CMMCとは？サイバーセキュリティ認証とコンプライアンスのガイド

CMMCとは？

Cybersecurity Maturity Model Certification (CMMC) は、米国国防総省（DoD）が、国防産業基盤（Defense Industrial Base, DIB）に属する企業のサイバーセキュリティ態勢を強化するために設計したフレームワークです。これは、請負業者が、サイバー脅威から「Controlled Unclassified Information（CUI：管理対象の非機密情報）」および「Federal Contract Information（FCI：連邦契約情報）」を保護するために満たすべきセキュリティ要件を定めています。

CMMC フレームワークは、NIST SP 800-171、NIST SP 800-53、ISO 27001、DFARS 252.204-7012、およびその他の規制から得られるセキュリティ基準を、段階（ティア）型のモデルに統合しています。これにより、国防総省（DoD）と協業する前に、防衛関連の請負業者が必要なサイバーセキュリティ実践を遵守できるようにします。

CMMC はなぜ作られたのか

CMMC は、国防のサプライチェーンにおけるサイバーセキュリティ上の脆弱性に対処し、機密性の高い DoD データを取り扱うすべての請負業者が厳格なサイバーセキュリティ手順に従うことを確実にするために導入されました。導入に至った主な理由には、次のようなものがあります：

• 増え続けるサイバー脅威に対して、DIB 全体でサイバーセキュリティを強化する必要性
• 組織が NIST SP 800-171 を適切に実装できず、セキュリティの隙が生じる
• サイバーセキュリティの準備状況を第三者が検証することで、説明責任を高めたいという要望

サイバーセキュリティ合規における DoD の役割

DoD は次のようにして、サイバーセキュリティ合規において中心的な役割を果たします:

• サイバーセキュリティの標準を定義する — DoD は、CMMC、NIST SP 800-171、DFARS（Defense Federal Acquisition Regulation Supplement）などの方針を策定します。
• コンプライアンスの強制 — 米国国防総省（DoD）は、契約を受注する前にすべての防衛請負業者がサイバーセキュリティ要件を満たすことを義務付けています。
• 監査・アセスメントの実施— DoDは、CMMCの第三者評価機関（C3PAO）と連携して、請負業者のサイバーセキュリティの準備状況を評価します。
• ガイダンスとリソースの提供— DoDはサイバーセキュリティのガイドラインを発行し、プログラムに資金を拠出して、中小企業が CMMC の基準に準拠できるよう支援します。
• サイバー脅威の監視と対応 — DoDは、NSA、CISA、FBIなどの機関と連携して、国防サプライチェーンに対する脅威を軽減します。

CMMCの進化：コンセプトからCMMC 2.0へ

CMMC が導入される前は、防衛請負業者に対して NIST SP 800-171 のセキュリティ管理策の遵守が求められていました。しかし、サイバーセキュリティ対策が適切に実施されていることを確認するための独立した検証はなく、請負業者は単に自社で遵守状況を自己申告するだけで済んでいました。その結果、多くの請負業者が求められるセキュリティ管理策を十分に実装できず、防衛サプライチェーンにおけるサイバー侵害は引き続き増加し続けました。

これらの課題に対処するため、DoD は 2019 年に CMMC を導入しました。CMMC は、すべての DoD 請負業者に対してサイバーセキュリティの実務を標準化することで機微な防衛データをより適切に保護し、さらに、遵守状況について独立した検証を求めることで説明責任を高めることを狙いとしていました。

CMMC 2.0 における主な変更点

2021 年 11 月、DoD は、コンプライアンスを簡素化し、より利用しやすくするために、当初の CMMC を改訂しました。CMMC 2.0 における主な変更点は次のとおりです：

• 5つの成熟度レベルから3つへ削減 — 3つの0レベルは、Level 1（Foundational）、Level 2（Advanced）、Level 3（Expert）です。
• 自己評価の再導入 — 一部の Level 1 および Level 2 の組織は、第三者認証を必要とせず、年1回の自己評価を行えるようになりました。ただし、優先度の高い CUI を扱う請負業者は、引き続き第三者による評価が必要です。
• 是正措置における柔軟性 — CMMC 1.0 とは異なり、CMMC 2.0 では組織が Plans of Action & Milestones（POA&Ms）を提出できるため、不足事項を修正する時間を確保しつつ、契約の対象資格を維持できます。
• 固有の CMMC 実施事項の廃止 — CMMC 1.0 には NIST SP 800-171 を超える追加のサイバーセキュリティ要件が含まれていました。CMMC 2.0 ではそれらを廃止し、既存の連邦基準に合わせています。
• コスト効率とスケーラビリティの向上 — 手順を合理化することで、中小企業のコストを削減します。企業は、実装する必要がある内容について、より明確なガイドラインを得られるようになりました。

CMMC フレームワークと構造

CMMC が NIST サイバーセキュリティ標準とどのように整合するか

CMMC は、既存の米国国立標準技術研究所（NIST）のサイバーセキュリティガイドラインと非常に密接に整合しており、特に次の点に対応しています：

• NIST Special Publication (SP) 800-171 — CUI を保護するためのベストプラクティスを定義する 110 のセキュリティ管理策のセット
• NIST SP 800-172 — 高リスク環境における CUI 保護のための強化されたセキュリティ要件
• NIST サイバーセキュリティ・フレームワーク (CSF) — 業界全体でサイバーセキュリティのリスク管理を改善するための、より広範な枠組み

この整合性により、すでに NIST 800-171 に準拠している組織は、CMMC 準拠への移行をよりスムーズに行えます。

3つの CMMC 成熟度レベルの概要

CMMC 2.0 では、3つのサイバーセキュリティ成熟度レベルを定義しています：

• レベル1（基礎）は、基本的なサイバー衛生（cyber hygiene）施策に焦点を当てます。
• レベル 2（高度）では、より高度なセキュリティ実践を求めることで、CUI を保護します。
• レベル 3（エキスパート）は、最も機密性の高い CUI を扱う請負業者を対象としています。

CMMC の成熟度レベルと要件

レベル 1：基礎となるサイバーセキュリティ

CMMC レベル 1（基礎）は、DoD（米国国防総省）の請負業者向けの入口として機能します。FCI を扱うものの、CUI を処理・保管・送信しない組織を対象に設計されており、最も基本的なサイバーセキュリティ要件が課され、年 1 回の自己評価のみが求められます（第三者の認証は不要）。

セキュリティ要件

CMMC Level 1 の実践は、連邦調達規則（Federal Acquisition Regulation、FAR）52.204-21（Basic Safeguarding of Covered Contractor Information Systems）に基づいています。17 のセキュリティ実践は 6 つのドメインに分類され、それぞれに独自のサブドメインがあります。

CMMC Level 1 は誰が遵守する必要がありますか？

• FCI を取り扱うが CUI は取り扱わない組織
• DIB で下請けとして業務を行うが、機密性の高い政府データを取り扱わない組織
• 国防総省（DoD）に対して非重要な物品またはサービスを提供する組織

評価要件

• 組織は毎年自己評価を実施し、その結果を国防総省（DoD）に提出します。
• 第三者認証は不要ですが、コンプライアンスは文書で記録する必要があります。
• 監査の対象に選ばれた場合、組織は 17 のセキュリティ実践を実装していることを示す証拠を提示する必要があります。

レベル 2：Controlled Unclassified Information のための高度な保護

CMMC レベル 2（Advanced）は、CUI への不正アクセスを防ぐために強固なサイバーセキュリティ体制を確立することを目的に設計されています。CUI を取り扱い、処理し、保存し、または送信する組織には必須です。

セキュリティ要件

レベル 2 の 110 のセキュリティ管理策は、さまざまなサブドメインを含む 14 のドメインに分けられています。

CMMC レベル 2 の遵守が必要なのは誰ですか？

• DoD 契約に基づいて CUI を取り扱い、処理、または保管する組織
• DIB のサプライチェーンの一部である組織
• NIST SP 800-171 のセキュリティ要件に準拠する必要がある組織

評価要件

CMMC Level 2 では、請負業者に対し、次の 2 種類の評価タイプのうちいずれか 1 つを完了することが求められます。

• 第三者評価 重要な CUI を取り扱う契約業者には 3 年ごとの第三者評価が必要です。DoD 契約の対象となるためには、認証が必要です。
• 自己評価 （年次）は、セキュリティ上のリスクが低く、優先度の低い契約業者に対して認められています。結果はサプライヤー・パフォーマンス・リスク・システム（SPRS）に報告する必要があります。

レベル3：リスクの高い契約業者向けの専門レベルのサイバーセキュリティ

CMMC レベル 3（Expert）は、CMMC 2.0 フレームワークにおけるサイバーセキュリティ成熟度の最高レベルを表します。これは、高リスク環境で最も機密性の高い CUI を取り扱う契約業者向けに設計されています。

セキュリティ要件

CMMC Level 3は、Level 2（NIST SP 800-171）をベースに、NIST SP 800-172の追加のセキュリティ管理策を導入することで拡張します。 これらの管理策により、高度な持続的脅威（APT）を含む、洗練されたサイバー脅威を検知し、対応し、さらに復旧する組織の能力が強化されます。

CMMC Level 3の強化されたセキュリティ分野は以下のとおりです。

CMMC Level 3の遵守が必要なのは誰ですか？

• 国家安全にとって重要な CUI を取り扱う組織
• 国家レベルの脅威に対して最大限の保護が求められる、高額な DoD（米国国防総省）契約に取り組む組織
• ミッションクリティカルな防衛プログラムを支援する組織

評価要件

自己評価または第三者評価を行う Levels 1 および 2 と異なり、CMMC Level 3 では、3 年ごとに政府主導の評価が必要です。DoD の Defense Industrial Base Cybersecurity Assessment Center（DIBCAC）によって実施され、セキュリティ管理策に関する膨大な文書化が求められるほか、ペネトレーションテストおよび模擬的なサイバー脅威シナリオも含まれます。

CMMC 準拠：契約業者にとっての意味

契約業者にとって、CMMC 準拠は DoD と取引するための前提条件です。言い換えれば、必要とされるサイバーセキュリティの成熟度レベルを満たせない場合、政府の契約の対象外となる可能性があります。

連邦契約情報（Federal Contract Information）と管理された非機密情報（Controlled Unclassified Information）の違い

FCI と CUI の違いを理解することは、必要な CMMC の準拠レベルを判断するために不可欠です。

CMMC 評価プロセスと認証要件

CMMC の認証プロセスでは、組織が DoD（米国防総省）と業務を行う前に、サイバーセキュリティ基準への準拠を満たしていることを確認します。DoD の契約に入札するには認証が必要です。

評価の種類は、契約で必要とされる CMMC の成熟度レベルによって決まります：

認定された第三者評価機関

C3PAO の役割

C3PAO は、CMMC Level 2 認証を目指す企業に対して正式なサイバーセキュリティ評価を実施するために、サイバーセキュリティ成熟度モデル認証認定機関（Cybersecurity Maturity Model Certification Accreditation Body：CMMC-AB）によって認定されています。C3PAO は、技術的管理策、ポリシー、ドキュメントなどを含む CMMC のセキュリティ要件への適合状況を評価します。評価を完了した後、C3PAO は、最終確認のために調査結果と推奨事項を CMMC-AB に提出します。企業が要件を満たしている場合、CMMC-AB が認証を付与します。この認証の有効期間は 3 年です。

C3PAO の要件

利益相反を避けるため、C3PAO は同一の企業に対してコンサルタントと評価者の両方として行動することはできません。C3PAO は、CMMC-AB からの認定を維持するために定期的な審査および監査を受けます。さらに、CUI を取り扱う場合には、連邦リスクおよび認可管理プログラム（Federal Risk and Authorization Management Program：FedRAMP）の要件を含む、厳格なサイバーセキュリティ基準を遵守しなければなりません。

C3PAO の選定

CMMC Level 2 の認証を取得しようとする企業は、認定評価機関のディレクトリである CMMC Marketplace から承認済みの C3PAO を雇用する必要があります。

CMMC の導入スケジュールとコンプライアンス期限

国防総省（DoD）は 2024年10月に CMMC の最終規則を公表し、連邦契約における導入とコンプライアンスのための基盤を整えました。最終 CMMC プログラム規則 は 2024年12月16日に正式に法律となりました。

全面的な CMMC の強制適用が始まる前に、請負業者が適応し、必要な認証を取得するための時間を確保するため、展開は 3 年かけて 4 つのフェーズで行われます。

CMMC 認証の取得

CMMC 認証とは？

CMMC 認証を取得するまでの手順

認定された第三者評価機関（C3PAO）の役割

CMMC の導入スケジュールとコンプライアンスの期限

CMMC アセスメントの準備

CMMC アセスメントの準備は、DoD（米国国防総省）に入札したり、DoD と連携して業務を行ったりしたい組織にとって非常に重要です。ここでは、重要な要件、よくある課題、そして準備に役立つツール／リソースをわかりやすく整理します。

監査（アセスメント）前に満たすべき主な要件

CMMC アセスメントを受ける前に、組織は次の手順を実施する必要があります：

CMMC 認証プロセス

1. 必要な CMMC レベルを確認してください。 FCIを扱うがCUIは扱わない場合はレベル1、CUIを扱う場合はレベル2または3です。
2. ギャップ分析を実施する. 現在のサイバーセキュリティポリシーを、必要なレベルに対する CMMC 要件と照合してください。不足している管理策を特定し、是正措置の計画を作成します。セキュリティポリシー、インシデント対応、リスク管理に関するドキュメントを整備してください。
3. システムセキュリティプラン（SSP）を作成する。 サイバーセキュリティポリシー、手順、管理策が必要な管理策をどのように満たしているかを文書化してください。
4. 行動計画およびマイルストーン（POA&M）を作成する。 ギャップが特定された場合は、完全なコンプライアンスを達成するためのタイムライン付きの、構造化された是正措置計画を概説してください。
5. 必要なセキュリティ管理策を実装する。 CMMC レベルの要件に基づき、アクセス制御、暗号化、MFA、継続的なモニタリング、およびその他のセキュリティ対策を適用してください。
6. 自己評価を実施してください。 DoD の CMMC Assessment Guide を活用して、必要なすべての管理策が正しく実装されているかを確認してください。
7. コンプライアンスの文書がすべて揃っていることを確認してください。 監査の際にコンプライアンスの証拠を提示できるよう、すべてのサイバーセキュリティのポリシー、手順、およびシステム構成の詳細な記録を維持してください。
8. 従業員にサイバーセキュリティのベストプラクティスを教育してください。 すべてのスタッフが、CMMC のもとで求められるセキュリティポリシーとコンプライアンス義務を理解していることを確認してください。

よくあるコンプライアンス上の課題とその乗り越え方

CMMC のコンプライアンスを達成するのは難しい場合があり、特に中小規模の請負業者にとっては大きな負担になることがあります。以下に、よくある障害と解決策を示します。

• 不完全なドキュメント — 実装したセキュリティ対策を詳述し、貴社がサイバーインシデントをどのように特定し、対応し、そして復旧するかを示すインシデント対応計画を盛り込んだ包括的な SSP を必ず作成してください。
• アクセス制御が不十分 — RBAC を用いて最小権限を徹底し、Zero Trust フレームワークの一部として MFA を実装してください。適切な暗号化プロトコルを確実に導入することが重要です。
• 継続的な監視の欠如 — 自動化された監視と SIEM ツールを使って、リアルタイムで脅威を監視します。
• サプライチェーンのセキュリティ上の脆弱性 — すべてのベンダーおよび下請け業者が CMMC の要件を満たしていることを確認してください。契約書にサイバーセキュリティ条項を含めましょう。
• 予算の制約 — 予算が限られた状況で必要なセキュリティ対策を実装するには、比較的手頃な コンプライアンス ツール を活用し、DoD の助成金または財政支援を申請し、リスクの高いセキュリティ上のギャップを優先してください。

CMMC 対応準備のためのツールとリソース

以下のリソースは、CMMC 評価の準備にあたって重要なタスクを支援します：

• CMMC をより深く理解する — CMMC ワークショップおよび研修プログラム
• 自社の準備状況を評価する — CMMC 認定機関によるセルフアセスメント ツール
• CUI を取り扱うために必要な管理策を実装する — NIST SP 800-171 Toolkit
• エンドツーエンドのサポートを受ける — CMMC認定コンサルタントが、コンプライアンスプロセスの進め方、ギャップ分析の実施、監査に向けた準備を支援します。

特定のセキュリティ対策を実装する準備ができたら、次のようなツールを検討してください。

• コンプライアンス管理 （進捗の追跡、セキュリティ対策の実装、および必要なドキュメントの生成）— Vanta、Drata、CyberStrong
• リアルタイム監視、アラート、レポート — Sumo Logic, Splunk
• リスク評価と低減 — RiskWatch
• セキュリティの弱点検出 — Tenable, Qualys, Nessus
• 強力な認証 — Okta, Microsoft Entra ID

国防産業基盤に対する CMMC の影響

国防サプライチェーン全体におけるサイバーセキュリティの強化

DIB は、機密性の高い DoD 情報を取り扱う数千の請負業者で構成されています。たとえ 1 社でもサイバーセキュリティが弱いと、サプライチェーン全体の脆弱性につながり得ます。

CMMCは、すべてのDoDサプライヤーにわたって強力かつ一貫したサイバーセキュリティの実践を求めており、 データ侵害、スパイ活動、ならびに知的財産の盗難のリスクを低減するのに役立ちます。中小企業など、サイバーセキュリティ体制が弱い組織は、CMMCの要件を満たすためにセキュリティ対策をアップグレードする必要があるかもしれません。

コンプライアンスが DoD 契約の要件になります

CMMCの認証は2026年までにDoDの契約へ統合されつつあり、やがてDoDと取引するあらゆる企業に対して必須となります。これによりDIBにはいくつかの影響が生じます:

• 請負業者はコンプライアンスに投資する必要があり、投資しない場合はDoDの契約を失うリスクがあります。
• CMMCの認証を取得している企業は、契約獲得において競争上の優位性を得られます。

国防関連請負企業への財務面および運用面の影響

CMMC の認証を取得するには、しばしば以下を含むさまざまな費用がかかります。

• セキュリティ対策（セキュリティコントロール）の設計・実装を支援するサイバーセキュリティコンサルタント
• 暗号化、MFA、モニタリングツールなどの技術への投資
• セキュリティポリシーおよびコントロールを策定、文書化、管理するために増加する IT の作業負荷
• すべての人員への研修
• 評価：C3PAOによるレベル2およびレベル3の評価は、企業の規模や複雑さに応じて、10,000ドルから100,000ドル超まで幅があります。また、3年ごとに実施が必要です。レベル1の自己評価（年次）はより低いコストで達成できる可能性がありますが、それでも文書化が必要です。
• 非準拠に対する罰金
• 契約の喪失による機会損失（逸失収益）

DIBへの主な影響は、以下が含まれる可能性があります：

• 大規模な請負業者は素早く対応できる一方で、中小企業は認証の取得に苦労する可能性があります。
• サイバーセキュリティの専門家や CMMC コンサルタントへの需要が高まります。
• コンプライアンスコストが、より一層の集約につながる可能性があります。

より厳格なサプライチェーンのセキュリティとベンダー管理

CMMCのもとでは、プライムコントラクターはすべての下請け業者が必要な CMMC レベルの要件を満たしていることを確認しなければなりません。つまり、企業はパートナーシップを結ぶ前にベンダーのセキュリティを評価する必要があります。

CMMC 準拠ベンダーへの需要が高まることで、準拠している企業は競争上の優位性を得られます。しかし、対象となる下請け業者の数が減る可能性があると、サプライチェーンの柔軟性が損なわれるおそれがあります。

早期導入企業が得られる競争上の優位性

CMMC の認証を早期に取得した企業は、DoD の契約やパートナーシップを確保するうえで、競合他社に対して戦略的な優位性を得ることができます。実際には、早期導入企業が DoD の契約機会を主導する可能性が高いでしょう。

CMMC とサイバーセキュリティのコンプライアンスの将来

CMMC は今後も進化していきます。将来の CMMC のバージョンでは、次のような要素が導入される可能性があります：

• 自動化と継続的な監視に関する要件がさらに増える
• ゼロトラストのセキュリティ原則の採用を義務付け
• 安全なクラウドサービスプロバイダーを利用することが求められる（例：FedRAMP High）
• DoD以外の政府部門にも適用される

先手を打つために、組織は次のことを行うべきです:

• DoD の CIO（最高情報責任者）室および Cyber AB からの更新を監視します。
• ワーキンググループに参加し、業界イベント（Industry Days）に出席し、ウェビナーに参加しましょう。
• 新しい要件に適応できる柔軟なサイバーセキュリティプログラムを維持しましょう。

DoDを超えて考える：将来の規制に備える

CMMC のようなサイバーセキュリティ成熟度モデルは、DoD をはるかに超えて急速に重要性を増しています。これらのモデルがなぜ、どこで広がっているのか、また企業にとってそれが何を意味するのかについての情報をまとめました。

拡大する規制の状況

CMMCは当初DoD（国防総省）の取り組みとして始まりましたが、他の連邦政府機関や分野でも、自社のサプライチェーンにおけるサイバーリスクを管理するために、同様のモデルの採用が始まっています。現在、NIST SP 800-171を参照している、または自社の契約の中でCMMCに整合したフレームワークを検討している機関には、次が含まれます。

• GSA（General Services Administration）
• DHS（Department of Homeland Security）
• DOE（Department of Energy）
• NASA（National Aeronautics and Space Administration）

商業分野も注目しています

金融、医療、エネルギー、製造などの業界では、デジタル・エコシステムを確保するための圧力が高まっています。この変化を後押ししている要因には、次のようなものがあります。

• ランサムウェアやサプライチェーン攻撃が増加しています。
• 取引先、投資家、保険会社は、サイバー成熟度の根拠となる証拠を求めています。
• SEC、HIPAA、NERC などの規制機関は、セキュリティと報告ルールを厳格化しています。

競争力となるサイバー成熟度

構造化された成熟度モデルを採用する組織は、次のことができます。

• 安全でコンプライアンスを満たしていることを証明して、より多くの契約を獲得
• より良いサイバー保険の保険料を交渉
• パートナーや顧客との信頼を築く
• 監査、インシデント、規制変更への対応をより迅速に

保険および法的な影響

サイバー保険の提供事業者や法務チームは、サイバーの成熟度レベルをますます活用して、次のことを行っています。

• 保険料率を設定する
• 責任の所在とリスク露出を評価する
• 侵害対応と訴訟への対応を行う

明確なドキュメント、テスト済みの統制、および成熟度モデルを備えている企業は、サイバーインシデントが発生した場合に、より防御しやすい体制になっています。

グローバルな標準へ

国際的な足並みもさらに広がっています。NATOのような国や同盟は、自国の防衛および重要インフラのサプライチェーンを確保するために、CMMCスタイルのモデルを検討したり採用したりしています。

注目すべき動きには次のようなものがあります：

• 英国の Cyber Essentials Plus
• EUの NIS2 指令
• ISO/IEC 27001 の成熟度統合
• 多国籍企業が世界中で NIST フレームワークを採用しています

結論

CMMC は、国防のサプライチェーン全体にわたって機密性の高い政府データを保護するための、標準化されていて強制可能なアプローチを確立するため、非常に重要な枠組みです。サイバーセキュリティを、事後対応型の IT 機能から、組織全体に及ぶ先手の責任へと転換します。

CMMC のコンプライアンスは、もはや任意ではありません。競争上の必須条件です。今すぐ積極的な姿勢を取ることで、公共・民間を問わず組織は DoD の要件を満たすだけでなく、信頼でき、レジリエンス（回復力）のあるパートナーとしての地位も確立できます。

よくある質問

CMMC は何をするものですか？

CMMC は Cybersecurity Maturity Model Certification の略です。これは、DoD（米国国防総省）の請負業者が扱うデータの機密性の度合いに応じて、満たす必要がある特定のサイバーセキュリティの実践事項と成熟度レベルを定義します。Controlled Unclassified Information（CUI）と Federal Contract Information（FCI）を適切に保護することで、Defense Industrial Base（DIB：国防産業基盤）のセキュリティが強化されます。

CMMC と NIST の違いは何ですか？

サイバーセキュリティの世界では、CMMC と National Institute of Standards and Technology（NIST）は特に国防の請負業者にとって密接に関連していますが、果たす役割（目的）は異なります。主な違いは以下のとおりです。

CMMC の 3 つのレベルとは何ですか？

CMMC 2.0 で定義されている 3 つの成熟度レベルは次のとおりです。

3つのレベルの詳細については、「CMMCレベルと要件の内訳」セクションをご覧ください。

組織はどのようにして CMMC の認証を取得できますか？

CMMC の認証取得には、組織のサイバーセキュリティの取り組みを評価し、検証するための、体系化されたプロセスが必要です。

1. 契約または想定される作業で必要とされるレベル（1、2、または3）を確認します。
2. 現状のサイバーセキュリティの体制を、目標レベルの要件と照らし合わせて比較し、欠けている統制（コントロール）、文書の不足、プロセス上の課題を特定します。
3. システムセキュリティ計画（System Security Plan：SSP）および行動計画とマイルストーン（Plan of Action and Milestones：POA&M）を作成します。
4. 必要なセキュリティ対策（セキュリティコントロール）を実施します。
5. C3PAO を起用します（レベル2の評価の場合）。
6. 評価を受けます。

詳細は、「CMMC Assessment Process and Certification Requirements（CMMC評価プロセスおよび認証要件）」および「Preparing for a CMMC Assessment（CMMC評価の準備）」の各セクションを参照してください。

CMMC 認証は受ける価値がありますか？

はい。CMMC 認証は、多くの組織にとって確実に受ける価値があります。特に、米国国防総省（DoD）やその他の連邦機関と連携している、または連携を目指している組織にとって、その価値はさらに大きくなります。主な理由は次のとおりです：

• CMMC は、多くの DoD 契約に入札し、受注するために必要です。
• CMMC は、セキュリティ上のギャップを特定し、改善するのに役立ちます。その結果、ランサムウェア、フィッシング、サプライチェーン攻撃などが原因で発生するデータ侵害やダウンタイムのリスクを減らせます。
• 認証を取得することで、（民間分野においても）不適合の競合他社との差別化につながります。
• CMMC は、DoD 以外にも採用が進んでいる NIST 規格に適合しています。したがって、CMMC に準拠することで、将来の連邦・州・業界の規制により適切に備えられるようになります。