はじめに

CMMCとNIST SP 800-171は、同じ文脈で語られるため混同されがちです。しかし、この二つは同じものではありません。

NIST SP 800-171は、CUIを保護するためのセキュリティ要求事項です。CMMCは、その要求が防衛契約企業の情報システムで実装されているかを評価し、契約上確認できる状態にする制度です。

この違いを理解しないまま対応を進めると、「NIST SP 800-171対応済み」と言いながら、CMMC評価では説明できない状態になります。

結論

NIST SP 800-171は何を満たすべきかを示す文書です。CMMCはその実装をどう評価し、契約上どう確認するかを定める制度です。

32 CFR Part 170では、CMMC Level 2の要求はNIST SP 800-171 Rev.2に基づくとされています。一方で、CMMCには評価範囲、資産分類、評価タイプ、SPRS、affirmation、POA&M、C3PAO評価、下請へのflowdownといった制度要素が加わります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, NIST SP 800-171 Rev. 2 – Protecting CUI in Nonfederal Systems and Organizations, DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements

したがって、「NIST SP 800-171をやっている」と「CMMCに対応できる」は同じではありません。

役割を分ける

関係を整理すると、次のようになります。

NIST SP 800-171は、CUIを保護するためのセキュリティ要求事項です。アクセス制御、監査ログ、構成管理、識別認証、インシデント対応、物理保護、システム通信保護など、CUI環境に必要な保護要求を定義します。

DFARS 252.204-7012は、Covered Defense Informationの保護やサイバーインシデント報告を契約上求める条項です。DFARS 252.204-7012では、covered contractor information systemに対してadequate securityを提供し、少なくともNIST SP 800-171のセキュリティ要求を実装することが求められます。また、サイバーインシデントのrapidly reportは72時間以内と定義されています。参考: DFARS 252.204-7012 – Safeguarding Covered Defense Information and Cyber Incident Reporting

CMMCは、NIST SP 800-171などの要求がどの程度実装されているかを評価する制度です。32 CFR Part 170は、CMMC Programが防衛契約企業のサイバーセキュリティ要求の実装を評価する一貫した方法論を提供すると説明しています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

DFARS 252.204-7021/7025は、CMMC statusや契約上の要求を調達実務に接続します。これにより、CMMCは単なるベストプラクティスではなく、契約 eligibility の一部になります。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements, DFARS 252.204-7025 – Notice of CMMC Level Requirements

なぜCMMCが必要になったのか

NIST SP 800-171は以前から存在していました。では、なぜCMMCが必要になったのでしょうか。

理由は、要求事項が存在するだけでは、実装状態を十分に確認できないからです。契約企業が「実装している」と言っても、どのシステムを対象にしているのか、どの証跡があるのか、どの要求が未達なのか、誰が継続的に責任を持つのかが曖昧であれば、サプライチェーン全体の保護状態は見えません。

CMMCは、この曖昧さを減らすために、評価範囲、評価方法、評価結果、affirmation、POA&M、下請へのflowdownを制度として整えます。

CMMCが追加するもの

NIST SP 800-171と比べて、CMMCが追加する実務上の要素は多くあります。

1. 評価範囲の明確化

CMMCでは、評価前にCMMC Assessment Scopeを定義する必要があります。Level 2では、CUI Asset、Security Protection Asset、Contractor Risk Managed Asset、Specialized Asset、Out-of-Scope Assetなどの資産分類が重要です。CUI AssetやSecurity Protection Assetは、資産台帳、SSP、ネットワーク図に文書化する必要があります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

NIST要求だけを読んでいると、要求事項の中身に目が行きます。しかしCMMCでは、「どの資産にその要求を適用するのか」が評価の出発点です。

2. 評価タイプの区別

CMMC Level 1は自己評価です。Level 2は契約条件により自己評価またはC3PAO評価になります。Level 3はDIBCAC評価が関係します。Level 2 C3PAO評価では、C3PAOが評価結果をCMMC instantiation of eMASSに提出し、SPRSへ連携される構造があります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

「CMMC対応」と言うだけでは不十分です。Level 2 Selfなのか、Level 2 C3PAOなのかで、準備の深さ、証跡、評価プロセスが変わります。

3. SPRSとaffirmation

CMMCでは、評価結果やaffirmationがSPRSに関係します。32 CFR Part 170は、Affirming Officialが評価後、POA&M closeout後、Final CMMC Status後、そして毎年、継続的準拠をSPRSで表明することを定めています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

これは単なる報告ではありません。組織の上位責任者が、実装状態の維持を表明する構造です。

4. POA&M制限

NIST対応では、未達項目をPOA&Mで管理することがあります。しかしCMMCでは、POA&Mは無制限に使える逃げ道ではありません。Level 1ではPOA&Mは認められません。Level 2でも、Conditional statusに関して、スコア、点数価値、含められない要求、180日以内のcloseoutなどの制限があります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

特に、SSP要求はPOA&Mに含められない項目として明記されています。SSPが未完成のまま評価に入ることは、CMMCの実務上大きなリスクです。

5. 下請へのflowdown

NIST SP 800-171は要求事項ですが、CMMCはサプライチェーン全体に契約上流れていきます。32 CFR Part 170は、CMMC要求がプライムと下請全階層に適用され、FCIのみを扱う下請にはLevel 1、CUIを扱う下請には少なくともLevel 2が必要になる構造を示しています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

DFARS 252.204-7021も、適切なCMMCレベルを下請契約にflow downし、下請が適切なcurrent CMMC certificateまたはstatusを持つことを確認する必要があるとしています。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements

「NIST対応済み」が不十分になる典型例

たとえば、ある企業がNIST SP 800-171のチェックシートを埋め、すべて「実装済み」としたとします。しかし、次の状態ならCMMC上は弱いです。

  • CUIデータフローが文書化されていない
  • SSPが実際の構成と一致していない
  • 資産台帳にSecurity Protection Assetが入っていない
  • MSPやCSPとの責任分界がSSPに反映されていない
  • ログはあるが、CUI環境の要求に対する証跡として説明できない
  • 日本本社が管理者権限を持つが、スコープ上の扱いがない
  • POA&Mに入れられない要求を未達のままにしている
  • Affirming Officialが実装状態を理解していない

このような場合、NIST要求を「読んだ」ことと、CMMCで「評価される」ことの間に大きなギャップがあります。

日本企業にとっての実務判断

日本企業は、NIST SP 800-171とCMMCを分けて対応すべきです。

まず、NIST SP 800-171を使ってCUI保護要求を理解します。どの要求が、どのシステム、どの運用、どの証跡に対応するのかを整理します。

次に、CMMCの観点で評価範囲を定義します。CUI Asset、Security Protection Asset、Contractor Risk Managed Asset、Specialized Asset、Out-of-Scope Assetを分類します。

そのうえで、契約条項を確認します。Level 2 Selfなのか、Level 2 C3PAOなのか、どの情報システムに対して、どのCMMC UIDが必要なのか、下請やMSPに何をflow downするのかを確認します。

最後に、組織としてaffirmationできる状態を作ります。これはCISOだけの問題ではありません。経営、契約、IT、セキュリティ、米国子会社、外部サービスが同じスコープを見ている必要があります。

よくある誤解

第一の誤解は、「NIST SP 800-171とCMMCは同じもの」というものです。NISTは要求事項、CMMCは評価・契約制度です。

第二の誤解は、「NIST自己評価スコアが高ければCMMCも問題ない」というものです。CMMCでは証跡、評価範囲、スコープ文書、外部サービス、affirmationが問われます。

第三の誤解は、「CMMCはC3PAO評価だけの問題」というものです。Phase 1ではLevel 1およびLevel 2自己評価が中心ですが、自己評価であってもSPRSとaffirmationが重要です。参考: DoD CIO – About CMMC, 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

第四の誤解は、「CMMCは米国側だけで済ませればよい」というものです。日本側がCUI環境の保護機能を担る場合、日本側の資産・権限・運用も設計上の論点になります。

本質

NIST SP 800-171は、CUIを守るための要求の中身です。CMMCは、その要求がどの範囲に、どの証跡で、どの評価方法で、どの責任者のもとで実装されているかを確認する制度です。

本質的には、CMMCはNIST要求を契約上検証可能な状態にする仕組みです。

まとめ

CMMCとNIST SP 800-171は密接に関係しますが、同じものではありません。NIST SP 800-171はCUI保護の要求事項であり、CMMCはその実装を評価・契約・継続的準拠表明に接続する制度です。

日本企業が対応する際は、NIST SP 800-171の要求理解と、CMMCのスコープ・評価・SPRS・affirmation・flowdownを別々に整理し、そのうえで一つの実装計画に統合する必要があります。

次の記事

次は「CMMC Level 1 と Level 2 の違い」です。要求数だけでなく、FCIとCUI、自己評価と第三者評価、スコープ設計の違いを整理します。

参考資料