CMMC自己評価:審査前に準備状況を正しく把握する方法

自己評価はCMMCにおいて常設的に求められる要件です。レベル1では必須であり、最重要の国家安全保障情報を扱わない多くのレベル2契約においても認められています。しかし自己評価には、最終的にどの評価タイプが適用されるかにかかわらず、ほぼすべての防衛関連企業にとって有用な、もう一つの側面があります。それは、他者から指摘される前に、自社の実際の立ち位置を正直かつ体系的に把握する手段だということです。

C3PAO認証の取得を目指す組織にとっても、準備段階としての自己評価は有益です。自己評価は、評価がすでに始まってしまった後ではなく、まだギャップを解消する時間がある段階でそれを洗い出すための準備確認となります。本ガイドでは、正確な自己評価を実施する方法、企業が気づかないうちにスコアを実態以上に高く見せてしまう典型的なミス、そして自己評価を常設的なコンプライアンス要件として、あるいは将来の第三者審査に向けた準備として活用する方法について解説します。

注:CMMCフェーズ2の第三者認証要件は、プログラム見直しを理由に2026年7月、戦争省により一時停止されています。一方、年次確認を含む自己評価要件は引き続き全面的に有効です。詳細については「CMMCフェーズ2は停止中でも、DFARS義務は停止していない」をご覧ください。

CMMC自己評価：企業向け包括ガイド

エグゼクティブサマリー

要旨: 自己評価とは、自社の環境を必須のCMMC管理策と照らし合わせて評価し、そのスコアをSPRS(Supplier Performance Risk System)に報告するプロセスです。これはレベル1および多くのレベル2契約において常設的に求められる要件であり、最終的にC3PAO認証を目指す組織にとっても有用な準備確認となります。ただし、その正確性はプロセスの厳密さに全面的に依存します。

注目すべき理由: Kiteworksが2026年8月に実施した、防衛産業基盤(DIB)の273組織を対象とする独自調査では、「自信」と「根拠」の間に大きな乖離があることが明らかになりました。回答者の96%が、自己申告したSPRSスコアが審査に耐えうると確信していると回答した一方、同調査では、その自信が現行要件に関する実際の理解度とは相関していないことも判明しました。さらに、すでに認証要件を満たしている組織の約3分の1が、コンプライアンス成熟度とガバナンス対応の両面で低いスコアを記録していました。不正確な自己評価は単なる書類上の問題ではありません。それは虚偽請求法(False Claims Act)上のリスクであり、調査対象企業の84%がすでにこの点を懸念していると回答しています。

重要ポイント

自己評価はレベル1に限定されず、多くのレベル2契約にも適用されます。レベル1は常に自己評価の対象です。最重要の国家安全保障情報を扱わないレベル2契約についても、プログラムの内容によっては、完全なC3PAO認証ではなく自己評価の対象となる場合があります。
自己評価は、最終的にどの評価タイプが適用されるかにかかわらず、実践的な準備確認としても機能します。C3PAO認証を目指す組織の多くは、正式でリスクの高い審査が始まる前に、是正の時間がまだあるうちにギャップを洗い出すため、まず社内で自己評価を実施しています。
自己評価スコアに対する「自信」と、そのスコアの「正確性」は別物です。DIBを対象とした調査データによると、現行要件の理解について「非常に自信がある」と回答した企業は、「ある程度自信がある」と回答した企業と比較して、事実確認テストの正答率に差がありませんでした。自信と正確性は同じ尺度では測れないのです。
最も多いスコアリングの誤りは、部分的または計画段階の実装を「完全実装」として扱ってしまうことです。設定は済んでいるが全社展開されていない管理策や、現在の実践ではなく将来の計画として文書化されている管理策は、実際に実装されている管理策とは異なります。しかし、これらはしばしば「実装済み」としてスコアリングされ、結果としてSPRSスコアが実態より高く算出されてしまいます。
不正確な自己申告スコアは、コンプライアンス上のリスクだけでなく、法的リスクも伴います。米国司法省(DoJ)の「民事サイバー詐欺イニシアチブ」は、サイバーセキュリティ・コンプライアンスを偽って表示した企業に対し、虚偽請求法に基づく訴追を行っています。調査対象企業の大多数が、まさにこのリスクを理由にすでに法務・コンプライアンス部門によるレビューを実施していると回答しています。

自己評価の実際の仕組み

自己評価では、自社のレベルに求められるすべての管理策 — レベル1では17の実践項目、レベル2では110項目すべてのNIST SP 800-171管理策 — と照らして自社環境を評価し、その結果をSPRS(Supplier Performance Risk System)に報告する必要があります。レベル2の標準的な採点方式では、完全に実装されていない管理策ごとに減点が行われ、組織が完全準拠にどれだけ近いかを反映するスコアが算出されます。

その後、企業の上級責任者がその評価の正確性を正式に確認(アフィメーション)します。この確認は、見た目以上に重要な意味を持ちます。これは組織全体としての一般的な保証ではなく、報告されたスコアが実態を反映していることを保証する、個人による具体的な宣誓だからです。この違いこそが、確認内容が不正確だった場合に個人および組織に法的リスクをもたらす要因となります。

スコアには有効期間が定められていますが、その間も継続的な準拠を確認する年次アフィメーションが求められます。つまり、恒常的な要件が自己評価である組織にとっても、自己評価は一度きりのイベントではないということです。

スコアを実態以上に高く見せてしまう典型的なミス

自己評価の正確性は、そのプロセスの厳密さに左右されます。後になってスコアが審査に耐えられないことが判明する組織には、共通して見られるいくつかの典型的なミスがあります。

計画段階または部分的な実装を「完全実装」としてスコアリングしてしまう。これは最も多く見られる誤りです。テスト環境では設定済みだが全社展開されていない管理策や、現在の実践ではなく近い将来の計画として文書化されている管理策は、完全には実装されていません。しかし、特に強いスコアを報告しなければならないという締め切りのプレッシャーの下では、これらが「実装済み」としてスコアリングされがちです。

スコープの設定漏れ。正確な自己評価には、明白なシステムだけでなく、CUI(管理対象非機密情報)やFCI(連邦契約情報)に触れるすべてのシステムを把握している必要があります。メール、ファイル共有、Webフォーム、第三者が管理するシステムなどは評価のスコープから除外されがちで、その結果、組織の実際の環境の一部しか反映していないスコアが算出されてしまいます。

文書化の不備と実装の不備を混同してしまう。実際には実装されているものの文書化が不十分な管理策は、まったく実装されていない管理策とは異なる問題です。しかし自己評価ではこの二つが混同されることがあり、書類が薄いという理由で実際に機能している管理策を過小評価したり、方針文書が意図を記載しているに過ぎないのに実践を反映しているかのように扱い、存在しない管理策を過大評価したりするケースが見られます。

「自信」が「検証」の代わりになってしまう。DIBを対象とした調査データでは、企業が自己評価スコアに対して表明する自信の度合いは、現行要件に関する実際の(テストで測定された)理解度とは相関しないことが分かりました。「非常に自信がある」と回答した企業は、「ある程度自信がある」と回答した企業と、事実確認テストで同水準の結果しか出せなかったのです。自信は根拠ではありません。印象に基づいて構築され、各管理策の直接的な検証を伴わない自己評価は、最悪のタイミング — 監査、インシデント調査、あるいは虚偽請求法に基づく調査の最中 — で表面化するタイプのギャップそのものです。

C3PAO認証準備としての自己評価の活用

最終的な要件が第三者認証であっても、まず社内で自己評価を実施することは一般的かつ有効な取り組みです。これにより、C3PAOが発見するのと同じギャップを洗い出すことができます。しかも、正式な評価が始まってからではなく、自社がスケジュールをコントロールできる段階で是正が可能です。正式な評価中に発見されたギャップは、認証の遅延や追加の評価費用につながりかねません。

正確な自己評価に求められる規律 — 実態に即したスコープ設定、部分実装の正直な評価、そして実際の実践と一致した文書化 — は、C3PAO審査が文書レビュー、インタビュー、技術的検証を通じて直接検証する規律と同じものです。正式な評価プロセスの具体的な内容については、CMMC評価中および合格後に何が起こるかに関するガイドをご覧ください。

Kiteworksでは、数分でパーソナライズされたギャップ分析とコンプライアンス準備状況スコアを生成する無料のCMMC 2.0準備状況評価を提供しています。常設的な自己評価要件への対応としても、C3PAO審査に向けた準備の第一歩としても、実践的な出発点となります。

自己評価の正確性が見た目以上に重要な理由

Kiteworksが2026年8月に実施した、DoW業務に関わることが確認された273組織を対象とする調査では、注目すべき傾向が明らかになりました。回答者の96%が、自己申告したSPRSスコアは審査に耐えうると確信していると回答した一方で、その自信の大部分は実際の根拠から切り離されていました。本調査では「CMMCコンプライアンス成熟度スコア」と「一時停止ガバナンススコア」という二つの指標を導入し、これらを単純平均ではなく乗算によって組み合わせた結果(優れたコンプライアンス実績が受動的なガバナンス対応を補うことはできず、その逆も同様であるため)、すでに認証要件を満たしている組織群のうち約3分の1が、両方の指標で同時に低いスコアを記録していることが判明しました。

同調査では、フェーズ1の自己評価義務が現在のフェーズ2一時停止期間中も継続していることを知らなかった企業が48%に上ることも判明しました。これは単純な事実誤認ですが、深刻な結果を招きかねません。CMMCの義務がすべて一時停止されていると誤って認識している組織は、定義上、依然として全面的に有効な自己評価およびアフィメーション要件を維持できていないことになるからです。さらに、回答者の84%が不正確な自己申告スコアによる虚偽請求法上のリスクを懸念していると回答し、92%がその結果としてすでに法務・コンプライアンスレビューを実施していると回答しています。詳細な調査結果については「DIBにおけるCMMC 2.0準備状況の実態」をご覧ください。

Kiteworksが正確な自己評価を支援する仕組み

Kiteworksは、CMMC 2.0レベル2要件の90%近くを標準機能で満たしており、実装を支える同じ基盤が、正確な自己評価に必要な根拠(エビデンス)の提示も支えます。統合されたデータポリシーエンジンが、セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTPにわたるアクセス制御、暗号化、監査ログを一元化します。これにより、スコープ設定の問題に直接対応できます。CUIがこれらのいずれのチャネルを通過しても可視化・管理され、評価のスコープから漏れがちな分断されたシステムに分散することがなくなるためです。

一元化された改ざん不可能な監査証跡があれば、現行の実践を反映しているとは限らない方針文書に基づく「コンプライアンスらしさ」の印象ではなく、実際に評価の根拠とできる確かなエビデンスを組織にもたらします。エビデンスと自信の違い — これこそが、DIB調査データにおいて多くの企業に現在欠けていることが明らかになった点です。

Kiteworksが正確で説明責任を果たせる自己評価をどのように支援するかについては、カスタムデモのご依頼、または無料のCMMC 2.0準備状況評価からお試しください。

よくあるご質問

いいえ。自己評価はレベル1では常に必須ですが、多くのレベル2契約にも適用されます。具体的には、最重要の国家安全保障情報を扱わない契約が該当します。より高い重要度基準を満たすレベル2契約では、代わりに第三者によるC3PAO認証が必要です。特定のレベル2契約に自己評価とC3PAO認証のどちらが適用されるかはプログラムごとに異なるため、企業はどちらかが自動的に適用されると想定せず、直接確認する必要があります。

計画段階または部分的に実装された管理策を、完全に実装されているかのようにスコアリングしてしまうことです。テスト環境で設定されているだけの管理策、近い将来の計画として文書化されているだけの管理策、あるいは組織の一部にしか展開されていない管理策は、完全かつ一貫して機能している管理策とは異なります。しかし、特に強いスコアを報告しなければならないというプレッシャーの下では、これらが「完了」としてスコアリングされがちです。また、CUIに触れるメールや第三者管理のツールなどのシステムをスコープから除外してしまう「スコープ設定の漏れ」も、不正確なスコアの一般的な原因です。

はい。正式なC3PAO審査の前に社内で自己評価を実施することは、一般的かつ有効な取り組みです。第三者評価者が発見するのと同じギャップを、組織が是正のスケジュールをコントロールできる段階で洗い出せるためです。自己評価の段階でギャップを発見すれば、それを修正する時間があります。しかし、実際のC3PAO審査中に同じギャップが発見されると、認証が遅延したり、追加コストが発生したりする可能性があります。正確な自己評価に求められる厳密さ — 実態に即したスコープ設定、正直なスコアリング、実践と一致した文書化 — は、C3PAO審査が直接検証する規律そのものです。

不正確な自己申告CMMCスコアは、組織およびそれを確認(アフィメーション)した個人を、米国司法省の「民事サイバー詐欺イニシアチブ」に基づく虚偽請求法上の責任にさらす可能性があります。このイニシアチブは、サイバーセキュリティ・コンプライアンスを偽って表示した事案を特に追及しています。DIBを対象とした調査データによると、企業の84%がすでにこのリスクを懸念しており、92%がその直接的な結果として法務・コンプライアンスレビューを実施していると回答しています。これは、自己評価の正確性が技術的・事務的な問題としてだけでなく、法的な問題として業界全体で認識されていることを反映しています。

リスクとコンプライアンス用語集に戻る