Cybersecurity Maturity Model Certification (CMMC）：コンプライアンスのヒント

2019年だけで 83件のデータ侵害が相次いだことを受けて、米国国防総省（DoD）は Cybersecurity Maturity Model Certification (CMMC) を制定しました。CMMC フレームワークは、サイバーセキュリティを強化するための統一的な国家標準です。防衛産業基盤（DIB）の企業は、契約を獲得するために CMMC の要件を実装しなければなりません。続けて読み、どのようにコンプライアンスを達成できるかを確認してください。

CMMC の概要

CMMCは、国防次官（取得・維持担当）室（OUSD）が作成したサイバーセキュリティの標準です。これは、DoDの請負業者が重要な情報をどのように保護するかという方法を標準化することで、サイバー脅威に対応しようとするものです。

CMMCの認証を取得するには、DIB企業が、自社が取り扱う、または保存するすべての機微な連邦契約情報（Federal Contract Information：FCI）および管理対象の非機密情報（Controlled Unclassified Information：CUI）を保護するために、適切なサイバーセキュリティの実務とプロセスを導入する必要があります。組織は、1〜5のスケールでサイバーセキュリティの成熟度スコアを受け取ります。このスコアは、DODが組織に対して置く信頼の度合いを決定し、採用から契約まであらゆる事項に影響します。

従来のガイドライン（Defense Federal Acquisition Regulation Supplement [DFARS] 252.204-7012）では、請負業者がサイバーセキュリティのレジリエンスを示すために、NIST SP 800-171 への適合を自己申告（self-attest）することができました。 しかし、このモデルでは、多くの注目を集めた データ侵害が発生し、たとえば Solar Winds affair のような事例に加え、False Claims Act（不正請求防止法）違反もありました。

サイバーセキュリティを強化するために、CMMCでは現在、CMMCの第三者評価機関が、請負業者がサイバーセキュリティ要件を満たしていることを認証することを求めています。DoDは、下記でより詳しく説明する通り、追加要件が2025年に有効になるように段階的なロールアウトを通じて、新しいCMMC要件を導入する計画です。

CMMC の要件に準拠するためには、組織は依然として NIST SP 800-171 を十分に理解する必要があります。CMMC の認証プロセスでは、このフレームワークをガイドラインとして使用し、システムのセキュリティを測定し、セキュリティプログラムの成熟度を評価し、スコアを提示するための助けとなるからです。

CMMC を遵守しなければならないのは誰ですか？

CMMC の成熟度モデルは、DoD（米国国防総省）のサプライチェーン内のあらゆる企業に適用されます。防衛産業基盤に含まれる企業だけでなく、調達、建設、開発に携わる企業も対象です。これには、DoD と直接やり取りするプライムコントラクターだけでなく、コントラクターと連携して DoD の契約を実行するサブコントラクターも含まれます。

契約の規模や契約との関係性は関係ありません。契約の「軽微な」部分に取り組む中小企業のための抜け道はありません。したがって、防衛情報のあらゆる形態を扱うすべてのコントラクターおよびサブコントラクターは、自社のサイバーセキュリティ慣行が見直し対象になることに備えなければなりません。準拠できない場合に金銭的なペナルティが直ちに科されるわけではありませんが、認証を取得することが契約を獲得するための前提条件です。

CMMC はどのような種類のデータを保護しますか？

CMMCは2種類のデータを保護します：

• Controlled Unclassified Information (CUI) — これは、保護が必要な政府によって作成された非機密情報を含みます。連邦の職員の個人情報、委託先（コントラクター）の情報、法的資料、技術図面、電子ファイル など 。CUIに対処するには、組織は成熟度（maturity level）の評価が3以上である必要があります。
• Federal Contract Information (FCI) — FCIは、政府が契約に基づいてサービスまたは製品を提供するために提供または作成する情報でありながら、一般に公開されないものすべてで構成されます。このデータを不適切に開示すると、DODの物流や活動の内部の仕組みに重大な脅威を与える可能性があります。

FCIを扱うには、レベル1または2の認証のみが必要です。

CMMC のタイムライン

請負業者は、CMMC が求めるとおり FCI と CUI を処理できるように、システムを 2025 年までに準備する必要があります。 しかし、ペンタゴンは最近、CMMC を卓上演習でのみ展開する段階から、15 件の「pathfinder」契約の授与を通じて、現場での運用に活用し始めました。 このパイロット プログラムはレベル 3 の企業とその下請け業者に焦点を当てています。 rollout が進むにつれて、さらに多くの企業が対応しなければなりません。

評価手法（アセスメント・メソドロジー）とは何ですか？

2020 年、DoD は、企業が要件に準拠しているかどうかを評価するためのアセスメント手法を CMMC プログラムに補完する暫定規則を発行しました。この規則の下では、CMMC 認証は 2 段階で進められます。認証プロセスは 3 年ごとに繰り返す必要があります。

• ステップ 1。 評価者は NIST SP 800-171 DoD Assessment Methodology を企業に適用します。この方法論では、関係する情報とプログラムの機微性に基づいて、プロジェクトに対する潜在的な脅威を 3 つの階層（高・中・低）に分類します。高または中のレベルの承認を求めるすべての請負業者は、施設、システム、要員へのアクセスを提供しなければなりません。こうした精査なしに CUI や FCI にアクセスすることは不可能です。
• ステップ 2。 企業がステップ 1 を通過すると、評価プロセスによってその企業に成熟度レベルが割り当てられます。

CMMC認証レベル（成熟度レベル）

CMMCには5つのレベルがあります。各レベルには固有の要件があります：

• レベル 1：基本的なサイバー衛生 — レベル 1 の企業は、基本的なサイバー衛生を実施します。データは誤りがないことが必要で、個人を識別できる情報（PII）などの機微な情報を保存または処理するアプリケーションおよび情報システムには適切なアクセス制御が必要です。PII の秘匿（マスキング）やデータ品質保証といった標準手順は、このレベルへの準拠に役立ちます。NIST のガイドラインでは、このレベルのための 17 の基本的なセキュリティ管理策が示されています。
• レベル 2：中級的なサイバー衛生 — 次のレベルでは 72 の管理策（レベル 1 の管理策を含む）を扱います。これらは、すべての NIST 800-171 の管理策のうち、半分を少し超える範囲に相当します。この段階では、貴社は FCI と CUI を「再現可能」なやり方で保護しなければなりません。このレベルでは、監査（オーディティング）、媒体保護、バックアップとリカバリ、保守、システムの完全性が重要です。レベル 1 と 2 の最大の違いは、データ保護のための計画と手順を実装する点にあります。
• レベル 3：良好なサイバー衛生— レベル 3 では、CUI のために NIST SP 800-171 が定めるセット全体にまたがる 132 の管理策を実装する必要があります。このレベルの企業は、通常、管理されているが未分類の情報を扱います。サイバーセキュリティ上の脅威に対処するための強固な計画と、その計画を認識（awareness）、教育（training）、インシデント対応（incident response）によって実行するための手段が求められます。
• レベル 4：プロアクティブなサイバー・衛生 — レベル 4 では、156 のコントロールを NIST およびその他の情報源に基づいて導入する際の卓越性が実証されている必要があります。レベル 3 から追加された 24 項目は、主にセキュリティ慣行の精査に関するものです。つまり、企業は最大限の効果を得るために、自社のポリシーを定期的に評価し、見直しを行う必要があり、さらに上位の経営陣には、問題に関する情報が常に共有されていなければなりません。
• レベル 5：高度なサイバー・衛生 — レベル 5 では、高度な脅威検知と防御に関連する追加の 25 の要求事項が加わります。このレベルは、非常に価値の高い情報を扱う企業に求められます。企業は異常検知などのより高度なツールを導入し、脅威に対して柔軟に対応できる必要があります。

CMMC フレームワークの構成要素、レベル、ドメイン

CMMC の要求事項にキャッチアップするには、17 の異なるドメインを理解する必要があります。14 のドメインは Federal Information Processing Standards（FIPS）200 および NIST SP 800-171 に由来しており、CMMC ではさらに 3 つを追加します。すなわち、回復（recovery）、状況認識（situational awareness）、資産管理（asset management）です。以下が完全なリストです：

• アクセス制御 — 誰があなたのシステムにアクセスできるかを把握し、職務（ジョブロール）に基づいてアクセスを厳格に制限してください。
• 監査と説明責任 — 機密データにアクセスできるユーザーを追跡します。イベントログを収集し、不適切または疑わしい活動がないか情報を調査してください。
• 資産管理 — ハードウェアとソフトウェアの資産を追跡し、古くなった不要な技術がデータ侵害につながらないようにします。
• 意識向上とトレーニング — 従業員に対して、侵害を防ぐ方法と、万一発生した場合の対応方法について定期的な研修を行ってください。
• 構成管理 — 不当なアクセスからシステムを保護する基準となる構成を確立し、脅威にさらされないように妥当なデフォルト設定を行います。
• 識別と認証 — 多要素認証などの認可ルールと手法を活用し、ミッション・クリティカルな情報の露出を防ぎます。
• インシデント対応 — セキュリティインシデントを迅速に調査し、報告し、解決するための計画を作成します。
• 保守 — 脆弱性を最小化するために、技術や設備を定期的にパッチ適用し、アップグレードしてください。
• メディア保護 — メディアを特定して保護し、消毒（サニタイズ）と廃棄のための手順を作成します。
• 人員のセキュリティ — 適切な人員の審査や身元確認（バックグラウンドチェック）を実施します。転勤や引き継ぎなどの人事対応の際に、あなたの CUI が保護されていることを示す証拠を提示できるよう準備してください。
• 物理的保護 — 無許可のアクセス、盗難、損傷などの物理的脅威から、施設、スタッフ、システムを保護してください。
• 復旧 — 部分的または完全なデータ喪失が発生した場合に備えて、確実なバックアップおよび復旧計画を構築してください。
• リスク管理 — 定期的にリスクを評価し、それに対抗するための戦略を策定し、進捗状況を測定します。
• セキュリティ評価 — 過去の監査、リスク管理戦略、およびその他の情報を確認してセキュリティを評価します。
• 状況認識 — 技術に対するリアルタイム監視を導入し、脅威に適切に対応します。
• システム間の通信と保護 — 各システムを保護するために必要なセキュリティを定義します。
• システムおよび情報の完全性 — システム内の欠陥を特定・管理し、危険を見つけ、潜在的な問題についてネットワークのセキュリティを見直します。

CMMC の認証を取得するにはどうすればよいですか？

すべての国防関連請負業者は、独立した CMMC の第三者評価機関（C3PAO）または DoD によって認定された個人が実施する公式監査を受ける必要があります。DoD は、他のいかなる監査人の結果も受け付けません。 CMMC Accreditation Body では、認定監査人が誰かについての詳細情報が提供されています。

一般に、CMMC の証明書は 3 年間有効で、公表はされませんが、特定の DoD データベースに掲載されます。この期間の終了後、またはデータ損失が発生した場合には再認証が必要です。

サイバーセキュリティインシデントを被った DIB 企業は、CMMC の認証を自動的に失うことはありません。ただし、適切な報告手順に従う必要があります。DoD に連絡し、インシデントがなぜ発生したのか、そして将来同様の侵害をどのように防止できるのかを詳しく説明した、徹底した報告書を作成してください。

CMMC の認証監査に向けて、どのように準備すればよいですか？

監査の準備をする際に従うとよい指針は Executive Order 13556であり、保護が必要な非機密情報への対応方法を行政機関の中で標準化しています。

より幅広くは、次のような高レベルのチェックリストの活用を検討してください。

1. 連邦または州の機関から助言を受けてください。 あなたに何が求められているのかを必ず理解しましょう。
2. 現在のデータと技術を監査してください。 ユーザーのアクセス制御、使用しているソフトウェア、利用可能なセキュリティ手順など、現在のセキュリティ状況についてできるだけ多くの情報を集めましょう。CUI と FCI を保存、処理、または送信している場所を特定します。
3. しっかりした計画を立てましょう。 次に、目指す認証レベルに基づいて、堅実な CMMC 準拠（コンプライアンス）プログラムまたは計画を作成します。たとえば、最高の成熟度レベルを目指す企業は、ネットワークを強化し、高度に機密性の高い情報を扱う技術を、残りのインフラストラクチャから分離したいと考えるでしょう。
4. ギャップ分析を実施する。現状のサイバーセキュリティの成熟度レベルを評価し、適切なレベルに到達するために何を行う必要があるかを判断します。ギャップ分析に基づいて、必要な変更を加えてください。
5. ポリシーを実装する。スタッフをトレーニングし、組織全体を評価するための日程を設定します。継続することが、システムを強化し、攻撃をいち早く見つけて阻止するための鍵です。
6. コンプライアンスを監督するために専門家を雇いましょう。 この担当者は、すべての基準が満たされるようにするため、IT チームと連携します。さらに、組織が CUI を保護していることを証明するためのエビデンスやドキュメントも準備します。
7. レビューを拡張する。 すべての下請け業者だけでなく、サプライチェーン内のすべての関係者が NIST SP 800-171 に準拠していることを確認してください。

Netwrix は CMMC のコンプライアンスにどのように役立ちますか？

確立されたベストプラクティスを活用し、コンプライアンスのライフサイクルを理解することは、CMMC を含むあらゆる標準に対するコンプライアンスのための確固たる基盤を築くうえで有効な方法です。Netwrix Data Security Platform を使えば、より少ない労力とコストで、コンプライアンスの達成・維持・証明ができます。変更、アクセス、構成の監査 のようなプロセスを自動化し、機微データの検出と分類 を正確に行い、データおよびインフラストラクチャのセキュリティに関する洞察を得られます。

よくある質問

CMMC とは何ですか？

Cybersecurity Maturity Model Certification（CMMC）とは、米国国防総省（DoD）が、国防請負業者が使用するサイバーセキュリティのプロトコルが十分に強力であることを確実にするために定めた標準です。CMMC は、DFARS、FAR、NIST などの既存のサイバーセキュリティ標準およびフレームワークを集めたものです。

CMMC 認証の対象となるのは誰ですか？

CMMC は、国防総省（DoD）のサプライチェーン内のすべての企業に適用されます。防衛産業基盤に該当する企業だけでなく、調達、建設、開発に関わる企業も含まれます。これには、DoD と直接やり取りするプライムコントラクターだけでなく、DoD の契約を遂行するためにコントラクターと連携して働くサブコントラクターも含まれます。

CMMC 認証はどのように取得できますか？

CMMC 認証は、第三者の評価機関（3PAO）または個別の評価者による監査を受けることで取得できます。2025 年の CMMC ロールアウトが近づくにつれて、DoD は認証の取得方法に関するより詳しい情報を公開していく予定です。