8 800-53 を運用している組織が CMMC レベル 2 の評価に備える方法

CMMC レベル 2 は現在、米国の国防契約に組み込まれつつあります。これに直面する多くの請負業者は、連邦政府向けの業務、FedRAMP、あるいは単に管理策のライブラリとして、すでに NIST SP 800-53 の管理策を運用しています。これは強力な出発点です。NIST 自身の対応関係により、CMMC レベル 2 のすべての プラクティス は SP 800-53 までさかのぼれることが、当サイトの附属書 D の分析で示されています。

CMMC の 110 件のプラクティスのうち、109 件（99%）は 800-53 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

つまり、管理策の大部分はすでにそろっています。自動的にはそろわないのは、範囲の確定、文書化、そして評価そのものです。

ステップ 1：CUI 環境の範囲を確定する

CMMC は、Controlled Unclassified Information（CUI）を処理、保存、送信するシステムと、それらを保護する資産に適用されます。CUI がどこから入り、どこに存在し、誰が扱うのかを対応づけてください。境界が明確で文書化されていれば（多くの場合はエンクレーブ）、評価者が確認すべき資産の数を減らせます。連邦システム向けの 800-53 の認可境界が、貴社の CUI の境界と同じになることはまれです。

ステップ 2：その境界に合わせて System Security Plan を作成する

SSP（CA.L2-3.12.4）では、境界、環境、そして 110 の要件それぞれがどのように実装されているかを記述します。既存の 800-53 管理策の記述は再利用できますが、CUI 環境向けに書き直し、CMMC のプラクティス識別子を使ってください。評価者はプラクティスごとに評価を進めるためです。

ステップ 3：Rev 2 の文言を確認する

CMMC は SP 800-171 Revision 2 に固定されています。800-53 の実装が Rev 2 より広範な場合は、通常プラクティスを満たします。一方で Rev 2 が具体的に求める事項（CUI 向けの FIPS 検証済み暗号、セッションロック、特定の監査内容など）は、詳細を個別に確認してください。

ステップ 4：証跡を評価目的にマッピングする

評価者は、各プラクティスを評価目的に照らして検証します。文書の確認、担当者へのインタビュー、仕組みのテストを行います。プラクティスごとに、対応する 800-53 管理策について既に作成している証跡を一覧化し、不足分を埋めてください。当サイトの要件ページでは、各プラクティスの元になる 800-53 管理策を確認できます。

ステップ 5：自己評価を誠実に行い、スコア化する

先に、DoD の評価方法論に従って自己評価を実施し、スコアを算出してください。失敗した項目は修正します。一部の要件については限定的な是正計画（POA&M）が認められていますが、180 日以内に完了させる必要があり、また一部の要件は先送りできません。

評価者が求める証跡

各プラクティスについて、評価者は三種類の証跡を確認します。文書（ポリシー、手順書、SSP）、そのプラクティスを実施する担当者へのインタビュー、そして仕組みのテストまたはデモンストレーションです。典型的な要求は次のとおりです。

• CUI システムのアカウント一覧とアクセス承認（AC.L2-3.1.1、3.1.2）；
• 特権アクセスおよびネットワークアクセスに対する MFA の設定（IA.L2-3.5.3）；
• 監査ログの設定、保持期間、レビュー記録（AU.L2-3.3.1、3.3.2）；
• ベースライン構成および変更記録（CM.L2-3.4.1 から 3.4.3）；
• 脆弱性スキャンの結果と是正対応（RA.L2-3.11.2、3.11.3）；
• インシデント対応計画およびテストの記録（IR.L2-3.6.1、3.6.3）；
• CUI を保護している箇所における FIPS 検証済みモジュールを示す暗号化設定（SC.L2-3.13.11）。

これらの多くは 800-53 環境ですでに存在しています。作業の中心は、CUI の境界に合わせてそれらを収集し、プラクティスごとにラベル付けすることです。たとえば各プラクティスのページ(AC.L2-3.1.1)には、証跡を再利用できる 800-53 管理策が示されています。

重要なポイント

• 800-53 のベースラインがあれば、CMMC レベル 2 の実質的な内容の大部分を備えています。
• 必要な作業は、CUI の範囲の確定、SSP の作成、そして各プラクティスへの証跡のマッピングです。
• 本番の評価の前に、DoD の方法論に照らして誠実に自己評価を行ってください。

よくある落とし穴

• 範囲の拡大：CUI がエンクレーブ外の電子メール、ファイル共有、ノートPC へ広がってしまうこと。
• 共有サービス：CUI 環境に触れる ID 管理、ログ、管理ツールも範囲に含まれます。
• 外部サービスプロバイダー：CUI を扱うクラウドサービスは、適切な連邦政府の要件、通常は FedRAMP Moderate 相当を満たす必要があります。
• 証拠のない継承の主張：管理策をプロバイダーから継承する場合は、そのプロバイダーの文書を保管してください。

CMMC と SP 800-53 の比較では、すべてのプラクティスとその元となる管理策を一覧できます。またギャップ分析では、それらをトラッカー用に書き出せます。

よくある質問

CMMC レベル 2 を評価するのは誰ですか？

契約内容によって異なり、請負業者自身による自己評価か、認定された CMMC 第三者評価機関（C3PAO）による評価のいずれかです。CUI を扱う契約のほとんどでは、第三者による認証評価が求められます。

System Security Plan とは何ですか？

システムの境界、環境、そして各セキュリティ要件がどのように実装されているかを記述した文書です。SP 800-171 により求められており（CMMC のプラクティス CA.L2-3.12.4）、評価者が最初に確認する文書です。

クラウドプロバイダーの FedRAMP 認可は、CMMC のプラクティスをカバーできますか？

プロバイダーが貴社のために実装しているプラクティスについては、プロバイダーが必要なベースラインを満たし、貴社がその文書を保管していれば、継承された管理策としてカバーできます。ただし、サービス内の貴社自身の構成、ユーザー、データについては、引き続き貴社が責任を負います。