フレームワーク
CMMC Level 2
概要
米国国防総省によるサイバーセキュリティ成熟度モデル認定。レベル2は、管理対象外の機密情報（CUI）を保護するためのNIST SP 800-171 Rev 2の110のセキュリティ要件です。プログラム規則は2024年12月に施行され、契約上の要件は2025年11月から段階的に適用されています。
対象となる読者
CUIを処理、保存、または送信する防衛関連の契約事業者および下請事業者。
評価方法
自己評価、または大半のCUI契約では認定済みの第三者評価機関（C3PAO）による認定評価のいずれかが必要で、3年ごとに実施し、毎年の確約を伴います。一部の要件については、限定的な是正計画およびマイルストーンが認められており、180日以内にクローズする必要があります。
110
プラクティス
109
他のフレームワークにマッピング済み
78%
カバーしているトピック（39/50）
比較一覧
要件
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
| ID | 要件 | トピック | マッピング先: |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | アクセス制御, ゼロトラスト | 13 件中 11 件 |
| AC.L2-3.1.2 | Transaction & Function Control | アクセス制御 | 13 件中 11 件 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 13 件中 7 件 |
| AC.L2-3.1.4 | Separation of Duties | — | 13 件中 1 件 |
| AC.L2-3.1.5 | Least Privilege | 特権アクセス | 13 件中 10 件 |
| AC.L2-3.1.6 | Non-Privileged Account Use | 特権アクセス | 13 件中 10 件 |
| AC.L2-3.1.7 | Privileged Functions | 特権アクセス | 13 件中 10 件 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 13 件中 1 件 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 13 件中 1 件 |
| AC.L2-3.1.10 | Session Lock | — | 13 件中 1 件 |
| AC.L2-3.1.11 | Session Termination | — | 13 件中 1 件 |
| AC.L2-3.1.12 | Control Remote Access | — | 13 件中 1 件 |
| AC.L2-3.1.13 | Remote Access Confidentiality | 暗号化 | 13 件中 10 件 |
| AC.L2-3.1.14 | Remote Access Routing | — | 13 件中 1 件 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 13 件中 1 件 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 13 件中 1 件 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 13 件中 1 件 |
| AC.L2-3.1.18 | Mobile Device Connection | モバイルセキュリティ | 13 件中 7 件 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | 暗号化, モバイルセキュリティ | 13 件中 11 件 |
| AC.L2-3.1.20 | External Connections | クラウドセキュリティ | 13 件中 11 件 |
| AC.L2-3.1.21 | Portable Storage Use | — | 13 件中 1 件 |
| AC.L2-3.1.22 | Control Public Information | — | 13 件中 1 件 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | 意識向上とトレーニング | 13 件中 10 件 |
| AT.L2-3.2.2 | Role-Based Training | 意識向上とトレーニング | 13 件中 10 件 |
| AT.L2-3.2.3 | Insider Threat Awareness | 意識向上とトレーニング, 内部脅威 | 13 件中 10 件 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | ログ記録と監査 | 13 件中 10 件 |
| AU.L2-3.3.2 | User Accountability | ログ記録と監査, 内部脅威 | 13 件中 11 件 |
| AU.L2-3.3.3 | Event Review | — | 13 件中 1 件 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 13 件中 1 件 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 13 件中 10 件 |
| AU.L2-3.3.6 | Reduction & Reporting | フォレンジック | 13 件中 7 件 |
| AU.L2-3.3.7 | Authoritative Time Source | ログ記録と監査 | 13 件中 10 件 |
| AU.L2-3.3.8 | Audit Protection | — | 13 件中 1 件 |
| AU.L2-3.3.9 | Audit Management | — | 13 件中 1 件 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | コンプライアンス | 13 件中 10 件 |
| CA.L2-3.12.2 | Plan of Action | — | 13 件中 1 件 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 13 件中 1 件 |
| CA.L2-3.12.4 | System Security Plan | — | 13 件中 1 件 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | 資産管理, 安全な構成 | 13 件中 13 件 |
| CM.L2-3.4.2 | Security Configuration Enforcement | 安全な構成 | 13 件中 9 件 |
| CM.L2-3.4.3 | System Change Management | — | 13 件中 1 件 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 13 件中 1 件 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 13 件中 1 件 |
| CM.L2-3.4.6 | Least Functionality | 安全な構成 | 13 件中 9 件 |
| CM.L2-3.4.7 | Nonessential Functionality | 安全な構成 | 13 件中 9 件 |
| CM.L2-3.4.8 | Application Execution Policy | — | 13 件中 1 件 |
| CM.L2-3.4.9 | User-Installed Software | — | 13 件中 1 件 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 13 件中 1 件 |
| IA.L2-3.5.2 | Authentication | — | 13 件中 1 件 |
| IA.L2-3.5.3 | Multifactor Authentication | 多要素認証 | 13 件中 10 件 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 13 件中 1 件 |
| IA.L2-3.5.5 | Identifier Reuse | — | 13 件中 1 件 |
| IA.L2-3.5.6 | Identifier Handling | — | 13 件中 1 件 |
| IA.L2-3.5.7 | Password Complexity | — | 13 件中 1 件 |
| IA.L2-3.5.8 | Password Reuse | — | 13 件中 1 件 |
| IA.L2-3.5.9 | Temporary Passwords | — | 13 件中 1 件 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 13 件中 1 件 |
| IA.L2-3.5.11 | Obscure Feedback | — | 13 件中 1 件 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | インシデント対応, 緩和策, 教訓の反映 | 13 件中 12 件 |
| IR.L2-3.6.2 | Incident Reporting | コミュニケーション, 報告, 連絡と復旧 | 13 件中 12 件 |
| IR.L2-3.6.3 | Incident Response Testing | インシデント対応 | 13 件中 12 件 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 13 件中 1 件 |
| MA.L2-3.7.2 | System Maintenance Control | — | 13 件中 1 件 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 13 件中 1 件 |
| MA.L2-3.7.4 | Media Inspection | — | 13 件中 1 件 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 13 件中 1 件 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 13 件中 1 件 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 13 件中 1 件 |
| MP.L2-3.8.2 | Media Access | — | 13 件中 1 件 |
| MP.L2-3.8.3 | Media Disposal | データ保護 | 13 件中 11 件 |
| MP.L2-3.8.4 | Media Markings | データ分類 | 13 件中 9 件 |
| MP.L2-3.8.5 | Media Accountability | — | 13 件中 1 件 |
| MP.L2-3.8.6 | Portable Storage Encryption | 暗号化 | 13 件中 10 件 |
| MP.L2-3.8.7 | Removable Media | — | 13 件中 1 件 |
| MP.L2-3.8.8 | Shared Media | — | 13 件中 1 件 |
| MP.L2-3.8.9 | Protect Backups | バックアップと復旧 | 13 件中 11 件 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | 物理的セキュリティ | 13 件中 8 件 |
| PE.L2-3.10.2 | Monitor Facility | 物理的セキュリティ | 13 件中 8 件 |
| PE.L2-3.10.3 | Escort Visitors | 物理的セキュリティ | 13 件中 8 件 |
| PE.L2-3.10.4 | Physical Access Logs | 物理的セキュリティ | 13 件中 8 件 |
| PE.L2-3.10.5 | Manage Physical Access | 物理的セキュリティ | 13 件中 8 件 |
| PE.L2-3.10.6 | Alternative Work Sites | 物理的セキュリティ | 13 件中 8 件 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | 内部脅威 | 13 件中 8 件 |
| PS.L2-3.9.2 | Personnel Actions | — | 13 件中 1 件 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | リスクマネジメント, リスクアセスメント | 13 件中 10 件 |
| RA.L2-3.11.2 | Vulnerability Scan | 脆弱性管理 | 13 件中 13 件 |
| RA.L2-3.11.3 | Vulnerability Remediation | 脆弱性管理 | 13 件中 13 件 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | ファイアウォール / ネットワークセグメンテーション, Web セキュリティ, ゼロトラスト | 13 件中 9 件 |
| SC.L2-3.13.2 | Security Engineering | セキュア開発 | 13 件中 8 件 |
| SC.L2-3.13.3 | Role Separation | — | 13 件中 1 件 |
| SC.L2-3.13.4 | Shared Resource Control | — | 13 件中 1 件 |
| SC.L2-3.13.5 | Public-Access System Separation | ファイアウォール / ネットワークセグメンテーション | 13 件中 9 件 |
| SC.L2-3.13.6 | Network Communication by Exception | ファイアウォール / ネットワークセグメンテーション, ゼロトラスト | 13 件中 9 件 |
| SC.L2-3.13.7 | Split Tunneling | — | 13 件中 1 件 |
| SC.L2-3.13.8 | Data in Transit | 暗号化 | 13 件中 10 件 |
| SC.L2-3.13.9 | Connections Termination | — | 13 件中 1 件 |
| SC.L2-3.13.10 | Key Management | 暗号化 | 13 件中 10 件 |
| SC.L2-3.13.11 | CUI Encryption | 暗号化 | 13 件中 10 件 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 13 件中 1 件 |
| SC.L2-3.13.13 | Mobile Code | — | 13 件中 1 件 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | なし |
| SC.L2-3.13.15 | Communications Authenticity | — | 13 件中 1 件 |
| SC.L2-3.13.16 | Data at Rest | 暗号化, データ保護 | 13 件中 11 件 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | パッチ管理 | 13 件中 10 件 |
| SI.L2-3.14.2 | Malicious Code Protection | エンドポイント保護, メールセキュリティ | 13 件中 10 件 |
| SI.L2-3.14.3 | Security Alerts & Advisories | 脅威インテリジェンス | 13 件中 6 件 |
| SI.L2-3.14.4 | Update Malicious Code Protection | エンドポイント保護 | 13 件中 10 件 |
| SI.L2-3.14.5 | System & File Scanning | — | 13 件中 1 件 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | 継続的モニタリング, 侵入検知 | 13 件中 11 件 |
| SI.L2-3.14.7 | Identify Unauthorized Use | 継続的モニタリング, 異常検知 | 13 件中 10 件 |
トピックのカバレッジ
CMMCのマッピング済み要件を持つトピック（39件）:
意識向上とトレーニングリスクマネジメントコンプライアンス資産管理リスクアセスメントデータ分類脆弱性管理脅威インテリジェンスアクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストモバイルセキュリティクラウドセキュリティDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応フォレンジックコミュニケーション緩和策報告教訓の反映連絡と復旧内部脅威物理的セキュリティ
当サイトのデータにはマッピングがありません CMMC の要件なし（11）: