CMMC 2.0 コンプライアンス：DoD請負業者が知っておくべきこと

【更新情報】当初 2021年5月26日に掲載されたこの記事は、CMMC 2.0 のコンプライアンスに関する最新の動向を反映させるため、更新されました。 今回、監査対応に関する最新ガイダンス、更新された統制マッピング、およびTaniumが防衛産業基盤全体において継続的なコンプライアンスと運用成熟度をどのように支援するかに関する新たな知見が盛り込まれています。

CMMC 2.0 は、すべての請負業者が満たさなければならない厳格なサイバーセキュリティ要件を導入することにより、国防総省（DoD）が防衛産業基盤（DIB）全体において、請負業者に対し管理対象非機密情報（CUI）および連邦契約情報（FCI）のセキュリティ確保を義務付ける方法に変革をもたらしています。

CMMC 1.0を基盤として、更新されたCMMC 2.0 モデルは、堅牢で拡張性があり、かつ実施可能なサイバーセキュリティ基準を確立することにより、国家安全保障を守るという米国防総省（DoD）の目標をさらに強化するものです。 この要件では、請負業者に対し、段階的かつ測定可能で、監査に基づく枠組みを通じてサイバーセキュリティの成熟度を実証することを求めており、これにより説明責任の確保と、進化する脅威やコンプライアンス要件への対応が図られます。

しかし、CMMC 2.0 の準備期間はもうすぐ終わります。 現在、 のサプライヤー・パフォーマンス・リスク・スコアリング・システム（SPRS） （新しいタブで開きます）において評価が開始されており、今年中にCMMCが の国防連邦調達規則補足（DFARS） （新しいタブで開きます） に正式に組み込まれると、コンプライアンスが契約上の要件となることが見込まれています。 請負業者は、計画段階から実行段階へと移行しなければなりません。

しかし、規制の執行が強化される中でも、多くの組織は依然として対応に追われている状況です。
国防総省（DoD）の請負業者である皆様にとって、CMMC 2.0 は単なる頭字語ではなく、まさに新たな現実なのです。 この改訂版「 」サイバーセキュリティ・フレームワーク（ ）は、防衛産業基盤における機密データの保護方法を一新するものであり、もはや任意の取り組みではなくなっています。

Whether you're beginning your compliance journey or preparing for a third-party assessment, this comprehensive guide will walk you through everything you need to know about CMMC 2.0—including how Tanium simplifies and helps accelerate your path to compliance.

CMMC 2.0 とは何か、そしてなぜ重要なのか

CMMC 2.0 では、従来の5段階モデルに代わり、サイバーセキュリティの成熟度を3つの明確なレベルで区分する、近代化された構造が導入されています。 各レベルは、取り扱われるデータの機密性に応じて設定されており、それに対応するセキュリティ要件をより詳細に規定しています。

このモデルでは、測定可能な進捗と正式な検証を重視しており、請負業者に対し、必要な認証レベルに応じて、自己評価、第三者による評価、あるいは政府主導の監査を通じて、コンプライアンスを証明することを求めています。

実際には、これは、CMMCレベル 2 には米国国立標準技術研究所（NIST）のSP 800-171に規定されている 110 の対策がすべて盛り込まれているのに対し、レベル3 にはSP 800-172の一部が含まれていることを意味します。 これらのレベルは、アクセス制御、構成管理、意識向上研修など、明確に定義された領域を通じてサイバーセキュリティの実践を強化するものであり、それぞれが、強靭なセキュリティ文化を構築し、サプライチェーン全体にわたる説明責任を確保するよう設計されています。

これまで、 のサプライチェーン・サイバーセキュリティ は、信頼に基づくモデルや、スプレッドシートや二択式のアンケートといった時代遅れのツールに大きく依存してきました。その結果、重要な可視性や説明責任の面で大きなギャップが生じていました。

CMMCプログラムは、防衛産業基盤全体において、標準化され、測定可能なサイバーセキュリティ対策を実施させることで、こうした課題に対処しています。 その目的は、コンプライアンスの遵守を確保するだけでなく、積極的かつ強靭なセキュリティ文化を浸透させることにあります。 CMMC 2.0 は、請負業者に対し、監査や継続的な改善を通じて成熟度を実証することを求めることで、一貫性があり、確実に実施可能な安全対策を推進し、サプライチェーン全体のリスク低減に寄与します。

CMMCのコンプライアンス対応は難しい場合もありますが、必ずしもそうである必要はありません。 この短い動画では、CMMCとは何か、そしてなぜDIB内の組織にとって重要なのかについて、わかりやすく簡潔に解説いたします。 この動画では、自信を持って前進できるよう、わかりやすく実践的な要点をまとめています。

CMMC 2.0 は、防衛分野におけるセキュリティ基準の進化を体現するものであり、研修、枠組み、評価を整合させることで、規模の大小を問わずすべての請負業者が、強靭かつ説明責任のあるサイバー防衛を通じて国家安全保障を守るという国防総省（DoD）の目標を達成できるよう確保するものです。

CMMCの 2.0 レベルを理解する：基礎からエキスパートまで

CMMC 2.0 では、従来の5段階モデルを3つの段階的なレベルに簡素化しており、各レベルは特定の連邦基準および評価要件に準拠しています。

しかし、すべての組織が同じ基準を満たす必要はありません。 そこで、段階的なモデルが役立ちます：

各レベルは前のレベルを基盤として構築されており、サイバー脅威を検知し、対応し、復旧する組織の能力を向上させます。

CMMC 2.0の主な目標

では、CMMC 2.0 は具体的にどのような目的を掲げているのでしょうか？

その本質は、防衛サプライチェーン全体におけるサイバーセキュリティの水準を引き上げることにあります。 その目的は以下の通りです：

• 機密情報（CUI/FCI）を保護してください
• 既存のサイバーセキュリティ基準（例：NIST SP 800-171）に準拠する
• 実績があり、拡張性のあるモデルを構築する
• 評価を通じて説明責任を徹底する
• 導入の成熟度と透明性を高める

CMMCへの準拠が必要なのはどのような組織ですか？

国防総省（DoD）の契約の一環としてFCIまたはCUIを取り扱うあらゆる組織（商業、学術、その他を問わず）は、元請業者および下請業者を含め、CMMC 2.0の適切なレベルを達成しなければなりません。

CMMC 2.0 準拠の要件

コンプライアンスの遵守を目指す組織は、以下の事項を実証しなければなりません：

• 資産のリアルタイム検出と棚卸し
• 脆弱性とパッチ管理
• 本人確認とアクセス制御
• システムの整合性の確保
• 安全な基本設定
• 継続的な監視とインシデント対応

...これらすべてについて、文書化され、監査可能であり、継続的に維持されなければなりません。

これらの運用要件は、CMMC 2.0 フレームワークに直接対応しています。このフレームワークは、14 のドメイン（バージョン1.0の 17 から減少）と、NIST SP 800-171に準拠した 110 の実践項目を基盤として構築されています。 アクセス制御から意識向上研修に至るまで、各分野には、強靭なサイバーセキュリティ文化を構築するために策定された具体的な要件が含まれています。

要件の変化や脅威の進化、そして監査前に万全を期さなければならないというプレッシャーなどにより、多くの組織が計画から実行へと移行することに苦労しています。 そこで、このプロセスを実用的な6つのステップからなるチェックリストにまとめました。これにより、皆様がスムーズに始め、集中力を維持し、自信を持って前進できるようお手伝いします。

実用的な6ステップのCMMC 2.0 コンプライアンス・チェックリスト

コンプライアンスへの取り組みがどの段階にあっても――まだ始めたばかりであっても、第三者評価の準備を進めている場合でも――この簡潔で実践的なチェックリストは、組織がCMMC 2.0 の要件を満たす準備を整えるための指針となります：

1. 自分のレベルを把握しましょう

1. 自分の現状を把握しましょう

簡単な準備状況の確認 次の点を自問してみてください：✓ ネットワーク
には何台のコンピュータがありますか？また、それらはネットワークへの接続が許可されていますか？ ✓ どのようなアプリケーションがインストールされていますか？また、それらはすべて最新の状態ですか？ ✓ ユーザーはどのような操作を行っているのでしょうか。また、それは許可されたものなのでしょうか？ ✓ パッチ、脆弱性、
、およびリスク状況について、どの程度安心しておられますか？
これらの質問は、見落としを早期に発見し、
における是正措置の優先順位を決定する指針となります。 もし自信を持って答えられないのであれば、
監査人も答えられないでしょう。

1. 周囲の状況を把握しましょう

1. リスクを評価し、優先順位を付ける

1. 監視と対応の運用化

1. 文書化および検証

自己評価と第三者評価のいずれにおいても、明確で体系的な証拠が不可欠です。 これは、御社のサイバーセキュリティ対策が場当たり的なものではなく、一貫性があり、再現性が高く、長期的に持続可能なものであることを示しています。 そのような業務上の成熟度こそが、監査人が重視する点であり、強靭な組織を他と一線を画す要素なのです。

そして、そこが肝心な点なのです。 成熟とは、単に試験に合格することだけではなく、それを維持できることを証明することなのです。 だからこそ、監査への備えは一度きりの作業ではないのです。 それは考え方です。

CMMCのプロセス成熟度：特定の時点における認証の枠を超えて

コンプライアンスは、もはや単発の監査に合格することだけではありません。 その代わりに、サイバーセキュリティプロセスの継続的な成熟度、すなわち、それらのプロセスがどの程度適切に文書化され、組織に定着し、時間の経過とともに継続的に改善されているかを重視しています。

しかし、請負業者は、相互に連携せず、管理が難しく、ネットワーク内のサイバー脅威を可視化できない、複雑な点在型ソリューションの寄せ集めでサイバーセキュリティの脆弱性に対処することがよくあります。

請負業者が、個々の脆弱性を是正するために統合プラットフォームではなく、こうした単体の製品を使い続ける場合、コスト、複雑さ、リスクが同時に増大することになり、大幅な変更を行わなければ、CMMCの要件を完全に満たすことができなくなる可能性があります。

[関連記事：コンプライアンスとリスク管理――定義と違い]

CMMCは、単に監査に合格することだけではなく、サイバーセキュリティのベストプラクティスを組織に定着させることなのです。

Taniumは、以下の取り組みを通じて、この変革を推進しています：

• ITの健全性とコンプライアンスに関するワークフローを一元的に把握できるビュー
• 定量的に測定可能な構成および脆弱性のベンチマーク
• 自動化され、監査対応が可能なコンプライアンス報告
• MicrosoftやServiceNowなどのツールとの連携

プロセスを継続的に改善することで、組織は成熟度レベルを「実行段階」から「最適化段階」へと向上させることができ、単にコンプライアンスを遵守しているだけでなく、回復力があり、先を見据えた取り組みを行っていることを示すことができます。

Taniumが、組織のCMMC 2.0 準拠の実現をどのように支援するか

Taniumは C3PAO 評価機関ではありませんが、CMMCに準拠したITインフラを構築するために必要なサイバー衛生管理について、お客様に精緻な知見をご提供しております。 Taniumを利用することで、請負業者はエンドポイント管理とセキュリティを統合した単一のプラットフォームを活用でき、エンドポイントからのデータ収集を支援します。

当社のプラットフォームでは、詳細なインシデント分析を伴う広範な脅威監視機能を提供しており、これにより、請負業者は脅威をリアルタイムで特定、隔離、および軽減することが可能となります。 これにより、ハイブリッド環境の管理が簡素化され、請負業者の周囲の状況に対する理解が深まり、国防総省（DoD）関係者がサイバーリスクに対するより強靭なレジリエンスを確立するという最終目標を達成できるようになります。

資産の検出から監査対応可能なレポート作成に至るまで、Taniumは、説得力があり、データに基づいたコンプライアンス体制を構築するお手伝いをいたします。

技術力

Tanium Autonomous Endpoint Management（AEM）は、以下の機能を提供することで、CMMC 2.0 の多数のコンプライアンス要件に対応しています：

• リアルタイムの可視性： の継続的なエンドポイント監視により、IT環境の状況をリアルタイムで把握でき、CMMC 2.0に準拠した強力な資産管理とセキュリティ対策を実現します。
• 予防的なセキュリティ衛生管理： エンドポイントのセキュリティ態勢を継続的に評価・強化することで、組織は強固なサイバーセキュリティ衛生管理を維持することができます。これは、CMMC 2.0 の基礎要件を満たす上で不可欠な要素です。
• エンドポイント管理の自動化： システムのセキュリティとコンプライアンスを維持するためのパッチ適用および設定タスクの自動化であり、CMMC 2.0 の構成管理および保守に関する要件を直接サポートします。
• インテリジェントなインシデント対応： の迅速な検知・緩和ツールにより、脅威を迅速に解決し、インシデント対応およびリスク管理に関するCMMC 2.0 の要件を満たします。
• 継続的なコンプライアンス報告： 説明責任の要件を満たし、CMMC評価の準備を効率化する、監査対応済みのレポートや監査証跡を自動的に生成します。

制御範囲

*製品の対応範囲の割合は、Taniumの製品ラインナップに関連する現在の製品機能に基づいており、製品ラインナップの変更に伴い、変更される場合があります。

レベル 3 のコントロールに対応しています

戦略的なメリット

技術的な対策に加え、Taniumは、以下の機能を通じて、組織がCMMCへの対応準備を加速し、コンプライアンスへの取り組みを拡大できるよう支援します：

• SPRSの最適化： コンプライアンス状況を継続的に監視し、不備を特定し、所定の期間内に「行動計画およびマイルストーン（POA&M）」の項目を解決します。
• サプライチェーンのコンプライアンス遵守の徹底： 下請け業者のコンプライアンス状況を監視し、重要な波及要件が確実に満たされるようにします。
• 評価対応体制の整備： C3PAO および国防産業基盤サイバーセキュリティ評価センター（DIBCAC）の評価を効率化するために必要な証拠を提供し、組織が常に認証取得の準備を整えられるよう支援します。

Taniumは、主要な能力ガイドラインへの準拠、継続的な報告機能の提供、およびモデルの成熟度段階に応じた測定可能な進捗の支援を通じて、請負業者が自信を持ってCMMCコンプライアンスへの取り組みを推進できるよう支援します。

CMMCに関するよくある質問

CMMCについて、まだよく理解できていないでしょうか？ ご安心ください。 これらの簡潔な回答では、最もよくある質問を分かりやすく解説しており、作業のペースを落とすことなく、すぐに内容を把握するのに最適です。

CMMC認証の費用はいくらですか？

費用は、レベル、組織の規模、および既存の統制体制によって異なり、範囲、レベル、準備状況に応じて3,000 ドルから100,000 ドル以上となります。

CMMCの認証プロセスにはどのくらいの時間がかかりますか？

準備状況に応じて、 3 ヶ月から12 ヶ月の間となります。

CMMC認証を取得しなければならないのは誰ですか？

国防総省（DoD）のサプライチェーンにおいて、CUIまたはFCIを取り扱うすべての元請業者および下請業者。

CMMC 2.0、NIST、FedRAMP の違いは何でしょうか？

CMMC 2.0 と、その他の主要な連邦サイバーセキュリティフレームワークとの比較は以下の通りです：

CMMC 2.0 は、NIST SP 800-171を直接基盤としており、その 110 の統制をレベル2 に組み込み、さらにNIST SP 800-172 の一部をレベル3として追加しています。 貴組織がすでにNIST規格に準拠している場合、正しい方向に進んでいると言えますが、CMMCでは、自己宣言の範囲を超える成熟度モデルや正式な評価要件が追加されています。

FedRAMPについては、連邦政府機関向けのクラウドサービスプロバイダーのセキュリティに重点を置いていますが、管理要件には一部重複する部分があります。 CMMCとFedRAMPの間の相互承認の可能性をめぐる議論は行われてきましたが、 2025年現在、正式な合意は成立していません。 両方の枠組みに対応している組織は、共通の文書を活用することでメリットが得られる可能性があり、国防総省（DoD）およびFedRAMPプログラム事務局からの最新情報を注視する必要があります。

CUIにはどのレベルの資格が必要ですか？

CMMCレベル 2 （上級）への準拠が求められます。

その他の参考資料

• コンプライアンス管理とは何でしょうか？
• 重要なコンプライアンス指標の追跡方法
• PCI DSS 準拠チェックリスト

CMMC 2.0 は単なる規制ではなく、進化し続ける規制策定やコンプライアンスへの期待に後押しされた、国家安全保障と業務の卓越性を追求するための必須要件です。 Taniumは、初期評価から継続的な改善に至るまで、あらゆる段階において皆様をサポートいたします。

Taniumは、防衛関連企業および下請け企業が、自信を持ってCMMC 2.0 の要件を満たし、さらにはそれを上回る成果を上げられるよう支援します。 Taniumは、リアルタイムの可視化、自動化されたエンドポイント管理、および予防的なリスク軽減を組み合わせることで、機密データの保護、ITリスクの低減、そして長期的な運用レジリエンスの維持を支援します。

Taniumがお客様のCMMC導入プロセスをどのように支援できるかをご確認いただくため、 までご連絡いただき、個別デモをご依頼ください。