内部プロセスを規制の要件に合わせることの難しさが含まれます。
これらの課題を克服するために、防衛請負業者は、現在のサイバーセキュリティ対策の徹底的な評価を実施し、包括的な実施計画を作成し、専門家からの外部サポートを求めるなどのベストプラクティスを採用するべきです。この分野での成功は、サイバーセキュリティの向上、防衛産業内での評判の向上、ビジネス成長の機会の増加につながります。
DFARS 252.204-7012コンプライアンスにおける第三者評価機関の役割
第三者評価機関（C3PAO）は、DFARS 252.204-7012およびNIST SP 800-171への防衛請負業者のコンプライアンスを評価する独立した組織です。彼らは、請負業者が規制を遵守し、必要なサイバーセキュリティレベルを維持することを確保する上で重要な役割を果たします。
評価プロセスには通常、請負業者のサイバーセキュリティ対策のレビュー、NIST SP 800-171へのコンプライアンスの評価、および改善のための推奨事項の提供が含まれます。評価のタイムラインは異なる場合がありますが、一般的には完了までに数ヶ月かかります。
C3PAOは、請負業者のセキュリティコントロールの効果を評価し、欠陥や脆弱性を概説した報告書を提供します。請負業者は、監査中に特定された欠陥や脆弱性を修正し、政府にコンプライアンスの証拠を提供しなければなりません。
DFARS 252.204-7012コンプライアンスのコストはどのくらいですか？
DFARS 252.204-7012コンプライアンスは、サイバーセキュリティインフラストラクチャ、従業員のトレーニング、および継続的なメンテナンスへの大規模な投資を必要とするため、コストがかかる場合があります。しかし、非準拠の財務的および運用上の影響ははるかに深刻である可能性があるため、防衛請負業者がこの分野を優先することが重要です。
コンプライアンスコストを最小限に抑えるための戦略には、現在のサイバーセキュリティ対策の徹底的な評価の実施、費用対効果の高い改善の実施、および外部サポートの活用が含まれます。コンプライアンスへの投資は、防衛請負業者にとって賢明な決定であり、機密情報を保護し、国防総省との強固な関係を維持することの長期的な利益は、コストをはるかに上回ります。
Kiteworksは請負業者がDFARS 252.204-7012コンプライアンスを達成するのを支援します
DFARS 252.204-7012コンプライアンスは、米国政府とCUI機密情報を取り扱い、共有する防衛請負業者にとって重要な要件です。この規制は、請負業者および下請業者がCUIを保護するために実施しなければならない特定のサイバーセキュリティコントロールを概説したNIST SP 800-171への準拠を義務付けています。
Kiteworksプライベートコンテンツネットワークは、防衛請負業者がDFARS 252.204-7012コンプライアンス要件を満たすのを支援します。KiteworksはFedRAMP中程度の影響レベルに認定されており、NIST 800-171に記載されたすべてのセキュリティ要件を満たしています。これにより、政府請負業者は、最高レベルのセキュリティとコンプライアンスで政府機関とCUIを共有および転送することができます。さらに、Kiteworksは、業界で最も機密性の高いコンテンツ通信プラットフォームの最高レベルであるCMMC 2.0レベル2要件の約90％を標準でサポートしています。
Kiteworksプライベートコンテンツネットワークは、統一された、安全で使いやすい通信プラットフォームであり、エンドツーエンドの暗号化、アクセス制御、暗号鍵の所有権、およびすべてのファイル活動、つまり誰が何を誰に、いつ、どのように送信したかの可視性を提供します。Kiteworksは、セキュアメール、ファイル共有、マネージドファイル転送（MFT）、セキュアファイル転送プロトコル（SFTP）、ウェブフォームなど、すべての第三者通信チャネルを統合し、送信、受信、または共有されるすべての機密ファイルが中央で制御、保護、監視、および追跡されるようにします。
エンタープライズアプリケーション、エンタープライズコンテンツ管理（ECM）システム、およびセキュリティツールとの統合により、個人識別情報および保護対象保健情報（PII/PHI）、財務諸表、契約、知的財産、その他の機密情報が安全にアクセスおよび共有されます。
すべてのファイルのアップロード、ダウンロード、および共有は、電子証拠開示および規制コンプライアンスのためにログに記録されます。実際、Kiteworksは、国際武器取引規則（ITAR）、一般データ保護規則（GDPR）、SOC 2、連邦情報セキュリティマネジメント法（FISMA）、FIPS 140-2、および輸出管理規則（EAR）を含む他の規制および基準の範囲をサポートしています。
Kiteworksプラットフォームの詳細については、今日カスタムデモをスケジュールしてください。