10 articles
Basics
CMMC、CUI、NIST SP 800-171、DFARS、SSP、POA&Mの基礎を整理します。
CMMCとは何か（2026年版）
CMMCを「米国のサイバーセキュリティ認証」とだけ理解すると、実務ではほぼ必ず迷います。なぜなら、CMMCの中心にあるのは、証明書そのものではなく、防衛契約に関係する情報を、どの組織が、どのシステムで、どの責任のもとで保護しているのかを検証可能にすることだからです。
約4,871字
日本企業がCMMC対応を求められる理由
CMMCを初めて聞いた日本企業の反応は、多くの場合こうです。
約6,037字
CUIとは何か
CMMCを理解するうえで、CUIは最も重要な概念の一つです。同時に、最も誤解されやすい概念でもあります。
約4,181字
NIST SP 800-171とは何か
NIST SP 800-171は、CMMC Level 2を理解するための中心文書です。ただし、NIST SP 800-171を「セキュリティ管理策の一覧」とだけ見ると、実務上の意味を見誤ります。
約5,110字
CMMCとNIST SP 800-171の関係
CMMCとNIST SP 800-171は、同じ文脈で語られるため混同されがちです。しかし、この二つは同じものではありません。
約5,910字
CMMC Level 1 と Level 2 の違い
CMMC対応を検討するとき、最初に出てくる問いの一つが「当社はLevel 1でよいのか、それともLevel 2が必要なのか」です。
約6,705字
DFARSとは何か
CMMCを理解するには、DFARSを避けて通れません。なぜなら、CMMCやNIST SP 800-171は、技術文書としてだけ存在しているわけではないからです。防衛調達の実務では、それらは契約条項を通じて企業に要求されます。
約4,638字
C3PAOとは何か
CMMC Level 2では、契約条件によってC3PAOによる第三者評価が必要になる場合があります。C3PAOはCMMC対応の中で非常に重要な存在ですが、しばしば「CMMCを教えてくれるコンサルタント」と誤解されます。
約4,304字
SSPとは何か
SSPは、CMMC対応で最も重要な文書の一つです。しかし、多くの企業はSSPを「監査用に作る文書」または「テンプレートを埋める作業」として扱います。
約4,038字
POA&Mとは何か
POA&Mは、CMMC対応で頻繁に出てくる言葉です。読み方は「ポーエム」とされることが多く、Plan of Action and Milestonesの略です。
約4,665字