CMMC Level 2のSP 800-53へのトレース：NISTの附属書Dが示すこと

米国防総省（DoD）のCMMCプログラムは現在、国防調達契約を通じて展開が進んでおり、管理された非機密情報（CUI）を扱う契約事業者の多くが該当するのがLevel 2です。Level 2は、NIST SP 800-171 Revision 2の110のセキュリティ要件であり、それらの要件は連邦の管理策カタログであるSP 800-53から導出されたものです。NISTはその経緯を、SP 800-171 Rev 2の附属書Dで正確に文書化しています。

この対応表は、すでに800-53に従っている契約事業者にとって最も有用な単一の文書であり、ControlMappingがCMMCを他のすべてと結びつける際の基盤でもあります。

トレースの網羅度

CMMC の 110 件のプラクティスのうち、109 件（99%）は 800-53 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

1つを除くすべてのCMMC Level 2プラクティスは、当サイトに掲載しているSP 800-53の管理策に対応付けられています。これらの紐付けはNIST自身の附属書Dに由来するため、対応表としてラベル付けしています。

ファミリー別

CMMC セクション	マッピング済み	緩やかに関連	マッピングなし
AC Access Control	22 件中 22 件	0	0
AT Awareness and Training	3 件中 3 件	0	0
AU Audit and Accountability	9 件中 9 件	0	0
CA Security Assessment	4 件中 4 件	0	0
CM Configuration Management	9 件中 9 件	0	0
IA Identification and Authentication	11 件中 11 件	0	0
IR Incident Response	3 件中 3 件	0	0
MA Maintenance	6 件中 6 件	0	0
MP Media Protection	9 件中 9 件	0	0
PE Physical Protection	6 件中 6 件	0	0
PS Personnel Security	2 件中 2 件	0	0
RA Risk Assessment	3 件中 3 件	0	0
SC System and Communications Protection	16 件中 15 件	0	1
SI System and Information Integrity	7 件中 7 件	0	0

800-53 を保有、CMMC が必要。 要件ごとの内容： ギャップレポートを開く →

附属書Dの仕組み

附属書Dには14の要件ファミリーごとに表があり、各要件とその出典となった800-53の管理策を並べて示しています。利用する際に重要な点は次の2つです：

• 基本要件は一括で対応付けられています。 各ファミリーにおいて、（FIPS 200に由来する）「基本」要件は、800-53の管理策を統合したひとつのセルを共有しています。例えば3.1.1と3.1.2はいずれもAC-2、AC-3、AC-17までさかのぼれます。「導出」要件は、それぞれ独自の行を持っています。
• IDはSP 800-53 Revision 4のものです。 大半はRevision 5でも変更なく引き継がれています。7つはRev 5で廃止され、他の管理策に統合されました。NISTのRev 5カタログには、それぞれの移動先が示されています（例：AU-8(1)はSC-45(1)へ移動し、MP-5(4)はSC-28(1)に組み込まれました）。当サイトではそれらの紐付けに従っています。

対応先のない1つのプラクティス

SC.L2-3.13.14では、Voice over Internet Protocol（VoIP）を管理・監視することが求められています。附属書DはこれをSC-19に対応付けていますが、NISTはSC-19をRev 5で後継なしに廃止しました。VoIPは現在、境界およびコミュニケーションに関する一般的な管理策の下で、他の技術と同様に扱われています。そのため、Rev 5の体系では、このCMMCプラクティスに専用の800-53管理策はありませんが、SC-7とSC-8がその実質的な内容の大部分をカバーしています。

逆方向の対応

800-53 の 300 件の基本管理策のうち、114 件（38%）は CMMC の何らかの項目にマッピングされ、78 件は緩やかに関連するのみで、108 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

SP 800-53の大部分にはCMMC側の対応先がありませんが、これは意図された設計です。SP 800-171は、非連邦システムにおけるCUIの機密性の保護に関係する管理策を選定し、それ以外（プライバシー管理策、連邦固有のプログラム管理、多くの拡張機能、そして「非連邦組織」ベースラインが組織の実施を前提としている管理策（そのうち-1のポリシー管理策を含む））を除外しています。

契約事業者にとっての意味

1. 800-53のモデレート・ベースラインを運用しているなら、実質的な内容の大部分はすでに備わっています。 必要な作業は、CMMCの形式に沿った証跡、CUIを対象範囲とするシステムセキュリティ計画（SSP）、そして評価です。
2. 附属書Dを活用して証跡を再利用します。 各プラクティスについて、掲載されている800-53の管理策から、既存の管理策の証跡のうちどれが適用できるかが分かります。
3. Rev 2とRev 3の差異に注意してください。 NISTはRevision 3でいくつかの要件を書き直しましたが、CMMCはRevision 2に固定されたままです。評価は契約で求められている内容に基づいて行ってください。

CMMC → SP 800-53 ギャップ分析レポートでは、すべてのプラクティスを附属書Dの管理策とともに掲載しており、CMMCとSP 800-53の比較では両方向を扱っています。当サイトのCMMCプラクティス名はDoDのものであり、要件の本文はNISTのもの（パブリックドメイン）です。

よくある質問

CMMC Level 2はNIST SP 800-171と同じものですか？

Level 2は、SP 800-171 Revision 2の110のセキュリティ要件であり、DoDのCMMCルールの下で、独自のプラクティス名を用いて評価されます。NISTはRevision 3を公表していますが、CMMCはRevision 2に固定されたままです。

SP 800-53 Rev 5に対応先がないCMMCプラクティスはどれですか？

SC.L2-3.13.14（Voice over IPを管理・監視する）。附属書DはこれをSC-19に対応付けていますが、NISTはSC-19をRev 5で後継なしに廃止しました。VoIPは現在、他の技術と同様に扱われているためです。