はじめに

CMMC対応を検討するとき、最初に出てくる問いの一つが「当社はLevel 1でよいのか、それともLevel 2が必要なのか」です。

この問いを、会社規模やセキュリティ成熟度だけで判断してはいけません。CMMC Level 1とLevel 2の違いは、単なる難易度や要求数の違いではありません。最も重要な違いは、扱う情報です。

結論

CMMC Level 1は主にFCIを対象とする基本的な保護です。CMMC Level 2はCUIを対象とするNIST SP 800-171 Rev.2ベースの保護です。32 CFR Part 170では、Level 1はFAR 52.204-21、Level 2はNIST SP 800-171 Rev.2に基づくとされています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, FAR 52.204-21 – Basic Safeguarding of Covered Contractor Information Systems, NIST SP 800-171 Rev. 2 – Protecting CUI in Nonfederal Systems and Organizations

したがって、Level 1かLevel 2かを決める第一の判断軸は、FCIだけを扱うのか、CUIを扱うのかです。

Level 1とは何か

Level 1は、FCIを保護するための基本的なセキュリティ要求です。

FCIとは、政府契約のもとで提供または生成される、公開を意図していない情報です。FAR 52.204-21では、FCIを、政府のために製品やサービスを開発・提供する契約において、政府から提供される、または政府のために生成される非公開情報と定義しています。参考: FAR 52.204-21 – Basic Safeguarding of Covered Contractor Information Systems

Level 1の要求は、アクセス制限、外部接続の制御、公開システムへの情報掲載の制御、ユーザー識別認証、媒体のサニタイズ、物理アクセス制御、境界保護、悪意あるコード対策、脆弱性修正など、基本的な保護に焦点を当てます。

ただし、基本的だからといって軽く見てよいわけではありません。32 CFR Part 170では、Level 1自己評価でFinal Level 1を得るには全てのLevel 1要求がMETである必要があり、POA&Mは認められません。さらに、Level 1は年次自己評価とSPRSへの提出、affirmationが必要です。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

Level 2とは何か

Level 2は、CUIを扱う情報システムを対象とする保護レベルです。

CUIは、classifiedではないが、法律、規則、政府全体方針により保護または配布制限が求められる情報です。CUIを処理・保存・送信する場合、Level 1よりもはるかに広い要求が適用されます。参考: 32 CFR Part 2002 – Controlled Unclassified Information, NARA – About Controlled Unclassified Information (CUI)

CMMC Level 2の要求は、CMMC規則上、NIST SP 800-171 Rev.2に基づきます。Level 2では、SSP、CUIデータフロー、資産分類、アクセス制御、監査ログ、構成管理、MFA、暗号化、インシデント対応、外部サービス、証跡管理が中心になります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, NIST SP 800-171 Rev. 2 – Protecting CUI in Nonfederal Systems and Organizations

Level 2には、自己評価とC3PAO評価があります。どちらが求められるかは、契約条件によります。32 CFR Part 170では、Level 2自己評価は3年ごとに実施し、SPRSへ結果を提出する必要があるとされています。Level 2 C3PAO評価では、authorizedまたはaccredited C3PAOによる評価が必要で、評価結果はeMASS経由でSPRSに連携されます。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

情報で判断する

Level 1かLevel 2かを判断するとき、次のような発想は危険です。

  • 小さい会社だからLevel 1
  • 大企業だからLevel 2
  • まずLevel 1を取ってからLevel 2へ進む
  • 技術情報を扱っているが、CUIマークがないからLevel 1
  • 米国子会社だけが契約しているから日本本社は対象外

正しい出発点は、扱う情報です。

32 CFR Part 170は、下請がFCIのみを処理・保存・送信する場合はLevel 1、CUIを処理・保存・送信する場合は少なくともLevel 2が必要になる構造を示しています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

したがって、自社がCUIを扱っている場合、Level 1を「入口」として考えるのではなく、最初からLevel 2の可能性を前提に整理する必要があります。

スコープの違い

Level 1では、FCIを処理・保存・送信する情報システムが中心になります。CMMC Level 1のスコープでは、FCIを扱うシステム、関係する人、技術、施設、ESPを考慮します。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

Level 2では、スコープ設計がより複雑になります。32 CFR Part 170は、Level 2の資産カテゴリとして、CUI Asset、Security Protection Asset、Contractor Risk Managed Asset、Specialized Asset、Out-of-Scope Assetなどを定めています。CUI Assetは全Level 2要求に対して評価され、Security Protection Assetは提供する保護機能に関連するLevel 2要求に対して評価されます。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

ここで重要なのは、Level 2ではCUIを直接保存しているサーバーだけを見ても不十分だということです。ID基盤、EDR、SIEM、ログ基盤、管理端末、脆弱性管理、バックアップ、MFA、ネットワーク機器など、CUI環境を守る資産もスコープ上の論点になります。

評価と証跡の違い

Level 1では、自己評価が中心です。ただし、自己評価であっても、全要求を満たし、SPRSに提出し、affirmationする必要があります。証跡も、単なるメモではなく、評価結果を説明できる状態で残す必要があります。

Level 2では、自己評価であってもC3PAO評価であっても、証跡の質が重要です。C3PAO評価では、文書、設定、ログ、インタビュー、実演、運用記録を通じて、要求が実装されているかを確認します。32 CFR Part 170は、Level 2 C3PAO評価で使用する証跡について、ハッシュ化されたartifactを6年間保持することを求めています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

つまり、Level 2は「ポリシーがあります」だけでは足りません。実装され、運用され、証跡で説明できる必要があります。

日本企業にとっての判断フロー

日本企業がLevel 1かLevel 2かを判断する場合、次の順番で確認するのが現実的です。

まず、契約にCMMCレベルが指定されているかを確認します。DFARS 252.204-7025では、solicitationに必要なCMMCレベルを記載する構造があります。参考: DFARS 252.204-7025 – Notice of CMMC Level Requirements

次に、扱う情報を確認します。FCIのみか、CUIを含むかを確認します。CUIかどうかは、マーキングだけでなく、契約、配布制限、CUI Registry、DFARS条項、政府顧客からの指示を見ます。

次に、システムを確認します。その情報を処理・保存・送信するシステム、端末、クラウド、メール、ファイル共有、開発環境、PLM、CAD、バックアップを洗い出します。

最後に、保護機能を確認します。CUIを直接扱わないが、CUI環境を守るID基盤、ログ、EDR、SIEM、MFA、管理者端末、MSP、SOCを整理します。

この流れで判断しなければ、Level 1/Level 2の議論は単なる推測になります。

建設・施設工事案件でLevel 2が問題になる理由

日本企業、特に建設業界・設備業界・設計業界にとって注意すべきなのは、CMMCがソフトウェア企業や防衛製造業だけの制度ではないことです。

在日米軍基地や米軍施設に関する工事・設計・保守案件では、発注・入札・RFI・設計図・施工図・材料承認・工程表・変更指示・検査記録・完成図・BIM/CAD・写真管理など、非常に多くの情報がやり取りされます。これらが単なる一般情報であればCMMC上の重い論点にはなりません。しかし、DoD契約に基づく非公開情報であればFCIになり得ます。さらに、施設の配置、設備、通信、電気、燃料、警備、防災、脆弱性、運用上の制限などに関わる情報がCUIとして指定される場合、Level 2が現実的な論点になります。

USACE Japan Districtは、2025年11月10日以降に発行されるすべての入札公告についてBasic、つまりLevel 1以上の認証を要求する予定であると案内しています。これは、在日米軍施設に関わる日本国内の工事・サービス案件にも、少なくともCMMCを契約上確認する流れが入り得ることを示しています。参考: USACE Japan District – Doing Business with the Japan District

ただし、ここで誤解してはいけないのは、「建設案件だからLevel 2」ではないという点です。Level 2になるかどうかは、CUIを処理・保存・送信するかどうかで決まります。32 CFR 170.23は、下請がFCIのみを処理・保存・送信する場合はLevel 1、CUIを処理・保存・送信する場合は少なくともLevel 2が必要となる構造を示しています。参考: 32 CFR 170.23 – Application to subcontractors

したがって、建設会社が確認すべきことは「自社は建設業だから関係ないか」ではありません。確認すべきなのは、案件で受領・作成・共有する情報の中にFCIまたはCUIが含まれるか、含まれる場合にどの情報システムで処理・保存・送信しているかです。

具体的には、次のようなシステムが対象候補になります。

  • 入札・見積・契約関連ファイルを保存するファイルサーバー
  • 施工図、完成図、BIM/CADデータを扱う端末とクラウド
  • RFI、変更指示、承認図、検査記録をやり取りするメールやポータル
  • 現場写真や品質記録を保存するモバイル端末、写真管理サービス
  • 外部協力会社やJVと共有するファイル転送・クラウドストレージ
  • これらを保護するID、MFA、ログ、バックアップ、EDR、管理者端末

建設業界では、サイバーセキュリティよりも現場管理、品質、安全、工程、原価が優先されがちです。しかし、CMMCの観点では、現場の情報流通そのものが評価対象になります。紙の図面、メール添付、USB、個人クラウド、協力会社との共有リンクが残っている場合、CUI Boundaryを説明できなくなる可能性があります。

なお、在日米軍基地案件では、CMMCレベルの判断と並行して、CAGE / NCAGE、SAM.gov、SPRSの確認が必要になることがあります。ただし、CAGE / NCAGEを持っていることと、Level 1またはLevel 2を満たしていることは別です。CAGE / NCAGEは調達上の企業・施設識別であり、Level判定はFCI/CUIと情報システムの範囲で判断します。

よくある誤解

第一の誤解は、「Level 1は初心者用、Level 2は上級者用」というものです。違いは成熟度ではなく、主に扱う情報です。

第二の誤解は、「Level 1を取ればLevel 2の準備になる」というものです。もちろん基礎対策として役立つ部分はありますが、CUI Boundary、SSP、NIST SP 800-171、証跡、外部サービスの責任分界はLevel 2で別途必要になります。

第三の誤解は、「Level 2自己評価なら軽い」というものです。自己評価であってもSPRSとaffirmationがあり、契約上の表明を伴います。虚偽や過大な自己評価は、契約リスクにもなり得ます。

第四の誤解は、「CUIをクラウドに置かなければLevel 2は避けられる」というものです。CUIが端末、メール、紙、バックアップ、ログ、開発環境、試験データに存在する場合も検討が必要です。

本質

Level 1とLevel 2の違いは、要求数の違いではありません。FCIとCUIという保護対象の違いです。

CMMC対応では、レベルを先に選ぶのではなく、情報とシステムを先に特定する必要があります。

まとめ

CMMC Level 1はFCIを対象とする基本的保護、Level 2はCUIを対象とするNIST SP 800-171 Rev.2ベースの保護です。Level 1はPOA&M不可で年次自己評価、Level 2は自己評価またはC3PAO評価があり、CUI Boundary、SSP、資産分類、証跡、外部サービスの責任分界が重要になります。

日本企業は、会社規模や希望でLevelを選ぶのではなく、契約、FCI/CUI、データフロー、システム境界から必要レベルを判断すべきです。

次の記事

次は「DFARSとは何か」です。CMMCやNIST SP 800-171が、どのように契約上の義務として企業に流れてくるのかを整理します。

参考資料