はじめに

日本企業にCMMCが流れてくる経路として、米国プライム企業、米国子会社、共同開発、クラウド、MSPを想像する人は増えています。しかし、もう一つ重要な経路があります。

それが、日本国内にある米軍基地・米軍施設に関する案件です。

これは意外と盲点です。なぜなら、工事、設計、保守、設備、施工管理、現場対応といった業務は、一見すると日本国内のローカル案件に見えるからです。しかし、在日米軍基地や米軍施設に関する案件は、契約構造上はDoDや米軍関連機関の調達に接続していることがあります。その場合、契約で扱うFCIまたはCUIの有無によって、CMMC要求が日本企業にも流れてきます。

結論

在日米軍基地・米軍施設案件は、日本企業にCMMCが流れてくる重要な経路です。特に、建設会社、設計事務所、設備会社、保守会社、施工管理会社、ITベンダー、協力会社、JVにとっては、CMMCが「米国企業の制度」ではなく、自社の入札資格や契約継続に関わる可能性があります。

USACE Japan Districtの公式ページでは、DoDのCMMC最終規則が2025年9月10日に公表され、2025年11月10日に発効したこと、FCIまたはCUIを扱う組織に対して特定のサイバーセキュリティ成熟度レベルの維持が求められることが説明されています。さらに、2025年11月10日以降に発行されるすべての入札公告について、Basic、つまりLevel 1以上の認証を要求する予定であり、Level 1以上がなければ契約締結資格を得られない旨が案内されています。参考: USACE Japan District – Doing Business with the Japan District

ただし、すべての建設会社が自動的にLevel 2になるという意味ではありません。Level 2は、CUIを処理・保存・送信する場合に現実的な要求になります。32 CFR 170.23は、下請がFCIのみを処理・保存・送信する場合はLevel 1、CUIを処理・保存・送信する場合は少なくともLevel 2が必要となる構造を示しています。参考: 32 CFR 170.23 – Application to subcontractors

なぜ在日米軍基地案件が盲点になるのか

在日米軍基地案件が盲点になる理由は、業務の見え方にあります。

日本の建設会社や設備会社から見ると、対象は日本国内の現場です。現場も日本、協力会社も日本、法令対応も日本、作業員も日本、調達先も日本であることが多い。したがって、情報セキュリティの観点でも「国内案件」として見てしまいがちです。

しかし、CMMCの判断軸は、現場がどの国にあるかではありません。CMMCの判断軸は、DoD契約に関係するFCIまたはCUIを、どの情報システムで処理・保存・送信するかです。

USACE Japan Districtのページでは、Contract Opportunitiesに掲載される工事およびサービス案件が通常、日本国内のlocal sourcesを対象とすること、local sourcesとは日本に物理的に所在し、日本で事業を行う権限を持つ業者を意味することが説明されています。参考: USACE Japan District – Doing Business with the Japan District

つまり、日本国内業者向けの案件であっても、DoD契約情報を扱うならCMMCの対象になり得ます。ここが盲点です。

建設業界でCMMCが問題になる場面

建設業界でCMMCが問題になるのは、サイバーセキュリティ製品を開発しているからではありません。現場業務の中で、DoD契約に関係する非公開情報やCUIを扱う可能性があるからです。

たとえば、次のような情報がやり取りされます。

  • 入札・見積・契約関連資料
  • 設計図、施工図、完成図、BIM/CADデータ
  • 施設配置図、設備図、系統図、配管図、電気図、通信図
  • 変更指示、RFI、承認図、材料承認、検査記録
  • 現場写真、品質管理記録、安全関連記録
  • 工程表、作業計画、搬入計画、現場アクセスに関する情報
  • 施設の機能、設備、制限、脆弱性に関わる情報
  • 保守、修繕、更新、改修に関する技術資料

これらが常にCUIというわけではありません。しかし、DoD契約に基づく非公開情報であればFCIになり得ます。さらに、施設の防護、運用、設備、通信、燃料、電力、防災、警備、インフラ、脆弱性、配置などに関わる情報が、CUIとして指定される場合があります。

CUIは、classifiedではありません。しかし、公開してよい情報でもありません。NARAはCUIを、classified informationではないが、法令・規則・政府全体方針により保護または配布制限が必要な情報として説明しています。参考: NARA – About Controlled Unclassified Information

Level 1で止まる場合とLevel 2が必要になる場合

在日米軍基地案件で重要なのは、Level 1とLevel 2を分けて考えることです。

Level 1は、主にFCIを対象とする基本的な保護です。USACE Japan Districtの公式ページで案内されているBasic、つまりLevel 1以上の要求は、少なくともFCIを扱う事業者にとって入口になります。参考: USACE Japan District – Doing Business with the Japan District

一方、Level 2はCUIを扱う場合の要求です。32 CFR 170.23は、CUIを処理・保存・送信する下請について、Level 2 Selfが最低要求となること、関連するプライム契約がLevel 2 C3PAOを要求する場合には、下請にもLevel 2 C3PAOが最低要求になる構造を示しています。参考: 32 CFR 170.23 – Application to subcontractors

したがって、建設会社が確認すべきことは、「米軍基地案件だからLevel 2なのか」ではありません。確認すべきことは、次です。

  1. 契約・入札公告でCMMCレベルが指定されているか
  2. 受領・作成・共有する情報がFCIだけか、CUIを含むか
  3. CUIの場合、どの情報システムで処理・保存・送信するか
  4. 自社だけでなく、協力会社、JV、設計会社、設備会社、ITベンダーに情報が流れるか
  5. その情報を保護するID、MFA、ログ、端末、クラウド、ファイル共有、バックアップ、管理者権限はどこにあるか

ここを整理せずに、Level 1で十分か、Level 2が必要かを判断することはできません。

在日米軍基地案件のCUI Boundary

CMMC対応では、CUIを含む可能性のある情報を扱う範囲を定義する必要があります。建設業界では、この範囲が非常に広がりやすい点に注意が必要です。

たとえば、設計図は設計部門のファイルサーバーに保存されます。施工図はCAD端末で編集されます。RFIはメールでやり取りされます。現場写真はスマートフォンや写真管理サービスに保存されます。協力会社とはクラウドストレージやファイル転送で共有されます。工程表はプロジェクト管理ツールに置かれます。バックアップは別のクラウドやNASに存在します。

このとき、CUI Boundaryは「社内の一つのフォルダ」では済みません。

CUI Boundaryには、次のような要素が入ります。

  • CUIを保存するファイルサーバー、クラウド、CAD/BIM環境
  • CUIを編集・閲覧する端末
  • CUIを送信するメール、ポータル、ファイル共有、API
  • CUIを印刷・保管する物理エリア
  • CUIを保護するID、MFA、EDR、ログ、SIEM、バックアップ
  • CUIにアクセスする社員、協力会社、JV、設計者、現場担当者
  • CUI環境を管理するIT管理者、外部MSP、ヘルプデスク

CMMC Level 2では、CUI Assetだけでなく、CUI環境を保護するSecurity Protection Assetも重要になります。CUIを直接保存しないID基盤、ログ基盤、管理端末、EDR、MFA、バックアップも、保護機能としてスコープ上の論点になります。参考: 32 CFR Part 170 – Cybersecurity Maturity Model Certification (CMMC) Program

協力会社・JV・下請へのflowdown

建設案件では、元請だけで完結することはほとんどありません。設計事務所、設備会社、専門工事会社、材料メーカー、検査会社、ITベンダー、写真管理サービス、CAD/BIM支援会社など、多くの関係者が関わります。

DFARS 252.204-7021は、契約企業に対し、FCIまたはCUIを処理・保存・送信する下請契約やその他の契約手段に、適切なCMMCレベルをflow downすることを求めています。また、下請が契約 award 前に適切なCMMC certificateまたはcurrent CMMC statusを持つことを確認する構造も示しています。参考: DFARS 252.204-7021 – Contractor Compliance with CMMC Level Requirements

これは建設業界では特に重要です。図面や仕様を協力会社にメールで送る、クラウド共有する、現場写真を外部サービスに保存する、JV内でファイル共有する。こうした日常的な情報共有が、CMMC上のflowdownやスコープ拡大につながる可能性があります。

建設会社が最初にやるべき確認

在日米軍基地案件に関わる建設会社は、まず次の確認から始めるべきです。

第一に、契約・入札公告・RFP・仕様書・情報保護条項にCMMC、DFARS、FCI、CUI、NIST SP 800-171、SPRS、PIEE、SAM.govに関する記載があるかを確認します。

第二に、案件で受領・作成・共有する情報を一覧化します。図面、仕様、RFI、承認図、検査記録、写真、工程表、変更指示、完成図、BIM/CAD、メール、ファイル共有、紙資料をすべて対象にします。

第三に、その情報がFCIか、CUIか、単なる公開情報かを分類します。CUI判断は自社の感覚だけで行わず、契約、顧客指示、マーキング、配布制限、CUI Registry、公式文書を確認します。

第四に、情報システムを洗い出します。メール、ファイルサーバー、クラウド、CAD/BIM、プロジェクト管理、写真管理、バックアップ、端末、モバイル、外部共有、協力会社ポータルを確認します。

第五に、協力会社・JV・外部サービスに情報が流れる経路を確認します。CMMC対応では、自社の中だけでなく、情報を渡す先も重要です。

第六に、SSPに落とし込める形で、CUI Boundary、責任分界、証跡、運用手順を整理します。

よくある誤解

第一の誤解は、「建設業はCMMCとは関係ない」というものです。CMMCは業種で決まるのではなく、DoD契約に関連するFCIまたはCUIを処理・保存・送信するかで決まります。

第二の誤解は、「現場が日本国内だから米国制度は関係ない」というものです。CMMCの判断軸は、現場所在地ではなく、契約と情報です。日本国内の米軍施設案件でも、DoD契約情報を扱うならCMMCは論点になります。

第三の誤解は、「Basic Level 1と書いてあればLevel 2は関係ない」というものです。Level 1以上という案内は入口です。個別契約でCUIを処理・保存・送信する場合、Level 2が要求される可能性があります。

第四の誤解は、「図面を紙で扱えばCMMCを避けられる」というものです。紙も情報媒体です。さらに、実務では図面をメール、CAD、クラウド、バックアップ、写真、RFIで扱うため、デジタル情報システムを避けて通ることは困難です。

第五の誤解は、「元請だけが対応すればよい」というものです。FCIまたはCUIが協力会社や下請に流れる場合、flowdownと下請のCMMC status確認が問題になります。

本質

在日米軍基地案件におけるCMMCの本質は、日本国内の工事・設計・保守業務が、DoD契約情報を扱う情報システムの問題に変わることです。

CMMCは、サイバー部門だけの話ではありません。建設現場、設計部門、施工管理、協力会社管理、IT管理、契約管理、品質管理の情報流通を、FCI/CUIの観点で再設計する作業です。

まとめ

在日米軍基地・米軍施設案件は、日本企業にCMMCが流れてくる重要なルートです。特に建設業界では、現場が日本国内であるためにCMMCを見落としやすい一方、入札公告、仕様書、図面、RFI、完成図、写真、クラウド共有、協力会社への情報共有を通じて、FCIまたはCUIを扱う可能性があります。

まず確認すべきことは、契約にCMMC要求があるか、扱う情報がFCIかCUIか、どのシステムで処理・保存・送信するか、協力会社にどこまで情報が流れるかです。

建設会社にとってCMMCは、単なるITセキュリティ対応ではありません。米軍施設案件に参加し続けるための、契約・情報管理・システム境界・責任分界の問題です。

次の記事

次は「CAGE Code / NCAGE Codeとは何か」です。在日米軍基地案件や米国防衛調達に関わる日本企業が見落としやすい、SAM.gov、UEI、CAGE / NCAGE、SPRSの関係を整理します。

参考資料