CMMCに関するトップ6の質問：製造業者向けガイド

製造業者が知るべきこと

サイバーセキュリティは製造業にとって新しいテーマではありません。接続機器、革新的ソフトウェア、先進ロボティクスシステムがショップフロアに導入され始めた瞬間から、サイバーセキュリティは会話の一部でした。インダストリー4.0記事と並んでサイバーセキュリティがヘッドラインを飾りましたが、派手な新技術の話題が会話を支配していました。

製造業者はサイバーセキュリティを後回しにしがちです。しかし、多くの企業にとってそれはもはや選択肢ではありません。製造業は、サイバー攻撃に対して最も脆弱かつ標的とされやすい業界のトップ5に常にランクインしています。医療、金融サービス、政府機関セクターはすべて、セキュリティコンプライアンスとリスク管理においてより高い基準が求められてきました。製造業はまだそのような高い基準が求められておらず、それゆえにサイバー犯罪に対してさらに脆弱です。

サイバーセキュリティ成熟度モデル認証（CMMC）が業界に迫っており、以下に製造業者が問うべき6つの重要な質問を示します。

CMMCとは何か？

CMMCはCybersecurity Maturity Model Certificationの略です。この認証は、重要な知的財産を安全に保つためのユニークなアプローチを取ります。最初、CMMCは国防総省（DoD）のために管理対象非機密情報（CUI）を取り扱う製造業者とサプライヤーのみに要求されます。

サイバーセキュリティ成熟度モデル認証（CMMC）は、DoDサプライチェーンの約30万社の契約業者と下請け業者に対し、適切なレベルのサイバーセキュリティプロセスと保護が整っていることを認証する方法です。CMMCプロセスでは、CMMCサードパーティ評価機関（C3PAO）が企業のコンプライアンスとCUIの安全性を認証することが要求されます。

CMMCには「基本的なサイバーセキュリティ衛生」から「高度/進歩的」までの5つの成熟度レベルがあります。成熟度レベルが上がるにつれ、認証取得とコンプライアンス維持のために企業が従わなければならないルールとガイドラインも増えます。

なぜCMMCが作られたのか？

国防総省はサイバー攻撃を重大な脅威と認識しました。特に、大手プライム契約業者を支える中小規模の下請け業者にとってです。悪意ある行為者は、プライム企業が攻撃防止により多くのリソースを費やしていることを認識し、そのサプライチェーンがより容易な標的であることを理解しました。国立標準技術研究所（NIST）特別出版物（SP）800-171サイバーセキュリティ要件は、国防総省（DoD）と協力する契約業者が遵守すべき国防連邦調達規則追補（DFARS）252.204-7012条項に準拠し、機密情報を保護するために開発されました。DoDがサプライチェーンのごく一部しかこれらのガイドラインに準拠していないと推定したとき、サイバーセキュリティ成熟度モデル認証（CMMC）が作られました。

サイバー攻撃は残念ながら日常的に発生しています。「国家防衛情報の80%以上がパートナーのネットワーク上に存在する今、あなたが何をしているか、私が何をしているかという会話ではなく、国家防衛を守るために私たちが集団として何をしているかがより重要だ」と、Katie Arrington氏（国防次官補（調達担当）サイバー担当特別補佐官、CMMCの主要推進者の一人）は述べています。

2018年12月、中国のハッカーが海軍契約業者から情報を窃取したと報じられ、艦船整備データとミサイル計画が含まれていました。これらの行為は国家安全保障への直接的な脅威です。ロックヒード・マーティンのような大手DoDサプライヤーが最高レベルのサイバーセキュリティプログラムを持っていても、DoDサプライチェーンのすべての下請け業者とサプライヤーが自らを守らなければ、サイバー犯罪者の侵入ポイントになります。DoDサプライチェーンのたった一つの弱いリンクが、国家全体をリスクにさらす可能性があります。

自社にCMMCは必要か？

すべての企業はサイバーセキュリティ強化に投資すべきです。Radware調査によれば、サイバー攻撃あたりの推定コストは460万ドルです。調査参加者の13%が、自社に1,000万ドル以上の損害を与えるサイバー攻撃を経験しており、この数字は2018年と2019年のわずか1年で倍増しました。ニュージャージー州製造業延伸プログラム（NJMEP）のサイバーセキュリティ専門家は、すべての製造業者がCMMCの「中級サイバー衛生」、すなわちレベル2相当を達成することで利益を得られると提案しています。DoD契約業者の場合、成熟度レベルはDoDサプライチェーンでの位置づけにより異なります。

DoDサプライヤー、下請け業者、製造業者が遵守すべき5つのCMMC成熟度レベルのどれかは、プライムDoD契約業者によって決定されるか、CMMCギャップ分析を通じて明らかにできます。DoDと何らかの仕事をするすべてのサプライヤー、下請け業者、製造業者は、何らかのレベルのCMMCを必要としますが、成熟度レベルは企業が扱う情報と実施する業務によって異なります。

防衛産業基盤（DIB）企業が管理対象非機密情報（CUI）を持たないが、連邦契約情報（FCI）を持っている場合、FAR条項52.204-21を満たす必要があり、最低でもCMMCレベル1での認証が必須です。

いつ認証プロセスを開始すべきか？

今すぐです。DoDサプライヤー、下請け業者、製造業者は、重要なDoD契約を失うリスクを避けるため、できるだけ早くCMMC認証プロセスを開始すべきです。開始から完了まで、1年以上かかる可能性があります。2020年6月にはCMMCがRFI（情報提供依頼）に登場し始めました。2020年9月からRFP（提案依頼）でCMMCが言及されることが予想され、評価は2020年秋から始まります。

今すぐ行動し、CMMCとその源流となったフレームワークであるNIST 800-171に精通したコンサルタントと協力することが不可欠です。認証は、組織が現在CMMC成熟度レベルのどこに位置するかを特定する評価から始まります。次のステップは詳細なギャップ分析を行い、その後フルサービスの是正へと進みます。各CMMC成熟度レベルには異なる時間と労力がかかります。しかし、できるだけ早く始めることで、企業、経営陣、労働力への負担を軽減できます。

認証を取得しなかった場合どうなるか？

DoD契約業者、下請け業者、サプライヤー、製造業者の場合…

必要なCMMC成熟度レベルを達成できるかどうかが、次のDoD契約を獲得できるかどうかの分かれ目になります。DoDプライム契約業者は、すべての下請け業者にこれらの重要な新ルールへの準拠を要求し始めます。これらのガイドラインを遵守せず、適切なCMMC成熟度レベルを達成しない製造業者は、DoDビジネスを継続できなくなります。

非DoD製造業者の場合…

現時点では、DoD契約業者のみがCMMCを取得しない場合にDoD業務を失うリスクがあります。しかし、中小規模製造業者は常に、ビジネスを完全に麻痺させ、財政的に回復不能に至るサイバー攻撃のリスクにさらされています。この認証は、非DoD製造業者にとって素晴らしいサイバーセキュリティの基準とベストプラクティスを提供します。サイバーセキュリティ評価の結果に応じて、自社に最適な成熟度レベルを決定できます。

CMMCに関するその他の質問に誰が答えられるか？

CMMC取得は、適切なサポートなしでは困難です。認証はまだ初期段階にあり、製造業者が独自にナビゲートするには難しい環境を作り出しています。acq.osd.mil/cmmc/faq.html のようなウェブサイトを調べたり、NJMEPのようなコンサルタントと協力したりするのが、着手の最良の方法であり、困難なプロセスをあらゆるビジネスにとって合理的な価値創造プロセスに変える助けになります。

CMMCの理解、影響を受ける企業、行動のタイミング、必要な成熟度レベルの特定は、威圧的に感じられるかもしれません。一人で抱え込まないでください。サイバーセキュリティは不可欠ですが複雑です。適切なチームと協力し、適切な情報にアクセスすることが、非常に貴重であることが証明されるでしょう。

注意点

このトピックには多くの質問があり、展開中に多くの展開がありました。初期段階では、最終版ガイドラインが決まっておらず伝達されていないにもかかわらず、支援を謳い高額な費用を請求する企業が多数ありました。ソリューションやサービスを販売する無数の企業があり、誰を信頼すべきか判断が難しい場合があります。これは、要件に精通していると主張するマネージドサービスプロバイダー（MSP）に単純にアウトソースできるものではありません。

1. https://www.radware.com/newsevents/pressreleases/c-suite-2019