米国国防総省（DoD）およびそのネットワーク上の請負業者の IT システムとデータは、国家の安全保障に関わる重要な事項です。したがって、DoD は、DoD の承認ベンダーになるために組織が満たすべきサイバーセキュリティ要件を維持しています。
この記事では、防衛産業基盤（DIB）組織に対する DoD のサイバーセキュリティ上の期待を理解するために最も関連性の高い文書を概説し、有用なフレームワークを整理した上で、DoD 要件を実装するためのヒントを紹介します。
厳選した関連コンテンツ：
国防総省（DoD）のサイバーセキュリティ要件とは？
サイバーセキュリティの要件は、次の3つの文書に記載されており、これらは互いに支え合い、参照し合っています。
- 国防連邦調達規則補足（Defense Federal Acquisition Regulation Supplement（DFARS））— 条項 252.204-7012 では、DIB（Defense Industrial Base）組織に求められるサイバー衛生（cyber hygiene）の期待事項が示されています。
- NIST 800-171 — DFARS を基にした NIST 800-171 は、企業が自社のサイバーセキュリティに関する取り組みを評価するための詳細なガイドラインを提供します。
- CMMC — CMMCは、承認されたDoDベンダーになるために必要とされる「サイバー衛生」認証をDIB組織が取得するための明確な計画を提供します。
DFARS
DFARSは、国防総省（Department of Defense）と取引を行う企業に対する要件を定めています。サイバーセキュリティは clause 252.204-7012、“Safeguarding Covered Defense Information and Cyber Incident Reporting.” にて扱われます。
どのような種類のデータを保護する必要がありますか？
DoDのサイバーセキュリティ要件は、主に2種類のデジタルおよび物理的な記録を保護します。すなわち、Controlled Unclassified Information（CUI）とFederal Contract Information（FCI）です。
CUI には次のものが含まれます:
- 個人を特定できる情報（PII）
- 企業の専有情報（PBI）
- 非機密の管理対象技術情報（CTI）
- 公的用途のみ（FOUO）
FCI には、政府と組織との間の契約に関する詳細が含まれます。FCI には、すでに公に知られている情報（例：政府のWebサイトに掲載されている内容）や取引情報は含まれません。PCI は一般公開を目的として決して想定されていません。
DoD と連携して仕事をすることを望む組織は、保存および処理する CUI と FCI を特定できる必要があります。そうすることで、DoD の要件に従って適切に保護できます。
誰がコンプライアンスを満たす必要がありますか？
DoD の標準は一般的なサイバーセキュリティに関して有用なガイドラインを提供していますが、これらは一部の企業にとって必須の要件です。CUI を保存、処理、または流通させる DoD と連携するすべての請負業者は、DFARS の標準に準拠する必要があります。これには、すべての非機密の DoD データが適切な保護策によって保護されること、システムの脆弱性および侵害がもたらし得る潜在的な結果を最小限に抑えること、そして適切なインシデント報告の実践を導入することが含まれます。
NIST 800-171
DFARSに対応して、米国国立標準技術研究所（National Institute of Standards and Technology：NIST）は、サイバー衛生（cyber hygiene）のベストプラクティスを詳細に分解して示すために NIST 800-171 を開発しました。具体的には、NIST 800-171 は、DoD（国防総省）の請負業者が CUI データを保護できるように設計されています。 FCI データの保護については対象外です。
NIST 800-171 の管理策（コントロール）ファミリー
NIST 800-171 では、セキュリティ管理策（コントロール）を次の 14 のファミリーに分解しています。:
|
1. Access Control |
Monitor all access events within a system, and limit each user’s access to systems and data to the minimum required to do their job. |
|
2. Awareness and Training |
Ensure staff receives sufficient training on security policies, practices and risks appropriate to their access privilege. Train regularly so users are prepared to respond to threats. |
|
3. Audit and Accountability |
Maintain proper audit logs, log management practices and audit reporting. Limit access to auditing systems. |
|
4. Configuration Management |
Configure hardware and software to restrict access to nonessential features and programs and prevent unauthorized software installation. |
|
5. Identification and Authentication |
Prevent unauthorized use of systems by implementing multifactor authentication (MFA) and strong password policies. |
|
6. Incident Response |
Develop and test procedures to ensure prompt detection and response threats. |
|
7. Maintenance |
Perform system maintenance to prevent CUI disclosure. Monitor employees, prevent offsite use of devices with CUI, and check media for malicious code. |
|
8. Media Protection |
Control access, protection and disposal of media that contain CUI. Use cryptography to protect digital data. |
|
9. Physical Protection |
Prevent hardware, software, networks and data from physical damage by limiting access and maintaining audit logs |
|
10. Personnel Security |
Monitor users’ activity, especially around shifts in personnel. |
|
11. Risk Assessment |
Perform vulnerability testing of systems and frequently evaluate the potential risks to your organization. |
|
12. Security Assessment |
Define system boundaries and implement a plan to reduce vulnerabilities. Refine security requirements frequently. |
|
13. System and Communications Protection |
Secure the communication of CUI. Use separate networks or subnetworks for unprotected information, and set defaults to deny network communications (whitelisting). |
|
14. System and Information Integrity |
Quickly identify system flaws. Immediately respond to security breaches and system errors. Update security software as soon as new versions are released. |
NIST 800-171 のコントロールに関する詳細は こちら です。
厳選した関連コンテンツ：
NIST の更新
NIST 800-171 は 2015 年に作成され、定期的な更新 が行われます。更新が発生するたびに、請負業者には新しい規則に準拠するための一定の期間が与えられ、それを満たせない場合は DoD との承認済みベンダー資格を失うリスクがあります。
CMMC
DFARS clause は企業のサイバーセキュリティに関するベストプラクティスを示している一方で、Cybersecurity Maturity Model Certification（CMMC）は、組織のサイバーセキュリティプログラムの質を評価し、その質を裏付ける一連の認証を提供します。これらの認証により、DoD のベンダー承認が標準化されます。CMMC 認証は、FCI と CUI の両方のデータに適用されます。
CMMC は誰に適用されますか？
CMMC の標準は、事業を行う、またはサービスを提供するために DoD から資金提供を受けるすべての組織に適用されます。防衛産業複合体（defense industrial complex）と呼ばれるこの枠組みには、DoD 向けに物品またはサービスを提供する 30 万を超える組織が含まれます。
CMMC のタイムライン
CMMC の進化を追ってきたほとんどの人が、タイムライン（時期）について疑問を抱いています。CMMC のバージョン 1.0 と、その後に示された「暫定ルール（interim rules）」を経て、認証の第 2 版は 2021 年 11 月にリリースされました。ですが、まだ発効していません。CMMC 2.0 は現在もルール策定のプロセスの最中で、完了までに最大 2 年かかる可能性があります。
これは、企業が認証基準を優先事項にすべきでないという意味ではありません。請負業者は、先行することを期待して、サプライチェーン内で新しい基準への準拠を優先しています。CMMC 2.0 を遵守することは、貴社を NIST 800-171 のガイドラインとも整合させることにつながります。
CMMC 準拠レベル
DoD は、コンプライアンスのレベルを簡素化するために、CMMC 1.0 と 2.0 の間でいくつかの変更を行いました。最初のバージョンでは、評価の基準が異なる 5 つのレベルがありました。バージョン 2.0 では、データの種類と DoD との契約の強度に応じて、CMMC コンプライアンスは 3 つのレベルに整理されています。各レベルでは、評価に対する期待値が異なります。CMMC 2.0 のコンプライアンス レベルの詳細については、下の表を参照してください。
Level | Assessment Type | Who Must Comply |
|---|---|---|
|
Level 1. Foundational |
Annuaself-assessmentsl self-assessments |
Companies dealing with FCI only |
|
Level 2. Advanced |
Third-party assessments every three years and annual self-Third-party assessmentsassessments |
Companies that handle CUI |
|
Level 3. Expert |
Additional government-led assessments every three years |
Specified in individual DoD contracts |
CMMC に準拠する方法
CMMC に準拠するには、17 の標準セットすべてに適合する必要があります。これには、上で確認した NIST 800-171 の 14 のコントロール ファミリーに加え、以下の 3 つの追加グループが含まれます。
Additional Area | Description |
|---|---|
|
Recovery |
Create a recovery plan in the event of a data breach or loss. |
|
Situational Awareness |
Understand your IT environment in order to efficiently learn about cyber threats and respond to them appropriately. |
|
Asset Management |
Identify assets, particularly CUI data, and define your procedures for handling and classifying those assets. |
サポートが必要な場合は、こちらの CMMC compliance starter checklist をダウンロードしてください。
DoD のフレームワーク
国防総省（DoD）関連組織の副CIOまたはCISOとして、DFARS、NIST、およびCMMCの要件が非常に負担に感じられるかもしれません。しかし、たとえば本記事の 参考資料の編集（コンピレーション） のように、DoDサイバーセキュリティのコンプライアンスを達成するために役立つ豊富なリソースが用意されています。以下では、コンプライアンスの重要な側面の多くに役立つリソースを紹介します。
サイバーセキュリティ戦略の策定
組織は、プロセスを変更し、統制（コントロール）を実装できるようにするための、4〜5年のサイバーセキュリティ戦略を作成すべきです。以下のリソースは、確かなサイバーセキュリティ戦略の作成に役立ちます。
- NIST SP 800-37 — リスク管理フレームワーク
- NIST SP 800-39 — 情報セキュリティリスクの管理に関するガイダンス
- DODD 8000.01 — 情報リソース管理の責任をあなたの DoD CIO に付与するための指令
防御可能なネットワークを構築する
防御可能なネットワークを構築するには、モニタリング、オートメーション、脅威検知、インシデント対応のためのツールとプロセスを導入する必要があります。以下のリソースが役立ちます：
- FIPS 199 — リスクレベルに基づいて連邦情報システム向けの標準化されたカテゴリを提供し、セキュリティ戦略の優先順位を定めるのに役立ちます
- FIPS 200 — 情報のリスクレベルに応じて最小限のセキュリティ要件を定義し、情報のリスクレベルに基づいてセキュリティコントロールを選択するためのプロセスを説明します
- NIST SP 800-53 — 連邦の情報システムおよび組織向けのセキュリティとプライバシーの管理策のカタログと、適切な管理策を選択するためのプロセスを提供します
重要インフラの保護体制の確立
重要インフラの保護（CIP）とは、回復力のあるシステム、ネットワーク、データベースを構築するための包括的な戦略を指します。これには、危害の防止とデータ保護に加えて、インシデントの軽減、対応、復旧が含まれます。CIO や CISO を支援できる CIP の計画やポリシーに関する多くのリソースがあります。たとえば、ISA/IEC 62443 の標準は、資産所有者、サービス提供者、サプライヤー向けにセキュリティツールとベストプラクティスを提供します。
アクセスの管理
以下のリソースは、データ、アプリケーション、その他の IT 資産へのアクセスを適切に管理するのに役立ちます：
- NIST SP 800-60 — CUI としての情報分類方法や、それに誰がアクセスできるかを制御する方法に関する指針を提供し、アクセス管理の実践を支援します
- NIST SP 800-133 — 承認済みの暗号アルゴリズムを使って機密データを保護するのに役立ちます
情報の共有
サイバー脅威や攻撃者に関する情報を共有することは、サイバーセキュリティを強化するうえで非常に重要です。以下のリソースが役立ちます。
- DoD Cyber Exchange — DoD の内外のサイバー専門家に対して、指針とトレーニングを提供します
サイバーセキュリティの人材を育成する
次のリソースは、ITまたはサイバーセキュリティ分野で働く人のオンボーディング、適格性の確認、および管理に役立ちます：
- NIST SP 800-16 — 現代のサイバー空間におけるITセキュリティ教育のための概念を提供しつつ、将来のソフトウェアや技術に対する柔軟性も確保しています
- NIST SP 800-100 — 情報セキュリティプログラムを確立するための、管理者向けの指針を提供します
サイバーセキュリティを保つためのヒント
全米サイバーセキュリティおよび通信統合センター（National Cybersecurity and Communication Integration Center、NCCIC）は、国防総省（DoD）のサイバー衛生（cyber hygiene）基準を順守し始めるための7つの重要な戦略をまとめました。
- アプリケーションのホワイトリスティング（AWL）を使用する — 承認済みソフトウェアのリストを定義し、それ以外をすべてブロックします。これは、不要なアプリケーションをすべてブラックリストにしようとするよりもはるかに効果的です。
- 適切な設定とパッチ管理を実践する — 安全なベースライン設定を実装し、いかなるドリフト（逸脱）も速やかに是正します。重要な更新が適時に適用されるようにしてください。
- ネットワークセキュリティを強化する — 攻撃者が侵入できる可能性のある入口を最小限に抑え、攻撃者を隔離するためにネットワークを複数のエンクレーブ（enclave）に分割します。
- 多要素認証（multifactor authentication）を導入する — MFAを使用します。特に、CUIへの特権アクセスを持つアカウントに対しては必ず適用してください。
- 安全なリモートアクセス — MFA と、オペレーターが制御し時間制限のある基準を用いてリモートアクセスを制御します。攻撃者がシステムにリモート接続できるようにする隠れたバックドアがないか、定期的に確認してください。
- システムを常に監視 — 脅威の検知と対応を迅速化し、責任の所在を明確にするために、脅威インテリジェンスを用いた継続的な監視を実施します。対象は、ICS 境界での IP トラフィック、ネットワーク内の IP トラフィック、そして管理者アカウントのアクティビティです。
- インシデント対応計画を策定し、定期的にテストする — セキュリティインシデントに備えた包括的な対応計画を作成します。対応としては、すべてのデバイスをインターネットから切断すること、特定のアカウントを無効化すること、ネットワークセグメントを隔離すること、マルウェアの検索を実施すること、そして直ちにパスワードのリセットを要求することなどが含まれます。 計画は定期的にテストして見直してください。
- DoD の標準およびフレームワークに基づいてサイバーセキュリティのスコアカードを作成する — スコアカードは、より強固なサイバーセキュリティに向けた進捗を測定するのに役立ちます。
Netwrix がどのように支援できるか
米国国防総省（DoD）のサイバーセキュリティ基準への準拠を達成し、かつ継続的に維持することは、政府の承認済みベンダーリストに掲載されるために必要です。 Netwrix solutions は、データ、アイデンティティ、インフラといった主要な攻撃対象領域すべてを保護することで、サイバーセキュリティ上の課題に対する包括的なアプローチを提供します。
おすすめのソリューションについて詳しくはこちら：
- データアクセスのガバナンス — 機密データへのアクセスを取り戻してください。
- Active Directory のセキュリティ — AD をオンプレミス環境とクラウド環境の両方で、エンドツーエンドで安全に保護します。
- ランサムウェア対策 — ランサムウェア感染のリスクを低減し、進行中の攻撃を検知します。
- Privileged access management — 特権操作に伴うリスクを削減しましょう。
- Information governance — データを整理し、見つけやすくし、さらに安全に。
共有する
もっと詳しく
著者について
Kevin Joyce
プロダクトマネジメント担当ディレクター
Netwrix のプロダクトマネジメント担当ディレクター。Kevin はサイバーセキュリティに情熱を持ち、特に攻撃者が組織の環境を悪用するために用いる戦術や手法を理解することに注力しています。Active Directory と Windows のセキュリティに焦点を当てたプロダクトマネジメントでの 8 年の経験を通じて、その情熱を活かし、組織がアイデンティティ、インフラ、データを保護できるようなソリューションの構築を支援しています。