CMMC Level 2 と NIST SP 800-53 の比較：110 の実践項目とその上位カタログ

Paul Gillet 別 · 更新日 2026-10-17

CMMC Level 2 は、統制非機密情報（CUI）を扱う契約事業者に対する米国国防総省（DoD）の要件です。その 110 の実践項目は NIST SP 800-171 Rev 2 のセキュリティ要件であり、NIST が連邦政府以外の組織向けに調整したうえで SP 800-53 Moderate ベースラインから導出したものです。Level 2 の契約事業者の多くは、3 年ごとに C3PAO による第三者評価を受ける必要があります。

800-171 は 800-53 から派生しているため、CMMC のほぼすべての実践項目には直接の対応先があります。ControlMapping は、NIST が公表している対応関係、すなわち SP 800-171 Rev 2 の附属書 D と、SP 800-171 Rev 3 → SP 800-53 の参照を用いてこれらを対応付けています。800-53 から CMMC Level 2 への対応は、ほぼ完全にカバーされています。唯一の例外は VoIP 監視（SC.L2-3.13.14）で、附属書 D はこれを SC-19 に対応付けていますが、NIST は Rev 5 で SC-19 を後継なしに廃止しました。

CMMC から 800-53 へ見ると、カタログの大部分は対応先なし、または緩やかに関連として表示されます。これは想定どおりです。CMMC Level 2 は意図的に絞り込まれたサブセットであり、連邦システムや上位ベースラインにのみ意味を持つ統制や、多くの 800-53 の拡張機能は含まれていません。

注意すべき点が一つあります。NIST が Rev 3 を公表しているにもかかわらず、CMMC Level 2 は SP 800-171 Rev 2 に固定されています。評価は、契約および CMMC ルールが実際に求めるバージョンに対して行ってください。

概要一覧

NIST と DoD の 3 つの文書の関係

• SP 800-53 は、連邦システム向けのセキュリティおよびプライバシー統制についての NIST の完全なカタログであり、ベースラインは SP 800-53B に定められています。
• SP 800-171 は、連邦政府以外のシステムにおいて統制対象の機密情報を保護するうえで関連する統制を選択し、調整したものです。Revision 2 には 110 の要件があり、附属書 D が各要件をその 800-53 の出典に対応付けています。
• CMMC Level 2 は、国防総省のプログラムであり、契約事業者を SP 800-171 Revision 2 の 110 の要件に照らして評価します。実践項目の名称、採点および認証ルールは独自のものです。

したがって、CMMC Level 2 は、防衛契約の文脈で評価される、800-53 の意図的なサブセットです。

Revision 3 の変更点と、現時点で適用されない理由

NIST は 2024 年に SP 800-171 Revision 3 を公表しました。この Revision では、要件を SP 800-53 Rev 5 と整合させ、一部を統合または廃止し、組織定義パラメータを追加し、番号を振り直しました（3.1.1 の代わりに 03.01.01）。CMMC Level 2 は引き続き Revision 2 に固定されているため、評価は Rev 2 の要件に対して実施されます。ただし、Rev 3 は依然として有用です。Rev 2 の要件が Rev 3 の要件に対応する場合、ControlMapping は NIST の Rev 3 の参照を追加の根拠として用いており、将来を見据えて計画する組織は、両方を満たす統制を設計することができます。

どちらが必要か

SP 800-53 は、米国の連邦情報システムと、FedRAMP 認可を求めるクラウドサービスに適用されます。CMMC Level 2 は、契約に CUI が関わる防衛契約事業者およびその下請事業者に適用されます。多くの企業は両方を必要とします。例えば、FedRAMP（800-53）の下で連邦政府機関にサービスを提供するクラウド事業者が防衛契約事業者でもある場合や、自社システムで CUI を保持しつつ別の顧客のために連邦システムを運用している契約事業者の場合です。

コストと工数

すでに 800-53 Moderate ベースラインを運用している組織にとって、CMMC Level 2 で新たな技術が必要になることは通常ありません。コストが生じるのは、CUI 環境のスコープ設定、そのためのシステムセキュリティ計画（SSP）の作成、各実践項目への証跡の対応付け、そして評価そのものです。評価は、自己評価、または多くの CUI を伴う契約では、認定 C3PAO による 3 年ごとの認証評価となります。逆方向に進む場合、CMMC 対応済みの契約事業者が FedRAMP 認可を求めると、はるかに大規模な統制セット、連邦政府の認可プロセス、および継続的監視に直面します。

認証評価までのタイムライン

CMMC の要件は、国防総省の契約に段階的に組み込まれており、プログラムの第 2 フェーズ以降、より多くの契約で第三者認証が求められます。800-53 の環境を持つ契約事業者は、通常、CUI のスコープ設定、SSP の作成、証跡の収集に 2〜4 か月を要し、その後 DoD の方法論に基づく自己評価、続いて C3PAO 評価を受けることになりますが、その日程調整には時間がかかることがあります。スコアが必要な最低値に達していれば、限定的な是正計画付きの条件付き認証も可能であり、未解決事項は 180 日以内にクローズする必要があります。

実例：防衛関連の下請事業者

従業員 120 名のエンジニアリング企業が、元請け契約事業者に部品を供給しており、CUI と表示された技術図面を受領しています。同社はすでに、別の連邦研究契約のために SP 800-53 Moderate 統制を運用しています。同社は、エンジニアリング用ファイルサーバー、設計用ワークステーション、および ID システムを対象とする CUI エンクレーブのスコープを設定し、800-53 のポリシーと、附属書 D を通じて対応付けた証跡を再利用し、エンクレーブの FIPS 検証済み暗号化を確認しました。自己評価のスコアは良好で、残る不備はわずか（VoIP 監視といくつかの監査設定）です。同社は C3PAO 評価を予約し、CUI の取り扱い要件を自社の 2 社の下請事業者にも展開しています。

よくある誤り

• CUI 境界ではなく、連邦認可の境界をスコープとしてしまう。 両者が一致することはまれです。
• 800-53 の証跡がそのまま使えると想定する。 評価者は CMMC の識別子と評価目的に基づき、実践項目ごとに評価を行います。
• 共有サービスを見落とす。 CUI エンクレーブに関わる ID、ログ記録、管理ツールは、スコープに含まれます。
• 検証されていない暗号を使用する。 CUI の機密性がそれに依存している場合に起こりがちです。
• CUI を受け取る下請事業者に要件を展開しない。

要点

• すでに 800-53 Moderate ベースラインを運用している場合、CMMC Level 2 は主に証跡と評価の作業です。
• CMMC → 800-53（例：FedRAMP への移行）：スコープが大きく拡大することを想定してください。
• 契約がどのバージョンの 800-171 を参照しているかを把握してください。

この比較をダウンロード（CSV） ギャップ分析で開く →