管理対象非機密情報（CUI）および管理対象機微情報（CSI）を取り扱う組織――多くの高等教育研究機関を含みます――は、悪意のある攻撃者からの絶え間ない脅威にさらされています。 例えば、 2018年には、米国司法省（ ）が、9人のイラン人ハッカー（ ）を、300 以上の高等教育機関から31 テラバイト以上の情報を盗んだとして起訴しました。 Reports found the total value of intellectual property stolen amounted to more than $3 billion.
国防総省は、研究（およびCUI/CSIの取り扱い）を行うために政府からの助成金を受けている、 の大学附属研究センター（UARC）や連邦政府資金による研究開発センター（FFRDC） を含むこれらの機関に対し、連邦政府の請負業者と同様に、まもなく国防総省サイバーセキュリティ成熟度モデル認証（CMMC）の要件を満たす必要があると義務付けています。 新しいガイドラインは、 2020年の秋に施行される見込みです。
「管理された第三者評価機関（C3PAO）」と呼ばれる、訓練を受け、認定された第三者機関が、各請負業者または研究機関に対して監査を行い、一連のサイバーセキュリティ要件およびベストプラクティスへの準拠状況を検証した上で、当該組織のサイバーセキュリティ成熟度レベルを認定します。
CMMCによるサイバー成熟度の評価方法
のCMMCモデル（ ）は、サイバーセキュリティを5つのレベルに基づいて評価するものです。 各レベルには一連のプロセスと実践が含まれており、レベル1の「実施」からレベル 5の「最適化」まで多岐にわたります。 各組織は、当該取り組みが組織内に定着していることを示すだけでなく、指定されたレベルおよびそれ以前のすべてのレベルで求められるすべての取り組みが、継続的に実施されていることも示す必要があります。
監査プロセスでは、取り扱われる情報の種類や機密性、脅威、導入の複雑さなど、他にもさまざまな要素が考慮されます。
このモデルの名称とは裏腹に、これは単なる形式的なコンプライアンス対応ではありません。 このプロセスにより、サイバーセキュリティ対策と、情報の種類や機密性、および関連する脅威との整合性を高めることが可能となります。
高等教育におけるCMMCの課題
これまで、多くのFFDRCおよびUARCには一元的な管理体制がなく、各機関が自らのITシステムのセキュリティ、およびそれらのシステム内に保存されている国防総省（DoD）のCUI／CSIの実施、監視、認証について責任を負ってきました。
今日、CMMCのガイドラインに準拠するため、こうした機関の多くは、CMMCの基準を満たし、悪意のある攻撃者から機密情報を保護するために必要なITインフラを構築するため、中央のITチームや外部の企業に依頼する必要が生じるでしょう。
多くの組織では、必要な の基本的なサイバー衛生管理プロセスが欠けており、また、その大半はネットワーク全体を十分に把握できていません。ご存知の通り、見えないものは制御できないのです。 チームには、ネットワーク上のすべての資産について、完全かつ継続的な可視性が求められています（モノのインターネット（IoT）や個人所有端末の持ち込み（BYOD）が普及する現代において、これはますます達成が困難な目標となっています）。
残念ながら、高等教育機関は、善意からとはいえ、最後の障害を作り出してしまいました。 個々のサイバーセキュリティ上の脆弱性に対処する取り組みを進める中で、多くの企業は、相互に連携せず、管理やパッチ適用が困難であり、IT経営陣に脅威の全体像を把握させることができない、複雑な点在型ソリューションの寄せ集めを導入してきました。 複雑さとは、リスクとコストの合計に等しいのです。 各機関が個別の問題を解決するために、新しい、あるいは異なる単体ソリューションを導入し続けるならば、複雑さ、コスト、リスクが増大することになります。 また、リスクを管理し、CMMCの要件を満たすために必要な可視性を確保することもできません。
TaniumがCMMCコンプライアンスにどのように役立つか
高等教育機関には、CMMCの要件に沿って、ネットワークのセキュリティ状況をほぼリアルタイムで追跡・報告する能力が求められます。 Taniumは、リスクや脆弱性を単に特定するだけでなく、環境全体にわたってそれらを統合し、優先順位付けを行い、ほぼリアルタイムで対応や是正措置を講じることができるよう支援します。
Taniumは、一度に数百万台のエンドポイントを含む環境に対して、ほぼ瞬時にクエリを実行し、ほぼリアルタイムのレポートダッシュボードを作成します。 これにより、スピードと可視性が向上するため、問題を迅速に解決し、変更を素早く行い、リスクを低減することができます。 また、Taniumは、確立されたベンチマークに対するコンプライアンス状況を継続的に監視することも可能にし、同様にリスクを低減します。
CMMCへの準拠は、CISOたちが夜も眠れないほど頭を悩ませている多くの課題の一つです。 研究型大学の場合、CMMCの要件を満たせない場合、国防総省（DoD）からの助成金が失われる恐れがあります。 しかし、Taniumの エンドポイント管理ソリューション（）があれば、CISOの皆様は心配事が一つ減ります。 これらのソリューションは、複雑さの軽減、効率性の向上、運用チームとセキュリティチーム間の連携強化に寄与するとともに、CISOの方々に、自社の環境を把握し、将来のCMMC監査に備えるための単一のプラットフォームを提供します。
Tanium is not a C3PAO assessor – but we provide customers with high-fidelity insight into the cyber hygiene required for CMMC compliance. 評価対象分野の例をいくつか挙げると、次のようなものがあります：
資産の特定と報告
Taniumは、堅牢な資産検出およびレポート機能を提供します。 IoTやBYODの普及に伴い、ネットワーク上に（多くの）未知のデバイスが存在するリスクがあります。 組織の環境で当社の検出および資産管理ツールを実行すると、多くの場合、さらに 12 ～20 パーセントの未知のデバイスが特定されます。
包括的な脅威監視
Taniumの統合エンドポイント管理およびセキュリティソリューションは、単一のプラットフォームを通じて詳細なインシデント分析を伴う包括的な脅威監視を提供し、脅威の特定、隔離、軽減を支援するとともに、脅威が是正されたことを確認します。
重要な点として、Taniumが教育機関の環境に対してほぼ瞬時にクエリを実行し、一度に数百万台のエンドポイントを評価・分析して、その情報をコンプライアンス報告ダッシュボードに取り込むことで、同大学は、高価値な知的財産やCUI/CSIの漏洩を防ぐための最善の機会を得ることができます。
可視性、管理、コンプライアンス：CMMCへの備え
監査のプロセスは現在も策定中ですが、CUIやCSIにつながる研究を行っていることで広く知られている著名な研究機関において、 C3PAO 名の監査人が評価を開始する見込みです。
貴機関のCMMC監査への準備状況を評価するにあたっては、まず以下の質問について検討してみてください：
- ネットワークには何台のコンピュータがありますか？ ところで、彼らはそこにいる許可を得ているのでしょうか？
- どのようなアプリケーションがインストールされていますか？ それらはすべて最新の状態になっていますか？
- ユーザーはどのようなことをしているのでしょうか？ それに、それは許可されているのでしょうか？
- パッチの適用状況、脆弱性、リスクの現状について、どの程度安心されていますか？
- 最近、防ぐことができたはずのセキュリティ侵害やシステム障害が発生しましたか？
CMMC認証は、高等教育研究機関が画期的な研究を継続していく上で極めて重要です。 機密性の高い研究データを保護し、サイバーリスクを特定・防止・軽減するためには、健全な中央ITインフラが不可欠です。
Taniumが高等教育機関とどのように連携しているかについて、詳しくは以下のURLをご覧ください。 https://www.tanium.com/solutions/higher-education/。
