CMMCレベル2とは:求められる要件とレベル1・レベル3との位置づけ

CMMCレベル2は、最も多くの防衛関連企業・下請け業者が該当する認証区分であり、防衛産業基盤(DIB)に属するほとんどの組織が正しく理解しておくべきものです。この枠組みは3段階で構成されており、レベル2はその中間に位置します——レベル1よりも厳格でありながら、レベル3ほど高度な要求はありません。この「中間的な立ち位置」こそが、単独でではなく前後の文脈の中で理解する価値がある理由です。

本ガイドでは、レベル2に求められる要件、下位のレベル1および上位のレベル3との違い、そしてレベル2認証が契約担当官に対して自社のセキュリティ体制について何を証明し、何を証明しないのかを解説します。

注:CMMCフェーズ2における第三者認証要件は、プログラム見直しのため2026年7月に戦争省(Department of War)により一時停止されました。レベル2の自己評価要件は引き続き有効です。詳細は「CMMCフェーズ2は停止中、しかしDFARS義務は消えていない」をご覧ください。

エグゼクティブサマリー

要点: CMMCレベル2では、管理対象非機密情報(CUI)を保護するためにNIST SP 800-171の110項目すべての管理策を実装することが求められ、プログラムの重要度に応じて自己評価または第三者機関(C3PAO)による認証で検証されます。レベル1の基本的な17項目の防御策から大きく引き上げられた水準ですが、最重要な国家安全保障プログラム向けにレベル3が追加するNIST SP 800-172の強化管理策までは含まれません。

重要な理由: 適切なレベルを選ばない、あるいは思い込みで判断してしまうことは、企業が犯しがちな最も一般的で高くつく失敗の一つです。契約でレベル2が求められているにもかかわらず準備不足のまま臨めば、入札資格を失います。逆に、契約がレベル2までしか求めていないのにレベル3相当の管理策に過剰投資すれば、不要な予算を浪費することになります。レベル2が正確に何をカバーし、何をカバーしないのかを把握することこそが、コンプライアンス投資を適切に調整するための鍵となります。

重要ポイント

1. レベル2は、取り扱うデータの種類——管理対象非機密情報(CUI)——によって定義されます。 自社が連邦契約情報(FCI)のみを扱っている場合は、レベル2ではなくレベル1が必要です。レベル2は、国防総省(DoD)との契約の下でCUIを処理・保存・送信する契約企業および下請け業者に特に適用されます。
2. レベル2ではNIST SP 800-171の110項目すべての管理策が必要です——レベル1はわずか17項目です。 これはCMMCの枠組みの中で最も大きな単一のジャンプです。レベル1の基本的な防御策は基礎的な衛生管理をカバーするものですが、レベル2ではNIST SP 800-171の14の管理領域すべてにわたる包括的な実装が求められ、はるかに規模が大きく厳格な取り組みとなります。
3. レベル2の検証方法はプログラムの重要度によって異なり、すべてのレベル2契約が同じ評価方式を求められるわけではありません。 国家安全保障上重要な情報を扱うプログラムには、第三者機関(C3PAO)による認証が求められます。その基準に満たないレベル2プログラムの一部では、代わりに経営幹部による表明を伴う年次自己評価で認められる場合があります——これはコンプライアンスのスケジュールとコストを見積もる契約企業にとって、実務上重要な違いです。
4. レベル2はNIST SP 800-171の実装を証明するものであり、レベル3の強化管理策は含まれません。 最優先プログラム向けに設けられたレベル3は、レベル2の基準を完全に満たした上で、さらにNIST SP 800-172に基づく追加の管理策を求めます。レベル2認証はレベル3相当のプログラムへの準備が整っていることを意味するものではなく、最も機密性の高い国家安全保障関連の業務に入札する企業は、レベル2で十分だと思い込むべきではありません。
5. レベル2があって初めて得られる契約適格性があり、レベル1だけでは足りません。 CUIを伴う国防総省(DoD)の契約はすべてレベル2を必要とし、レベル1の基本的な防御策をどれほどしっかり実装していても関係ありません。レベル1のみを取得した組織は、実質的な防衛関連契約の大部分から構造的に除外されます。なぜなら、ほとんどの防衛関連業務は契約のライフサイクルのどこかの時点でCUIを伴うからです。

CMMCの3段階レベルの関係性

CMMC 2.0の3つのレベルは、企業の規模や収益といったビジネス上の特性ではなく、契約企業が取り扱うデータの機密性に直接紐づいた階層構造を成しています。レベル2がこの階層のどこに位置するのかを理解することが、自社にとって本当に適切な目標がどれかを見極める最も確実な方法です。

レベル1(基礎レベル)は、連邦契約情報(FCI)のみを扱う契約企業に適用されます。FCIとは、契約に基づき政府から提供された、あるいは政府のために作成された情報で、一般公開を意図していないものの、CUIほどの機密性には至らない情報を指します。レベル1では、FAR 52.204-21に基づく17項目の基本的な防御策が求められ、年次の自己評価によって検証されます。レベル1では、いかなる状況でも第三者認証は求められません。

レベル2(上級レベル)は、CUIを扱う契約企業に適用されます。CUIは、技術図面、輸出管理対象データなど、法律・規制・政府全体の方針に基づき保護が義務付けられている、より広範かつ機密性の高い情報カテゴリーです。レベル2では、NIST SP 800-171で規定された110項目のセキュリティ管理策すべての実装が求められ、対象プログラムの重要度に応じて自己評価または第三者機関(C3PAO)による認証で検証されます。

レベル3(エキスパートレベル)は、最も機密性の高いCUIを扱う最優先プログラム——一般に高度な国家的脅威主体にとって最も狙われやすい対象——に適用されます。レベル3では、レベル2の基準をすべて満たした上で、NIST SP 800-172に基づく強化セキュリティ要件の一部が追加され、C3PAOではなく政府主導の評価によって検証されます。

実務上重要なのは、各レベルが「積み上げ式」になっているという点です。レベル2はレベル1の要件を置き換えるものではなく、それらを内包した上でさらに多くを求めます。レベル3もレベル2を置き換えるものではなく、その上に積み上げられます。つまり、レベル2の認証を取得した組織は、より広範なレベル2の管理策セットの一部として、事実上すでにレベル1の要件を満たしていることになります。

レベル1にはなく、レベル2で求められること

レベル1からレベル2への引き上げ幅は大きく、段階的な変化ではなく、範囲と厳格さの両面における大幅な拡張です。

レベル1の17項目は、ユーザーの識別・認証、物理的アクセスの制限、公開情報の管理といった基本的なサイバー衛生をカバーするものです。これは意味のある最低ラインではありますが、政府関連情報の中でも最も機密性の低いカテゴリーを想定した、あくまで低い水準にとどまります。

レベル2の110項目の管理策は、アクセス制御、監査及び説明責任、意識向上及び訓練、構成管理、識別及び認証、インシデント対応、保守、媒体保護、要員のセキュリティ、物理的保護、リスクアセスメント、セキュリティアセスメント、システム及び通信の保護、システム及び情報の完全性というNIST SP 800-171の14の管理領域すべてに及びます。これには、個々のユーザーの行動を追跡できるレベルの監査ログ、FIPS認証済み暗号技術を用いた保管時・転送時のCUI暗号化、報告期限が義務付けられた正式なインシデント対応体制、継続的に実施される文書化されたリスクアセスメントなど、レベル1がまったく触れていない要件も含まれます。

検証にかかる負担も大きく変わります。レベル1は常に自己評価で完結します。一方レベル2では、プログラムの重要度によっては、認定を受けたC3PAOによる厳格な第三者評価——文書の精査、インタビューの実施、システムの現地またはオンラインでの検査を含む——が求められる場合があります。これは、レベル1の自己評価とは比較にならないほど負担が大きく、コストのかかるプロセスです。

レベル2ではカバーされず、レベル3で求められること

レベル2の要件を理解することと同じくらい、その限界を理解することも重要です。特に、レベル2認証さえあれば、最も機密性の高い国家安全保障プログラムを含むあらゆる国防総省案件に対応できると思い込んでしまう契約企業にとっては、なおさらです。

レベル3では、高度で持続的な脅威(APT)——豊富なリソースと忍耐力を持ち、長期間にわたって最も価値のある防衛情報を狙う、しばしば国家が関与する高度な脅威主体——に対応するために設計された、NIST SP 800-172に基づく強化セキュリティ要件が追加されます。これらの強化要件は、高度な脅威ハンティング能力、より厳格なサプライチェーンリスク管理、内部脅威に対する強化された防御策といった領域で、NIST SP 800-171の基準を超えるものです。

レベル3では、評価を実施する主体も変わります。C3PAOではなく政府が主導して検証を行うことで、このレベルが保護するプログラムの機密性の高さを反映しています。レベル2認証がどれほど厳格に取得されたものであっても、このレベルへの準備が整っていることを意味するわけではありません。契約企業は、レベル3を明確に求められているプログラムに対して、レベル2認証で十分だと主張すべきではありません。

実際には、レベル3を必要とするDIB契約はごく一部——最も機密性が高く価値のある国家安全保障情報を扱う案件——に限られます。CUIを扱う契約企業の多くにとって、レベル2は必要かつ十分な水準となるはずです。

自社に適用されるレベルの見極め方

特定の契約に求められるレベルは、扱うデータの種類によって決まり、通常は契約企業の判断に委ねられるものではなく、契約書や公募要領そのものに明記されています。求められる具体的なレベルについては、元請け企業からのフローダウン要件、または自社が直接締結する契約書の文言を確認してください。

特にレベル2のプログラムについては、自己評価が認められる区分に該当するのか、それとも完全なC3PAOによる第三者認証が必要なのかを確認してください。この違いはコンプライアンスのスケジュールとコストに大きく影響しますが、対象プログラムの要件を詳細に確認しない限り、必ずしも明らかではありません。レベル2評価の準備から完了までの詳細なプロセスについてはCMMCレベル2評価ガイドをご覧ください。初期のギャップ分析から認証取得までの全体的な流れについてはCMMC 2.0ロードマップを、レベル2で求められる管理策を領域ごとにまとめた実用的なチェックリストについてはCMMC 2.0コンプライアンスチェックリストをご参照ください。

KiteworksによるCMMCレベル2コンプライアンス支援

Kiteworksは、標準機能だけでCMMC 2.0レベル2要件の約90%をサポートします。CUIが行き交うあらゆるチャネル——セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTP、セキュアデータフォーム、API——を、統合されたデータポリシーエンジンを備えた単一のガバナンスプラットフォームに集約します。

ファイルおよびディスクレベルでのAES-256暗号化、FIPS 140-3認証済み暗号モジュール、そして顧客自身が管理する暗号鍵は、レベル2の「システム及び通信の保護」要件に直接対応します。あらゆるチャネルを横断する一元化された改ざん不可能な監査証跡は、レベル2の「監査及び説明責任」要件の証拠基盤となり、自己評価用の文書とC3PAO評価者の双方に対して、分断されたシステムに散らばる断片的な記録ではなく、統一された記録を提供します。Kiteworksはさらに、2017年6月から独立した評価を受け続けているFedRAMP Moderate認証を取得しており、文書化された管理策の継承により、レベル2認証における評価範囲を圧縮することができます。

KiteworksがCMMCレベル2認証取得への道のりをどのように支援できるか、詳しくはカスタムデモのご予約からご確認ください。

関連リソース

• ブログ記事 中小企業のためのCMMCコンプライアンス:課題と解決策
• ブログ記事 DIBサプライヤーのためのCMMCコンプライアンスガイド
• ブログ記事 CMMC監査要件:評価者が準備状況を判断する際に確認するポイント
• ガイド 機密コンテンツ通信のためのCMMC 2.0コンプライアンスマッピング
• ブログ記事 CMMCコンプライアンスの本当のコスト:防衛関連企業が予算化すべきもの

 

リスク＆コンプライアンス用語集に戻る