はじめに

NIST SP 800-171は、CMMC Level 2を理解するための中心文書です。ただし、NIST SP 800-171を「セキュリティ管理策の一覧」とだけ見ると、実務上の意味を見誤ります。

NIST SP 800-171は、CUIを扱う非連邦組織が、どのような保護状態を実現すべきかを示す要求事項です。CMMC Level 2では、その実装が評価対象になります。

結論

NIST SP 800-171とは、非連邦システムおよび非連邦組織に存在するCUIの機密性を保護するためのセキュリティ要求事項です。NISTはSP 800-171 Rev.3について、CUIが非連邦システム・組織に存在する場合に、その機密性を保護するための推奨セキュリティ要求を提供する文書と説明しています。参考: NIST SP 800-171 Rev. 3 – Protecting CUI in Nonfederal Systems and Organizations

ただし、2026年6月1日時点で重要なのは、NIST SP 800-171 Rev.3が公開されている一方で、CMMC Level 2は32 CFR Part 170上、NIST SP 800-171 Rev.2に基づいているという点です。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, NIST SP 800-171 Rev. 3 – Protecting CUI in Nonfederal Systems and Organizations, NIST SP 800-171 Rev. 2 – Protecting CUI in Nonfederal Systems and Organizations

最新文書と契約上適用される文書を混同してはいけません。

NIST SP 800-171が対象にするもの

NIST SP 800-171は、連邦政府の内部システムではなく、政府外の組織、つまり非連邦組織のシステムに存在するCUIを対象にします。

NIST SP 800-171 Rev.3では、CUIを処理・保存・送信する非連邦システムのコンポーネント、またはそれらを保護するコンポーネントに要求が適用されると説明されています。参考: NIST SP 800-171 Rev. 3 – Protecting CUI in Nonfederal Systems and Organizations

この点は非常に重要です。NIST SP 800-171は、「会社全体のセキュリティ成熟度」を測る文書ではありません。CUIを扱う、またはCUI環境を保護するシステムコンポーネントに焦点を当てます。

なぜNIST SP 800-171が必要なのか

CUIは、政府のシステム内だけに存在するわけではありません。防衛契約、研究開発、製造、試験、保守、ソフトウェア開発、サプライチェーン運用の中で、民間企業や大学、研究機関、海外企業にも渡ります。

NIST SP 800-171 Rev.3は、CUIが非連邦組織に共有されても、連邦側と同等の一貫した保護が必要であると説明しています。参考: NIST SP 800-171 Rev. 3 – Protecting CUI in Nonfederal Systems and Organizations

つまり、NIST SP 800-171は、CUIが政府外に出た瞬間に保護レベルが落ちないようにするための共通基準です。

要求事項はチェックリストではなく設計条件である

NIST SP 800-171には、アクセス制御、識別認証、監査ログ、構成管理、インシデント対応、媒体保護、物理保護、リスク評価、システム通信保護、システム完全性などの要求があります。

これらを単なるチェックリストとして扱うと、実装がばらばらになります。

たとえば、「MFAを有効にする」という対策だけでは不十分です。どのユーザーに適用するのか、管理者にはどう適用するのか、リモートアクセスはどう扱うのか、例外はあるのか、ログはどこに残るのか、CUI環境外のID基盤はどう保護するのか、まで説明できなければなりません。

NIST SP 800-171は、「対策を入れたか」を問うだけでなく、CUIを保護するために、その対策がシステム境界内でどう機能しているかを問う文書です。

Rev.2とRev.3をどう理解するか

ここは日本企業が特に混乱しやすいところです。

NIST SP 800-171 Rev.3は2024年5月に公開されました。Rev.3では要求体系が整理され、17ファミリー、ODP、Planning、Supply Chain Risk Managementなど、構造が大きく変わっています。NISTはRev.3のHTML版も公開しています。参考: NIST SP 800-171 Rev. 3 – Protecting CUI in Nonfederal Systems and Organizations

一方で、CMMC Level 2の規則上の要求は、32 CFR Part 170においてNIST SP 800-171 Rev.2に基づくとされています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program, NIST SP 800-171 Rev. 2 – Protecting CUI in Nonfederal Systems and Organizations

したがって、実務では二層で考えます。

第一に、CMMC評価のためにはRev.2ベースの要求、評価手順、スコアリングを正確に扱う。

第二に、将来の制度変更やセキュリティ設計の発展を見据えて、Rev.3の構造を理解しておく。

Rev.3を無視するのも危険ですが、Rev.3だけを見てCMMC評価準備を進めるのも危険です。

NIST SP 800-171Aとの関係

NIST SP 800-171が要求事項であるなら、NIST SP 800-171Aは評価手順です。

NIST SP 800-171A Rev.3は、SP 800-171のセキュリティ要求を評価するための手順と方法論を提供する文書です。評価方法として、Examine、Interview、Testの考え方が使われます。参考: NIST SP 800-171A Rev. 3 – Assessing Security Requirements for CUI

CMMCでもこの考え方は非常に重要です。評価者は、ポリシー文書を見るだけではありません。担当者にインタビューし、設定やログや運用を確認し、実際に対策が機能しているかを見ます。

つまり、NIST SP 800-171対応は、文書作成では終わりません。文書、仕組み、運用、証跡が一致している必要があります。

SSPとの関係

NIST SP 800-171対応の中心にある文書がSSP、System Security Planです。

NIST SP 800-171 Rev.3では、System Security Planは、システム構成要素、処理・保存・送信される情報タイプ、運用環境、他システムとの依存関係や接続、セキュリティ要求、保護策、役割と責任などを説明するものとして扱われています。参考: NIST SP 800-171 Rev. 3 HTML – System Security Plan and POA&M sections

CMMCでは、このSSPが評価範囲、資産分類、CUIデータフロー、外部サービス、責任分界を説明する中核になります。

SSPが薄い場合、評価者は「この環境でCUIがどのように守られているのか」を追えません。SSPは監査用の作文ではなく、CUI保護設計の説明書です。

日本企業が見るべき実務ポイント

日本企業がNIST SP 800-171を読むときは、要求番号を暗記するよりも、次の観点で読むべきです。

まず、CUIを扱うシステム境界を明確にすることです。全社ITに対して無差別に適用するのではなく、CUI Asset、Security Protection Asset、Contractor Risk Managed Assetを整理します。

次に、要求ごとに「誰が実装しているか」を明確にします。自社IT、米国子会社、日本本社、MSP、CSP、SOCのどこが何を担うのかを曖昧にしてはいけません。

さらに、証跡を設計します。ポリシー、設定、ログ、チケット、教育記録、インシデント記録、アクセスレビュー、脆弱性管理記録などが、要求事項と対応している必要があります。

最後に、例外や未達を正直に扱います。CMMCでは、POA&Mに入れられる項目には制限があります。SSPそのものを未完成のままPOA&Mで逃がすことはできません。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

よくある誤解

第一の誤解は、「NIST SP 800-171を満たせばCMMCは自動的に通る」というものです。NIST SP 800-171は要求事項ですが、CMMCではスコープ、評価方法、SPRS、affirmation、POA&M制限、C3PAO評価などが追加されます。

第二の誤解は、「テンプレートを埋めれば対応できる」というものです。テンプレートは出発点にすぎません。実際のシステム構成、CUIデータフロー、外部サービス、運用証跡に合っていなければ、評価時に破綻します。

第三の誤解は、「Rev.3が出たからRev.2は不要」というものです。CMMC Level 2の規則上の適用版はRev.2です。Rev.3は重要ですが、契約・評価の文脈で適用版を確認する必要があります。

第四の誤解は、「セキュリティ部門だけで対応できる」というものです。NIST SP 800-171の要求は、IT、開発、製造、物理セキュリティ、人事、調達、法務、経営判断にまたがります。

本質

NIST SP 800-171の本質は、CUIを扱う非連邦組織に対して、CUIの機密性を保護するための最低限の構造を定義することです。

それは単なる管理策リストではなく、CUI Boundaryを設計し、責任を割り当て、証跡で説明可能にするための基準です。

まとめ

NIST SP 800-171は、CUIを扱う非連邦組織に求められるセキュリティ要求事項です。CMMC Level 2では、この要求の実装が評価対象になります。

日本企業は、NIST SP 800-171をチェックリストとしてではなく、CUI環境の設計条件として読むべきです。特に、Rev.2とRev.3の違い、CMMC評価との関係、SSP、外部サービス、証跡、責任分界を一体で整理する必要があります。

次の記事

次は「CMMCとNIST SP 800-171の関係」です。要求事項と評価制度の違いを明確にし、なぜ「NIST対応済み」だけではCMMC対応とは言えないのかを整理します。

参考資料