はじめに

CMMCを理解するには、DFARSを避けて通れません。なぜなら、CMMCやNIST SP 800-171は、技術文書としてだけ存在しているわけではないからです。防衛調達の実務では、それらは契約条項を通じて企業に要求されます。

DFARSは、その接続点です。

結論

DFARSとは、米国防総省の調達に適用されるFederal Acquisition Regulationの補足規則です。CMMCの文脈では、DFARS 252.204-7012、252.204-7021、252.204-7025などが重要です。

DFARS 204.75は、DoD契約にCMMCレベル要求を含めるための方針と手続きを定めるサブパートです。Acquisition.govのDFARS 204.75は、CMMCを contractor information security protections を評価する枠組みとして位置づけています。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements, DFARS 252.204-7025 – Notice of CMMC Level Requirements

つまり、DFARSは、CMMCを「知っておくべき制度」から「契約上満たすべき要求」に変換します。

DFARSをなぜ読む必要があるのか

CMMC対応では、多くの企業が技術要求から読み始めます。しかし、実務上は契約条項を読む必要があります。

なぜなら、最終的に企業に求められるのは、「よいセキュリティをすること」ではなく、「契約上要求されたCMMCレベル、評価タイプ、情報システム、下請へのflowdown、SPRS、affirmationを満たすこと」だからです。

契約条項を見ずにCMMC対応を始めると、次のような問題が起きます。

  • Level 2 Selfでよいと思っていたが、契約ではLevel 2 C3PAOが必要だった
  • CUIを扱う下請にflowdownがされていなかった
  • CMMC UIDが必要な情報システムを特定していなかった
  • 契約期間中の継続的準拠とaffirmationを考えていなかった
  • DFARS 252.204-7012のインシデント報告要求を見落としていた

DFARSは、CMMC対応の法務・契約側の入口です。

DFARS 252.204-7012

DFARS 252.204-7012は、Covered Defense Informationの保護とサイバーインシデント報告に関する重要条項です。

この条項では、covered contractor information systemに対してadequate securityを提供し、少なくともNIST SP 800-171のセキュリティ要求を実装することが求められます。また、サイバーインシデントをrapidly reportすることが求められ、rapidly reportは発見から72時間以内と定義されています。参考: DFARS 252.204-7012 – Safeguarding Covered Defense Information and Cyber Incident Reporting

ここで重要なのは、DFARS 252.204-7012がCMMC以前から存在するCUI保護の契約基盤であることです。CMMCはこの世界に、評価・確認・ステータス・affirmationの仕組みを加えるものとして理解できます。

DFARS 252.204-7021

DFARS 252.204-7021は、CMMC Level Requirementへの準拠を契約条項として扱います。

この条項では、契約企業が契約期間中、要求されたCMMCレベル以上のcurrent CMMC statusを維持すること、FCI/CUIをそのCMMCレベルを満たす情報システムでのみ処理・保存・送信すること、年次affirmationをSPRSで維持すること、下請・サプライヤーにも適切なCMMC要求を流すことが求められます。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements

特に重要なのは、下請へのflowdownです。DFARS 252.204-7021は、FCIまたはCUIを処理・保存・送信する要求を含む下請契約に、この条項の実質を入れることを求め、下請が適切なcurrent CMMC certificateまたはcurrent CMMC statusを持つことを確認する必要があるとしています。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements

日本企業が米国プライムや米国子会社からCMMC要求を受けるのは、このような契約構造があるからです。

DFARS 252.204-7025

DFARS 252.204-7025は、募集段階でCMMCレベル要求を通知するための条項です。

この条項では、CMMC Level 1 Self、Level 2 Self、Level 2 C3PAO、Level 3 DIBCACのいずれかを契約担当官が挿入する構造になっています。また、契約履行中にFCIまたはCUIを処理・保存・送信する各 contractor information system について、契約 award 前に必要なCMMC statusとaffirmationがSPRS上にあることが求められます。参考: DFARS 252.204-7025 – Notice of CMMC Level Requirements

つまり、CMMCは「契約を取った後で準備するもの」ではなく、案件によってはaward前のeligibility条件になります。

DFARSとCMMCの関係

関係を一言で言えば、次の通りです。

NIST SP 800-171は、CUI保護の要求事項を示します。

CMMCは、その実装を評価する制度です。

DFARSは、その評価制度と要求事項を契約上の義務にします。

この三つを分けて理解しないと、CMMC対応は混乱します。

たとえば、技術部門はNIST要求を読み、セキュリティ部門はCMMC評価を見て、法務部門はDFARS条項を見ます。しかし、それぞれが別々に動くと、システム境界、契約対象、評価対象、下請責任が一致しません。

CMMC対応では、DFARS条項を読んだうえで、NIST要求とCMMC評価範囲を設計する必要があります。

日本企業がDFARSで見るべき箇所

日本企業がDFARSを読むときは、次の観点で見ると実務に落とし込みやすくなります。

第一に、契約にどのCMMCレベルが入っているかです。Level 1 Self、Level 2 Self、Level 2 C3PAO、Level 3 DIBCACのどれかで準備が大きく変わります。

第二に、対象となる情報システムです。DFARS 252.204-7021/7025は、FCIまたはCUIを処理・保存・送信する情報システムごとにCMMC statusやCMMC UIDが関係する構造を持ちます。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements, DFARS 252.204-7025 – Notice of CMMC Level Requirements

第三に、下請へのflowdownです。日本企業が下請として受ける場合もあれば、日本企業がさらに再委託先に流す場合もあります。

第四に、契約期間中の維持です。CMMC statusは一度取得すれば終わりではなく、継続的準拠のaffirmationが必要です。

第五に、インシデント報告です。DFARS 252.204-7012の72時間報告要求は、CMMC対応とは別に、運用設計上きわめて重要です。参考: DFARS 252.204-7012 – Safeguarding Covered Defense Information and Cyber Incident Reporting

よくある誤解

第一の誤解は、「DFARSは米国企業だけが読むもの」というものです。実務上、DFARS要求は米国プライムからのサプライヤー条項、購買条件、情報保護付属書、下請契約として日本企業に流れてきます。

第二の誤解は、「CMMCはセキュリティ部門の問題であり、法務は関係ない」というものです。CMMCは契約 eligibility、下請flowdown、affirmation、契約上のremedyに関係します。法務・契約部門が関与しなければ成立しません。

第三の誤解は、「DFARS 252.204-7012とCMMCは同じもの」というものです。7012はCDI保護とインシデント報告の重要条項であり、CMMCはその実装確認の制度として別の条項群と連動します。

第四の誤解は、「契約 award 後に対応すればよい」というものです。DFARS 252.204-7025は、必要なCMMC statusがaward前に求められる構造を示しています。参考: DFARS 252.204-7025 – Notice of CMMC Level Requirements

本質

DFARSの本質は、CMMCやNIST SP 800-171を契約上の義務に変換する仕組みです。

CMMC対応は、技術実装だけではありません。契約上、どの情報を、どのシステムで、どのレベルで、誰が維持し、どの下請に何を流すのかを決める作業です。

まとめ

DFARSは、米国防総省調達に適用される補足規則です。CMMCの文脈では、252.204-7012、252.204-7021、252.204-7025が特に重要です。

日本企業がCMMC対応を検討する際は、制度解説だけでなく、実際の契約条項を確認する必要があります。CMMCレベル、評価タイプ、対象システム、SPRS、affirmation、下請flowdown、インシデント報告を契約とシステムの両面で整理することが重要です。

次の記事

次は「C3PAOとは何か」です。CMMC Level 2 C3PAO評価で登場する第三者評価機関の役割と、評価前に企業が準備すべきことを整理します。

参考資料