CMMC認証：防衛産業の契約者が知っておくべき重要ポイント

サイバーセキュリティ成熟度モデル認証（CMMC）の完全実施が迫る中、対象組織は認証プロセスを確実にクリアしようと動き出しています。

目標はシンプルです：組織が最低限のサイバーセキュリティ基準を満たし、国家安全保障の向上に貢献すること。間もなく推定30万社の防衛産業基盤（DIB）組織が、5段階のCMMCレベルのいずれかで認証を取得しなければ連邦契約の受注資格を失います。認証なし＝契約なし。米国政府と国防総省にとって、DIBが国家防衛に果たす極めて重要な役割を踏まえれば、常にハイステークスです。データ保護とサプライチェーンの完全性を確保する唯一の道は、業界をより高い基準で縛ることです。

どうここまで来たか

国家・非国家アクターによる敵対的活動は増大し、経済的損失は推計で世界全体で5兆ドル。2016年だけで米国経済への損失は570億〜1,090億ドルとの試算もあります。しかしCMMCの必要性は経済的利益だけでなく、集団的自衛のためでもあります。大小あらゆる企業が米国のウォーファイター（戦う人々）の成功に貢献しており、CMMCの下ではすべてが同レベルの説明責任を負います。

連邦分野では、ある戦闘機を一瞥するだけで、最終的に国を守る組織をいかに守るかがわかります。民間では、ターゲット社の情報漏洩がビジネスパートナーという弱点を突かれた好例です。DIBに説明責任を求めることで、新たなビジネス要件を満たすだけでなく、攻撃に対するレジリエンス（強靭性）を高める戦略的要請にも応えます。時代は変わり、ビジネスのやり方も変わりました。好むと好まざるとに関わらず、「サイバー戦争」「サイバー諜報」「サイバー犯罪」という言葉が示す現代の戦場で、民間・公共双方がモダンな対応を迫られています。

CMMCとは

CMMCは、DoD契約者が扱う機密未分類情報（CUI）と連邦契約情報（FCI）を保護するため、技術的・手続き的な171の統制を5段階のレベルで定めています。レベル5に到達するには、すべての171統制を実装・評価する必要があります。連邦分野のサイバーセキュリティ専門家の多くは、CMMC統制の大半が見慣れたものだと感じるでしょう。実際、レベル3に到達するために必要な統制のほぼすべてはNIST SP 800-171に含まれています。間もなくCMMC認証を必要とする組織は、2016年以来NIST SP 800-171の統制遵守を義務付けられてきました。決定的な違いは、自己認証と行動計画・マイルストーン（POA&M）による不備是正が認められなくなった点です。認証を求める組織は、CMMC認定サードパーティ評価機関（C3PAO）またはCMMC認定機関（非営利）が認定する評価者による正式な評価を受けなければなりません。評価開始時期は未定ですが、最初のCMMC評価者グループへのトレーニングは最近開始されました。

今、何をすべきか

CMMC対応は、サイバーセキュリティの基本と継続的改善を実装し、より高いレジリエンスを達成する取り組みです。CMMCレベルは累積的・段階的で、レベル4に到達するにはレベル3への完全準拠が前提です。各レベルはセキュリティ実践の洗練度に対応し、基本的な衛生管理からレベル5の脅威ハンティングのような高度・プロアクティブな対策まで段階的に高まります。171統制の複雑さは増すばかり、どこから手をつければよいのでしょうか。

• 自分で学ぶ：CMMCが定める技術的統制とポリシーを理解する。
  • CMMCバージョン1
  • CMMCのFAQ
• 自社に適したレベルを決める：どの認証レベルを目指すか決定する。FCIのみを扱う組織はレベル1で十分かもしれませんが、CUIを扱う、より機密性の高い取り組みに関わる組織はレベル3以上を目指すでしょう。DoDは提案依頼書（RFP）で求めるCMMCレベルを明示します。
• 自社を知る：内部ネットワークからビジネスパートナーまで、自社環境を理解し文書化する。「知らないものは守れない」と言われる通り、セグメンテーション、システム、攻撃対象領域を把握しなければ防御は不可能です。
• 自己評価する：目指す認証レベルの統制に対して現状を照らし合わせ、未達成の統制を特定し、解決計画を立て、再評価する。将来の柔軟性のため、次のレベルに達するために何が必要かも見極めておきます。
• 全社的な合意形成（Buy-in）：鎖の強さは最も弱いリンクで決まります。CMMCは防衛セクターでのビジネスリスクを軽減するために設計されています。一部の統制は簡単または既に実施済みですが、他には組織のさまざまな部門からの支援（承認、予算増、経営トップのスポンサーシップ）が必要です。技術的に重い統制もあります。組織全体が現実的に賛同し、ミッションを支え守る役割を果たす必要があります。
• 柔軟性を持つ：CMMCは新しく、DoDとDIBという巨大組織をつなぐ架け橋です。未知の部分も多く、1ヶ月前の常識が変わることもあります。柔軟に、忍耐強く、そして「私たち全員が、大切なものを守るためにより良くならなければならない」と認識しましょう。

CMMCレベル1であれレベル5であれ、あるいはDoDと取引がなくても、CMMCが示す基準はあらゆる組織がサイバーセキュリティ姿勢を成熟させるためのロードマップです。出発点がどこであれ、CMMC準拠の達成は中小・大企業を問わず挑戦ですが、その結果は私たちが切実に必要とする改善です。データと知的財産を守ることは、敵対者に対する技術的優位を維持する上で論理的かつ絶対的な必要性です。サイバーセキュリティ基本の継続的な評価と改善こそ、現代の脅威に対抗できるデジタルレジリエンスを達成する上で最重要です。

Wayne Lloyd氏はRedSealの連邦担当最高技術責任者です。