CMMC 準拠と、CUI を守るための MDM スタイル USB 制御の重要な役割

規制に関する最新情報

米国国防総省は、32 CFRを、 CMMC compliance を規定する 48 CFR のルールに置き換え、防衛請負業者（ディフェンス・コントラクター）向けの新しい強制（執行）フレームワークを確立しました。今回の変更は、組織が統制を検証し、連邦基準を満たすためにあらゆるギャップを解消することを求める、より強力で、より実効性のあるコンプライアンス体制の始まりを示しています。

この移行は、根本的な転換を表しています。CMMCはもはや“目標として掲げるもの”ではありません。コンプライアンスは現在、契約の適格性と直接結びついた、測定可能で、強制（執行）可能な要件となりました。

CMMCの現状：何が変わり、なぜ重要なのか

CMMC（Cybersecurity Maturity Model Certification、サイバーセキュリティ成熟度モデル認証）は新しいものではありませんが、いまは緊急度が高まっています。長年にわたる不確実性を経て、国防総省は 48 CFR を通じて更新内容を確定し、CMMC の強制（執行）を現実のものにしました。ルールの公表によって、コンプライアンスまでの短いカウントダウンが始まり、組織には要件に合わせるための限られた時間しか与えられていません。

CMMCの本質は、企業がNIST 800-171で示された基準を満たしていることの「証明」です。具体的には、Controlled Unclassified Information（CUI）とFederal Contract Information（FCI）を保護することを指します。より高い機密性を持つプログラムを管理している組織では、NIST 800-172により、CUIを高度な持続的脅威（APTs）から守ることを目的とした、強化されたセキュリティ要件が追加で組み込まれます。これは単にポリシーを用意しているかどうかではなく、統制（control）を実際に示せるかどうかが重要です。FCIはレベル1（自己評価）の対象ですが、CUIはレベル2および3でのコンプライアンスが必要で、第三者または政府による監査で検証されます。レベル3の要件はNIST 800-171を超えており、NIST 800-172で定義された強化された保護とより整合している点に留意することが重要です。

CMMC の評価レベル

• レベル 1： 自己評価（FCI 向け）
• レベル 2： 第三者による評価（C3PAO が必要）
• レベル 3： 政府による評価（DIBCAC が実施）

必要なレベルは、特定の米国国防総省（DoD）契約によって異なります。元請け企業も下請け企業も同様に、コンプライアンスは今や「事業を行うためのコスト」の一部です。

CUI保護が思っているよりも複雑な理由

Confidential Unclassified Information (CUI) とは、政府の製造や防衛を支えるエンジニアリング、設計、またはプロジェクトのデータです。一般的な業界とは異なり、多くの DIB 組織は、重要なシステムをインターネットから隔離するためにエアギャップ環境で運用しています。つまり、ワークステーション、製造ツール、パートナー間でデータを移動するために、依然として USB ドライブに大きく依存しているということです。

USB ポートを単に無効化するだけでは不可能です。これらの組織には、CUI が暗号化されないまま、または許可されない形で管理された環境の外に出ることが決してないようにしつつ、データを安全に転送するための能力が必要です。

主要な定義と要件

• CUI (Controlled Unclassified Information): 政府または防衛プログラムを支える機微なエンジニアリングまたはプロジェクトデータ。
• FCI (Federal Contract Information)： 保護が必要な政府契約に関するデータです。
• 暗号化要件： USBドライブ上のすべての CUI は、通常は AES-256 標準である、FIPS 検証済みの暗号化を使用する必要があります。
• 監査： CMMC は信頼ベースではなく、証拠ベースです。企業は評価と証拠によってコンプライアンスを示す必要があります。

MDMを再考する：モバイル端末のようにUSBを管理する

Netwrix のアプローチでは、取り外し可能なメディアをモバイルデバイスに適用されるのと同じ規律で扱います。 Netwrix Endpoint Protector は USB ドライブ向けの MDM として機能し、暗号化を強制し、データの移動を監視し、集中管理されたリモート管理を提供します。管理者は、USB が接続されたときに暗号化を自動的に強制し、復号鍵をデバイスとは別に保存し、鍵の利用可否を無効化することで即座にアクセスを取り消せます。この分離により、真の MDMスタイルの制御 が可能になります。つまり、物理的な USB が現場に置かれたままであっても、承認なしにデータを復号したり、持ち出したりできないようにします。さらに、ユーザーまたはデバイスの信頼レベルごとにきめ細かなポリシーを適用し、オフサイトでも USB ドライブをリモートでワイプできます。

この統合的なアプローチにより、特に従来のデータ転送手段が制限されているエアギャップ環境において、組織は生産性を維持しながら、コンプライアンスと管理（コントロール）を確実に担保できます。暗号化にとどまらず、完全な管理、可視性、そしてコンプライアンス遵守の根拠（証明）を提供します。

Netwrix Endpoint Protector は次の機能を提供します。

• ファイルのトレーシングとシャドーイング： どの USB ドライブにどのデータが書き込まれるのか、またはそこからどのデータが取得されるのかを完全に可視化します。
• コンテンツに基づく保護： 特定の CUI タイプまたはメタデータを検知してブロックするポリシー。
• メディアのサニタイズ： NIST 800-88 規格に沿ったリモート消去と上書き。
• SIEM ツールとの統合： 環境全体でのデバイス アクティビティを一元的に監視します。

これらの機能を組み合わせることで、アクセス制御、暗号化の強制、多要素認証の整合、データのサニタイズなど、最も難しい CMMC のギャップを埋めるのに役立ちます。

大局：Identity を通じてデータを保護する

エンドポイント保護はパズルの一部にすぎません。CMMC に完全に整合するためには、組織はデータがどのように移動し、誰がそれにアクセスできるのかについての可視性も必要です。そこで Netwrix Data Security Posture Management (DSPM) は Netwrix Endpoint Protector を補完し、リスクの特定、権限の監視、ハイブリッド環境全体でのデータ移動の検知を支援します。

データ セキュリティは Identity から始まり、CMMC はその原則を強化します。USB 暗号化の管理であっても、least privilege の強制であっても、目標は同じです。つまり、適切なデータが適切な手から離れないように守ることです。