CFR CMMC規則について知っておくべきすべてのこと

サイバーセキュリティ成熟度モデル認証（CMMC）は、防衛産業基盤（DIB）内の請負業者のサイバーセキュリティ体制を強化するために設計された重要なフレームワークです。CFR CMMCルールは、このフレームワークの中で、請負業者が従うべき厳格なガイドラインと基準を設定する重要な役割を果たしています。このルールを理解することは、機密政府情報を保護することに専念するコンプライアンス、リスク、ITの専門家にとって不可欠です。

この記事では、CFR CMMCルールの主要な要素、その利点、およびCMMC認証に必要なコンプライアンス要件について検討します。

CFR CMMCルールとは何ですか？

CFR CMMCルールは、請負業者が連邦契約情報（FCI）および制御されていない分類情報（CUI）を保護するためにサイバーセキュリティコントロールを実施する方法を概説する規制命令です。これは、基本的なサイバー衛生から高度なセキュリティ対策まで、サイバーセキュリティの実践を成熟度レベルに分類するCMMCフレームワークに直接関連しています。

CFR CMMCは、連邦規則集（CFR）に概説されているCMMCルールを指します。このルールは、防衛請負業者および下請業者が機密情報を保護するために適切なサイバーセキュリティ保護を備えていることを保証するために設計された国防総省（DoD）の規制です。

CFR CMMCルールの目的は、防衛産業基盤（DIB）のサイバーセキュリティ要件を標準化することです。請負業者は特定のサイバーセキュリティ基準を満たし、コンプライアンスを証明するために第三者評価を受ける必要があります。これは、防衛産業におけるサイバーセキュリティの重要な進展であり、機密情報を保護し、サイバー脅威を軽減するための明確なフレームワークを提供します。

CFR CMMCルールとCMMC 2.0フレームワークの違いは何ですか？

CFR CMMCルールは、CMMC 2.0フレームワークと密接に関連しており、DIB内でサイバーセキュリティを強化するために請負業者がFCIおよびCUIを取り扱うために満たすべきサイバーセキュリティ基準を確立するプログラムの法的および規制的基盤を提供します。

CMMC 2.0フレームワークは、連邦規則集（CFR）のタイトル32およびタイトル48で規則制定を通じて成文化されています。CMMC 2.0の規則制定プロセスは、これらの規則を最終化し、請負業者がCMMC第三者評価機関（C3PAO）によって実施される評価を通じて認証を取得することを義務付けるものです。このプロセスは、請負業者がDoDによって設定されたサイバーセキュリティ要件を遵守することを保証するために不可欠です。

要するに、CFR CMMCルールは、DoDのサプライチェーン内の機密情報を保護するために必要なサイバーセキュリティ基準を請負業者が遵守することを保証するCMMC 2.0フレームワークを施行する規制メカニズムです。

タイトル32 CFRとは何ですか？

タイトル32 CFRは、請負業者が機密防衛情報を取り扱う際に適切な保護を備えていることを保証するために、DoDがCMMC 2.0のようなサイバーセキュリティ基準を実施するための法的基盤を提供します。タイトル32 CFRは連邦規則集の一部であり、防衛産業に関連するさまざまな規則と手続きを概説しています。CMMC 2.0は通常、DoD契約における契約要件として含まれており、これらの契約はタイトル32 CFRに概説された規則によって管理されています。タイトル32 CFRは、DoDが防衛関連活動に関与する請負業者および下請業者に対してサイバーセキュリティ要件を確立し、施行する権限を与えます。DoDは、タイトル32 CFRの枠組み内で行動し、契約行動、監査、その他の規制メカニズムを通じてCMMC 2.0コンプライアンスを施行することができます。

タイトル48 CFRとは何ですか？

タイトル48 CFRは、政府契約内でCMMC 2.0を実施するための法的および手続き的な枠組みを提供し、DoDが機密情報を効果的に保護し、安全なサプライチェーンを維持できるようにします。タイトル48 CFRは、米国政府による物品およびサービスの調達を規制する連邦調達規則（FAR）です。これは、防衛契約に関連するものを含む契約プロセスの標準化された枠組みを提供します。

CMMC 2.0は特定のサイバーセキュリティ基準ですが、その実施と施行はしばしば政府契約の文脈で行われます。タイトル48 CFRは、このプロセスで重要な役割を果たします。たとえば、FARは、CMMC 2.0要件を政府契約に組み込むために使用できます。これは、DoD契約に入札する請負業者が、受注の条件としてCMMC 2.0基準の遵守を示すことが期待されることを意味します。FARはまた、CMMC 2.0要件を下請業者に流すことを可能にします。これにより、サプライチェーン全体が一貫したサイバーセキュリティ基準の対象となります。最後に、CMMC 2.0コンプライアンスに関連する紛争がある場合、FARはそれらを行政または法的手段で解決するための手続きを提供します。

CMMC認証プロセスは困難ですが、私たちのCMMC 2.0コンプライアンスロードマップが役立ちます。

CFR CMMCルールの主要要素

CFR CMMCルールは、防衛請負業者のサイバーセキュリティ対策を強化するために設計されたいくつかの重要な要素を具現化しています。これには、FCIおよびCUIの保護が含まれます。具体的には、請負業者がこれらの情報を保護するために特定のセキュリティコントロールを実施することを義務付けています。これらの情報は、サイバー攻撃の標的となることが多いです。これらのコントロールは、NIST SP 800-171やその他の連邦規則などの確立された基準から派生しています。他の重要な要素には以下が含まれます：

CMMC成熟度レベル： CMMC 1.0では、組織はサイバーセキュリティの成熟度または能力に基づいて分類されていました。CMMC 2.0では、成熟度レベルの数が5から3に減少しました。このシステムは、基本的なサイバー衛生実践を含むレベル1から、先進的で積極的なセキュリティ対策を含むレベル3までの範囲です。

CMMC第三者評価： 請負業者は、必要なCMMCレベルを満たしていることを確認するために第三者評価を受ける必要があります。これらの評価は、DIBの整合性とセキュリティを維持し、請負業者が確立されたサイバーセキュリティ基準を遵守していることを保証するために重要です。

CMMC契約要件： CMMC要件はしばしば契約条項として含まれており、防衛契約を取得または維持するための必須条件となっています。

継続的な監視： 組織は、継続的な監視プログラムを維持し、セキュリティ脅威を検出して対処し、継続的なコンプライアンスを確保し、脆弱性を特定する必要があります。

インシデント対応： CMMCは、組織がサイバー攻撃の影響を軽減し、サイバーセキュリティインシデントを効果的に処理するために、明確に定義されたインシデント対応計画を持つことを義務付けています。

CMMCに準拠する必要がありますか？こちらが完全なCMMCコンプライアンスチェックリストです。

CFR CMMCルールのコンプライアンス要件

CFR CMMCルールに準拠するために、防衛請負業者は割り当てられた成熟度レベルに合わせた特定の要件を満たす必要があります。これには、対応するCMMCレベルに一致する一連のサイバーセキュリティコントロールと実践を実施することが含まれます。たとえば、レベル1では、ユーザーアクセスコントロールや物理的なセキュリティなどの基本的な保護措置が必要ですが、より高いレベルでは、インシデント対応や脆弱性管理などのより複雑なシステムが求められます。

請負業者はまた、定期的な第三者評価の準備をする必要があります。これらの評価は、組織が必要なCMMCレベルに準拠しているかどうかを評価し、コンプライアンスのギャップを特定します。成功した評価は、認証の維持と防衛契約の資格を維持するために不可欠です。したがって、組織はCFR CMMCルールに準拠し続けるために、サイバーセキュリティの実践を継続的に監視し、改善する必要があります。

CFR CMMCルールは、防衛請負業者および下請業者が機密情報を保護するために特定のサイバーセキュリティ基準を遵守することを義務付けています。コンプライアンスは、組織のサイバーセキュリティ実践に基づいて成熟度レベルを決定する第三者評価プロセスを通じて評価されます。

主な要件には以下が含まれます：

• 成熟度レベル評価： 組織は、現在のCMMCレベルを決定するために第三者評価を受ける必要があります。
• 契約コンプライアンス： CMMCコンプライアンスは、防衛契約を取得または維持するための契約要件であることが多いです。
• 継続的な監視： 組織は、セキュリティ脆弱性を特定し、対処するための継続的な監視プログラムを実施する必要があります。
• インシデント対応： 明確に定義されたインシデント対応計画は、サイバーセキュリティインシデントを効果的に処理するために不可欠です。
• データ保護： 組織は、暗号化やアクセスコントロールを含む機密データを保護するための措置を実施する必要があります。
• リスク管理： サイバーセキュリティリスクを特定、評価、および軽減するためのリスク管理フレームワークが必要です。

これらのコンプライアンス要件は、前のセクションでリストされた重要な要素と非常に似ていることに気付くでしょう。それは設計によるものです。CFR CMMCルールは、結局のところ、ルールです。これらの要件も非常に明確です。それも設計によるものです。これらの要件は、防衛産業基盤の全体的なセキュリティ体制を強化し、サイバー脅威から機密情報を保護するために設計されています。

CFR CMMCルールのコンプライアンスベストプラクティス

サイバーセキュリティ成熟度モデル認証（CMMC）の複雑さをナビゲートすることは、連邦契約情報（FCI）および制御されていない分類情報（CUI）を取り扱う組織にとって重要です。CFR CMMCルールは、機密データを保護することを目的とした厳格な要件を設定しており、CMMCコンプライアンスは防衛請負業者および関連団体にとって最優先事項です。CMMCフレームワークに合わせるためのベストプラクティスには、その階層の包括的な理解、サイバーセキュリティコントロールの綿密な実施、および望ましいCMMC認証レベルを達成し維持するための継続的な評価が含まれます。このガイドは、CMMC要件への組織の準拠を確保し、最終的にはデータを保護し、連邦市場でのビジネスの信頼性を向上させるための重要な知見と実用的な戦略を提供します。

• 自己評価を実施する： 現在のサイバーセキュリティ実践と改善が必要な領域を特定するために内部監査を実施します。これにより、基準を理解し、第三者評価の準備ができます。
• NIST SP 800-171コントロールを実施する： CMMC要件を満たすための基礎として、NIST SP 800-171に記載されたセキュリティコントロールを採用します。FCIおよびCUIを保護するポリシーに焦点を当てます。
• 定期的なトレーニング： すべてのスタッフがサイバーセキュリティ実践とCFR CMMCルールの特定の要件についてトレーニングを受けることを確保します。定期的なトレーニングセッションは、人為的なエラーを軽減し、全体的なセキュリティ体制を向上させることができます。
• CMMCコンサルタントと連携する： CMMC認証に特化したコンサルタントを雇い、コンプライアンスプロセスをガイドしてもらうことを検討します。彼らの専門知識は貴重な知見を提供し、コンプライアンスの取り組みを効率化することができます。
• すべてを文書化する： すべてのサイバーセキュリティポリシー、手順、および改善の徹底的な文書化を維持します。この文書化は、第三者評価時に重要であり、コンプライアンスを示すのに役立ちます。
• サイバーセキュリティツールに投資する： 必要な成熟度レベルに一致する高度なサイバーセキュリティツールと技術を活用します。脅威検出、インシデント対応、および脆弱性管理のためのツールは、コンプライアンスの取り組みを強化することができます。

Kiteworksはプライベートコンテンツネットワークで防衛請負業者がCFR CMMCルールに準拠するのを支援します

CFR CMMCルールは、防衛産業基盤（DIB）内の防衛請負業者のサイバーセキュリティ体制を強化することを目的とした重要な規制フレームワークです。このルールは、組織をサイバーセキュリティ能力に基づいて分類し、連邦契約情報（FCI）および制御されていない分類情報（CUI）の保護を義務付ける階層化された成熟度レベルシステムを確立しています。CFR CMMCルールに準拠するために、組織は特定のサイバーセキュリティコントロールを実施し、定期的な自己評価を行い、第三者評価の準備をする必要があります。内部監査の実施、NIST SP 800-171コントロールの実施、定期的なトレーニングの提供、CMMCコンサルタントとの連携、徹底的な文書化の維持、および高度なサイバーセキュリティツールへの投資などのベストプラクティスを採用することは、コンプライアンスを達成し維持するために重要です。これらの実践を組織文化に統合し、セキュリティ対策を継続的に改善することで、防衛請負業者は防衛産業基盤の全体的なセキュリティと整合性に貢献できます。

Kiteworksのプライベートコンテンツネットワークは、FIPS 140-2レベルで検証されたセキュアなファイル共有およびファイル転送プラットフォームであり、メール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送、および次世代デジタル著作権管理ソリューションを統合し、組織がファイルを入出力する際にすべてのファイルを制御、保護、および追跡します。

Kiteworksは、CMMC 2.0レベル2要件の約90%を即座にサポートします。その結果、DoD請負業者および下請業者は、適切な機密コンテンツ通信プラットフォームを確保することで、CMMC 2.0レベル2認定プロセスを加速できます。

Kiteworksを使用すると、DoD請負業者および下請業者は、専用のプライベートコンテンツネットワークに機密コンテンツ通信を統合し、CMMC 2.0の実践に一致する自動化されたポリシーコントロールと追跡およびサイバーセキュリティプロトコルを活用します。

Kiteworksは、以下のコア機能と特徴を備えた迅速なCMMC 2.0コンプライアンスを可能にします：

• SSAE-16/SOC 2、NIST SP 800-171、およびNIST SP 800-172を含む、米国政府の主要なコンプライアンス基準および要件に基づく認証
• FIPS 140-2レベル1の検証
• 中程度の影響レベルCUIに対するFedRAMP認定
• 保存中のデータに対するAES 256ビット暗号化、転送中のデータに対するTLS 1.2、および唯一の暗号化キー所有権

Kiteworksの展開オプションには、オンプレミス、ホスティング、プライベート、ハイブリッド、およびFedRAMP仮想プライベートクラウドが含まれます。Kiteworksを使用すると、機密コンテンツへのアクセスを制御し、自動化されたエンドツーエンド暗号化、多要素認証、およびセキュリティインフラストラクチャ統合を使用して外部に共有される際に保護し、誰が何を誰に、いつ、どのように送信するかを含むすべてのファイル活動を確認、追跡、および報告します。最後に、GDPR、HIPAA、CMMC、Cyber Essentials Plus、IRAPなどの規制および基準に準拠していることを示します。

Kiteworksについて詳しく知りたい方は、カスタムデモをスケジュールしてください。

リスク＆コンプライアンス用語集に戻る