はじめに

POA&Mは、CMMC対応で頻繁に出てくる言葉です。読み方は「ポーエム」とされることが多く、Plan of Action and Milestonesの略です。

しかし、POA&Mを「未対応項目を書いておけば許されるリスト」と理解すると危険です。CMMCにおけるPOA&Mは、無制限の猶予ではありません。限定された未達を、期限付きで是正し、その完了を評価可能にするための仕組みです。

結論

POA&Mとは、達成すべきタスク、必要なリソース、マイルストーン、完了予定日を示す是正計画です。32 CFR Part 170では、POA&Mは実施すべきタスク、必要リソース、マイルストーン、完了予定日を示す文書として定義されています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

CMMCでは、POA&Mを使える場面が制限されています。Level 1ではPOA&Mは認められません。Level 2では、一定条件を満たす場合に限ってConditional statusのために使えますが、180日以内のcloseoutが必要です。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

つまり、POA&Mは逃げ道ではなく、期限付きの是正責任です。

POA&Mの基本的な意味

NIST SP 800-171 Rev.3では、POA&Mは、セキュリティ評価で指摘された弱点や欠陥を修正し、既知の脆弱性を低減または除去するための計画として扱われています。また、セキュリティ評価、監査、レビュー、継続的監視の結果に基づいて更新されるものとされています。参考: NIST SP 800-171 Rev. 3 HTML – System Security Plan and POA&M sections

一般的なセキュリティ運用では、POA&Mは改善計画として有用です。すべてを一度に直せない場合、リスク、優先順位、担当者、期限、必要リソースを整理することで、改善を管理できます。

しかし、CMMCではPOA&Mの使い方に制度上の制限があります。

CMMCにおけるPOA&Mの制限

32 CFR Part 170では、CMMCのConditional statusにおけるPOA&Mの条件が定められています。

Level 1自己評価では、POA&Mは一切認められません。Final Level 1を得るには、全てのLevel 1要求がMETである必要があります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

Level 2では、POA&Mが許容される場合がありますが、条件があります。評価スコアが一定以上であること、POA&Mに含められる要求の点数価値に制限があること、特定の重要要求をPOA&Mに含められないこと、そして180日以内にcloseoutすることが必要です。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

特に重要なのは、SSP要求をPOA&Mに含められないことです。SSPが未完成のまま評価に入り、「SSPは後で完成させます」とすることはできません。

Conditional statusとFinal status

POA&Mを理解するには、Conditional statusとFinal statusの違いを理解する必要があります。

Conditional statusは、一定条件を満たす未達項目があり、それをPOA&Mとして管理することで一時的に認められる状態です。

Final statusは、必要な要求を満たし、POA&Mの未達項目も解消された状態です。

32 CFR Part 170では、POA&M closeout assessmentは、初回評価でPOA&Mに入ったNOT MET要求だけを対象に確認する評価として定義されています。180日以内にcloseoutできなければ、Conditional CMMC Statusは失効します。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

この期限は実務上非常に重要です。180日は長いように見えますが、システム変更、予算、ベンダー調整、証跡取得、再評価を考えると短いです。

POA&Mに入れる前に考えるべきこと

POA&Mは、未達を正直に管理するための仕組みです。しかし、すべての未達をPOA&Mに入れればよいわけではありません。

まず、その未達がCMMC上POA&Mに入れられる要求かを確認します。Level 2では、点数価値や除外要求に制限があります。

次に、180日以内に本当に是正できるかを確認します。単に「対応予定」と書くのではなく、予算、担当者、設計、調達、設定変更、テスト、証跡、再評価までを見積もる必要があります。

さらに、その未達が他の要求に影響しないかを確認します。たとえば、MFA、ログ、暗号化、アクセス制御の未達は、複数の要求やシステム設計に波及します。

最後に、責任者を明確にします。POA&Mに「IT部門対応」と書くだけでは不十分です。誰が意思決定し、誰が作業し、誰が完了を確認し、誰が評価証跡を保管するのかを決める必要があります。

POA&MとSSPの関係

SSPとPOA&Mは別物ですが、密接に関係します。

SSPは、システムがどのように要求を満たしているか、または満たす計画かを説明します。POA&Mは、未達の弱点や欠陥をどのように是正するかを示します。

NIST SP 800-171 Rev.3では、System Security PlanとPOA&Mは別文書または結合文書として管理できるとされています。参考: NIST SP 800-171 Rev. 3 HTML – System Security Plan and POA&M sections

しかし、CMMCではSSPそのものが未完成であることをPOA&Mで先送りすることはできません。SSPは、評価の入口であり、スコープと要求実装を説明する基盤です。

日本企業がPOA&Mで失敗しやすい点

日本企業では、POA&Mを社内改善計画と同じように扱ってしまうことがあります。

しかし、CMMCのPOA&Mは契約・評価に接続しています。曖昧な期限、曖昧な担当、曖昧な完了条件では不十分です。

よくある失敗は次の通りです。

  • 「今年度中に対応」と書くが、CMMCの180日期限に合わない
  • ベンダー依存の変更を自社タスクとして書く
  • 証跡取得の方法を決めていない
  • 完了条件を「設定完了」とし、運用確認を含めていない
  • 日本本社、米国子会社、MSPの責任分界が曖昧
  • POA&Mに入れられない要求を入れようとする
  • 予算承認が未確定のまま計画にする

POA&Mは、意志表明ではありません。実行可能な是正計画です。

POA&Mを設計する実務手順

実務上、POA&Mは次の要素を持つべきです。

第一に、対象要求です。どのCMMC/NIST要求が未達なのかを明確にします。

第二に、現状の未達理由です。技術的未実装なのか、運用未整備なのか、証跡不足なのか、責任分界不足なのかを分けます。

第三に、是正アクションです。単なる「対応する」ではなく、具体的な作業を記載します。

第四に、担当者と責任者です。作業担当と承認責任者を分けます。

第五に、期限とマイルストーンです。180日以内に完了するだけでなく、中間確認日を設定します。

第六に、完了証跡です。設定画面、ログ、チケット、承認記録、テスト結果、運用記録など、何をもって完了とするかを決めます。

第七に、再評価の準備です。Level 2 C3PAO評価の場合、POA&M closeout certification assessmentをC3PAOが実施するため、再評価可能な証跡を整える必要があります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

よくある誤解

第一の誤解は、「POA&Mに入れれば未達でも大丈夫」というものです。CMMCではPOA&Mに入れられる項目が限定されており、180日以内のcloseoutが必要です。

第二の誤解は、「Level 1でもPOA&Mが使える」というものです。Level 1ではPOA&Mは認められません。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

第三の誤解は、「SSP未完成をPOA&Mに入れればよい」というものです。Level 2ではSystem Security Plan要求をPOA&Mに含められない項目として扱っています。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

第四の誤解は、「POA&Mはセキュリティ部門の管理表」というものです。POA&Mは、予算、契約、外部サービス、IT変更、運用、評価にまたがる是正計画です。

本質

POA&Mの本質は、未達を隠すことではなく、限定された未達を期限付きで是正し、その完了を評価可能にすることです。

POA&Mは弱さの証明ではありません。正しく使えば、未達を管理し、責任を明確にし、改善を完了させるための構造です。

しかし、CMMCではPOA&Mに頼る設計は危険です。評価前に満たすべき要求を満たし、POA&Mは例外的に使うべきです。

まとめ

POA&Mは、未達項目の是正計画です。CMMCでは、Level 1では認められず、Level 2でも限定条件のもとでのみConditional statusに使えます。180日以内のcloseout、含められない要求、証跡、責任分界を正確に管理する必要があります。

日本企業は、POA&Mを「後回しリスト」としてではなく、契約・評価・運用に接続した是正責任として扱うべきです。

次の記事

次はBasicsを終え、CUI & Data Protectionの「CUI Boundaryとは何か」に進みます。CUIを単なるファイルではなく、境界と保護状態として設計する考え方を深掘りします。

参考資料