はじめに

CMMC Level 2では、契約条件によってC3PAOによる第三者評価が必要になる場合があります。C3PAOはCMMC対応の中で非常に重要な存在ですが、しばしば「CMMCを教えてくれるコンサルタント」と誤解されます。

C3PAOは、実装を代行する立場ではありません。評価する立場です。

結論

C3PAOとは、CMMC Level 2の第三者評価を実施するために、CMMCエコシステム上で認定・承認された評価機関です。Cyber ABは、C3PAOをCMMC assessmentsを契約・管理するためにThe Cyber ABからauthorizedされる組織と説明しています。32 CFR Part 170でも、C3PAOはLevel 2 certification assessmentsを実施するためにAccreditation Bodyからauthorizedまたはaccreditedされた組織として扱われています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, The Cyber AB – FAQ

重要なのは、C3PAOは助言者ではなく評価者であるという点です。

C3PAOが必要になる場面

CMMC Level 2には、自己評価とC3PAO評価があります。どちらが必要になるかは契約条件によります。

32 CFR Part 170では、Level 2 C3PAO評価を受けるOSCは、全てのLevel 2要求についてMETを達成する必要があり、authorizedまたはaccredited C3PAOから評価を受けることが求められます。評価結果はCMMC instantiation of eMASSに入力され、その後SPRSへ連携される構造です。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

DFARS 252.204-7025では、solicitationにCMMC Level 2 C3PAOが要求される可能性があります。CMMC Level 2 C3PAOが契約条件である場合、単なる自己評価では足りません。参考: DFARS 252.204-7025 – Notice of CMMC Level Requirements

C3PAO評価で見られるもの

C3PAO評価では、ポリシー文書だけが見られるわけではありません。評価者は、要求事項ごとに、文書、仕組み、運用、証跡が一致しているかを確認します。

評価で見られるものは、少なくとも次のようなものです。

  • SSP
  • CUIデータフロー
  • 資産台帳
  • ネットワーク図
  • CUI Asset、Security Protection Asset、Contractor Risk Managed Assetの分類
  • 外部サービスとの責任分界
  • Customer Responsibility Matrix
  • ID管理、MFA、アクセスレビュー
  • ログ、監査証跡、SIEM運用
  • EDR、脆弱性管理、構成管理
  • インシデント対応記録
  • 教育記録
  • 物理アクセス管理
  • バックアップと媒体保護
  • 管理者権限と特権操作

32 CFR Part 170は、CMMC Assessment Scopeを評価前に定義し、Level 2のCUI AssetやSecurity Protection Assetを資産台帳、SSP、ネットワーク図に文書化することを求めています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

評価者は、これらの資料から「CUIがどこで、どのように保護されているか」を追跡します。

C3PAOはコンサルタントではない

C3PAOに対する最も危険な期待は、「何をすればよいか教えてもらえる」というものです。

C3PAOは独立した評価者です。評価の公平性を保つため、評価対象組織の実装を設計したり、運用を代行したり、評価に通るための修正を直接行ったりする立場ではありません。

もちろん、評価プロセス、必要資料、スケジュール、評価範囲に関するやり取りは行われます。しかし、C3PAO評価の直前に「足りないところを教えてもらって直す」という発想では間に合いません。

C3PAOに会う前に、企業側が自分で準備すべきことがあります。

C3PAO評価前に準備すべきこと

1. CUI Boundaryを確定する

CUIがどこで処理・保存・送信されるのかを明確にします。メール、クラウドストレージ、CAD、PLM、Git、端末、ファイルサーバー、バックアップ、紙媒体、転送経路を確認します。

2. 資産分類を行う

Level 2では、CUI Asset、Security Protection Asset、Contractor Risk Managed Asset、Specialized Asset、Out-of-Scope Assetの分類が重要です。分類が曖昧なままでは、評価範囲を説明できません。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

3. SSPを実環境に合わせる

SSPはテンプレートではなく、実環境の説明書です。システム境界、運用環境、セキュリティ要求の実装方法、他システムとの接続、役割と責任が実態と一致している必要があります。

4. 外部サービスの責任分界を文書化する

MSP、CSP、SOC、SIEM、EDR運用、ヘルプデスク、バックアップ事業者などが関わる場合、サービス内容、責任分界、Customer Responsibility MatrixをSSPに文書化します。32 CFR Part 170は、ESP利用時にサービス、関係、CRMをSSPに記載することを求めています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

5. 証跡をそろえる

証跡は後から都合よく作るものではありません。アクセスレビュー、ログ、チケット、インシデント対応、脆弱性管理、教育、構成変更、バックアップ、物理アクセスの記録が、評価対象期間にわたって存在している必要があります。

C3PAO評価では、使用した証跡についてハッシュ化したartifactを6年間保持することが求められます。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

日本企業がC3PAO評価で注意すべきこと

日本企業がC3PAO評価を受ける場合、英語の文書化だけが課題ではありません。より重要なのは、クロスボーダー責任分界です。

たとえば、米国子会社がOSCであり、日本本社がID管理とSOCを提供している場合、評価対象は米国子会社のシステムだけで説明できない可能性があります。日本本社の管理者、運用プロセス、ログ閲覧権限、チケット、変更管理、インシデント対応がCUI環境の保護に関係する場合、それらをどうスコープ化し、どう証跡化するかが問題になります。

C3PAO評価の直前にこの構造を整理しようとしても、証跡も責任分界も間に合いません。日本企業は、C3PAO選定より前に、CUI Boundaryと責任分界を固めるべきです。

よくある誤解

第一の誤解は、「C3PAOが準備方法を教えてくれる」というものです。C3PAOは評価者であり、実装を設計するコンサルタントではありません。

第二の誤解は、「SSPがあれば評価を受けられる」というものです。SSP、資産台帳、ネットワーク図、証跡、運用、インタビューが一致している必要があります。

第三の誤解は、「C3PAO評価は一度通れば終わり」というものです。Level 2 C3PAO statusを維持するには、3年ごとの評価と年次affirmationが関係します。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements

第四の誤解は、「日本側は評価に出なくてよい」というものです。日本側が保護機能を担っている場合、日本側の運用や責任分界が評価上の説明対象になる可能性があります。

本質

C3PAOの本質は、CUIを扱う組織の保護状態を、第三者が検証可能な形にすることです。

C3PAO評価は、最後のイベントではありません。CUI Boundary、SSP、証跡、責任分界が日常運用として成立しているかを外部から確認するプロセスです。

まとめ

C3PAOは、CMMC Level 2第三者評価を行う評価機関です。コンサルタントではなく、評価者です。

C3PAO評価に向けて日本企業が準備すべきことは、CUI Boundaryの確定、資産分類、SSP整備、外部サービスの責任分界、証跡管理、クロスボーダー運用の整理です。評価直前に資料を集めるのではなく、評価される状態を日常運用として作る必要があります。

次の記事

次は「SSPとは何か」です。CMMC対応の中心文書であるSSPを、監査用テンプレートではなく、CUI環境の設計図として整理します。

参考資料