C3PAOとは？CMMC認証を支える評価機関の正体

C3PAO（Certified Third-Party Assessment Organization：認定第三者評価機関）とは、CMMCレベル2、そして場合によってはレベル3の認証につながる正式な評価を実施する権限を持つ独立した認定機関です。事業者による自己申告のコンプライアンスと、国防省(Department of War)が認めるCMMC認証との間に立つのがC3PAOであり、その認定の仕組みや実際の評価内容、そして現在どれほど不足しているのかを理解しておくことは、C3PAOによる評価を見据えるすべての組織にとって重要です。

注：CMMCフェーズ2における第三者認証要件は、プログラムの見直しに伴い、2026年7月に国防省により一時停止されています。フェーズ1における既存のC3PAO認定および評価活動、ならびに既に予定されていた審査は継続されます。詳細は「CMMCフェーズIIは一時停止中、それでもDFARSの義務は消えない」をご覧ください。

要旨

要点：C3PAOは、Cyber ABによって認定された独立組織であり、正式なCMMC評価を実施します。事業者が提出する文書上のエビデンスと実際の運用実態を、要求されるコントロール項目と照らし合わせて評価し、その認証こそが、自己認証だけでは得られない「コンプライアンス主張への信頼性」を契約担当官に提供します。

なぜ重要なのか：将来的にレベル2認証が必要となる可能性のある8万社を超える国防産業基盤（DIB）事業者に対し、認定を受けたC3PAOは80社未満しか存在しません。この供給不足により、評価のスケジューリングが実質的なボトルネックとなり得ます。正式な評価が必要になる前の早い段階からC3PAOと関わりを持つことには、単にコンプライアンスの要件を満たすという以上の、実務上の価値があります。

重要なポイント

1. C3PAOは、CMMCの評価体制全体を監督する唯一の認可組織であるCyber ABによって認定されます。Cyber AB（2022年のリブランディング以前はCMMC-AB、CMMC Accreditation Bodyとして知られていました）は、ISO/IEC 17020に基づいてC3PAOを認定し、C3PAOに所属する個々の評価担当者を認証し、認証発行前に評価報告書の品質をレビューします。
2. C3PAOによる評価は、単なる書類確認ではありません。インタビューや技術的な検証も含まれます。評価担当者は、System Security Plan（SSP）とその根拠資料を確認するだけでなく、担当者へのインタビューを通じて文書化されたプロセスが実際の運用と一致しているかを確認し、書類だけに頼らず技術的なコントロールを直接検証します。
3. 8万社を超える潜在的なDIB事業者に対して、認定されたC3PAOは80社未満しか存在しません。この不足は現実的な制約です。評価のスケジュール調整の遅れはコンプライアンス対応全体のスケジュールに影響を及ぼし、認証取得が急務となってから動き始める事業者は、認定評価機関の空き状況が限られていることに気づくケースが少なくありません。
4. 正式な評価が義務化される前からC3PAOと関わりを持つことは、単なるコンプライアンス上の形式ではなく、サイバーセキュリティの成熟度の証です。必須の認証イベントの前に、準備状況のレビューやギャップ評価をC3PAOに依頼する組織は、単なる合否判定ではなく、実際のセキュリティ体制に関する専門的で直接的なフィードバックを得られます。このフィードバックは、どの評価担当者が関わるかにかかわらず、根本的なプログラムの強化に一貫してつながります。
5. すべてのレベル2契約でC3PAOが必要というわけではありません。自己評価が認められる場合もあります。最も重要な国家安全保障情報を扱うプログラムでは第三者認証が求められますが、その他のレベル2契約では自己評価が認められる場合があります。C3PAOに依頼する（あるいは依頼しない）前に、自社の契約にどちらが適用されるかを確認することが不可欠な最初のステップです。

CMMCの評価体制におけるC3PAOの位置づけ

CMMCの評価インフラは二層構造になっており、両方を理解することでC3PAOの実態がより明確になります。Cyber AB — 国防省から唯一認可を受け、CMMCの評価体制全体を監督する組織 — は、C3PAOを認定し、C3PAOに所属する個々の評価担当者（Certified CMMC Assessor：CCA）を認証し、公開されているCyber AB Marketplaceのディレクトリを管理し、認証確定前に完了した評価報告書の品質レビューを行います。Cyber AB自身は評価を実施しません。評価を実施するのはC3PAOです。

C3PAOとは、事業者が正式なレベル2またはレベル3評価を依頼する際に実際に契約する独立した機関です。認定を受けるには、ISO/IEC 17020（検査機関に関する国際規格）に基づく認可を受け、CCA資格を持つ評価担当者を雇用し、Cyber ABが定めるライセンス、保険、費用に関する要件を満たす必要があります。認定されたC3PAOは、cyberab.orgのCyber AB Marketplaceで公開されており、特定の企業が現在有効な認定を保持しているかを確認できる公式なディレクトリとなっています。

C3PAOによる評価の実際の内容

C3PAOによる評価は、書類の確認だけでは終わりません。評価担当者は、System Security Plan（SSP）とその根拠資料 — 設定記録、アクセス制御方針、監査ログ、トレーニング記録など — を、要求される個々のコントロール項目と照らし合わせて確認します。また、コントロールの実装と維持に直接関わる担当者にインタビューを行い、文書化されたプロセスが単なる記載事項ではなく、日々の実務を正しく反映しているかを確認します。さらに、システムの設定やログを直接確認する技術的検証も行い、書類の内容をそのまま受け入れることはありません。

この「文書確認・インタビュー・技術的検証」という組み合わせこそが、C3PAOによる認証を自己認証よりも重みのあるものにしています。独立した第三者が、複数の形式のエビデンスを通じて、事業者のコンプライアンスに関する主張が実態を反映していることを確認するのです。これが自己評価とどう異なるのか、また認証後に何が起こるのかについては、CMMC評価の実施内容と合格後の流れに関するガイドをご覧ください。

C3PAOの不足は現実的な制約である

コンプライアンス対応のスケジュールを立てる際、この数字は真剣に受け止める価値があります。現在、C3PAOの認定を受けている組織は80社未満であるのに対し、国防産業基盤（DIB）全体では8万社を超える組織が将来的にレベル2認証を必要とする可能性があります。これは大きな供給ギャップであり、実務上の影響も伴います。評価スケジュールの遅れは、他に残っているコンプライアンス対応の作業とも重なり合い、認証取得が急務となってから動き出す事業者 — 入札期限が迫っている、契約更新のリスクがある、といった状況の事業者 — は、評価担当者の空き状況が自社のスケジュールに合わないことに気づくケースが少なくありません。

これは、正式な評価が厳密に必要となるタイミングよりも早く、C3PAOとの関わりを持つべき理由として、具体的でありながら見過ごされがちな理由の一つです。

早期にC3PAOと関わることには、認証取得そのものを超えた価値がある

正式な認証イベントよりも前に、準備状況のレビューや予備的なギャップ評価のために認定C3PAOと関わることは、単に契約上求められた際に済ませるコンプライアンス上の形式ではなく、サイバーセキュリティの成熟度そのものを示すものとして捉える価値があります。

この価値は、どの企業に依頼するかによって変わるものではありません。認定を受けたC3PAOであれば、どこも同じ核となる強みを持っています。それは、DIB事業者を日常的に評価している評価担当者であり、自らの環境を評価する社内チームでは見落としがちなギャップや誤解を見つけ出せる存在です。まだ対応する時間が残っている段階で得られる、こうした専門的かつ独立した視点によるフィードバックは — 正式に採点される評価の場ではなく — それを求めた組織に一貫して利益をもたらします。認証が厳密に必要となる前に構築されたC3PAOとの関係は、どの認定機関が関わっているかにかかわらず、より強固なセキュリティプログラムと、より円滑な最終評価につながる傾向があります。

KiteworksをはじめとするいくつかのC3PAOやプラットフォームベンダーは、このプロセスを効率化することを目的とした体系的なパートナーシップを構築しています。KiteworksとA-LIGN — CMMCレベル2評価において豊富な経験を持つC3PAO — との最近のパートナーシップは、こうした市場における協業の一例です。評価対応力への需要が高まるにつれて、こうした取り組みはより一般的になってきていますが、そこから見えてくるより大きなポイントは変わりません。どの評価担当者を選ぶかよりも、早期に関わりを持ち、得られたフィードバックを真剣に受け止めるという判断そのものが重要なのです。

C3PAOによる評価が自社の契約に適用されるかどうかの確認

すべてのレベル2プログラムで第三者認証が必要というわけではありません。最も重要な国家安全保障情報を扱う契約では、一般的にC3PAOによる評価が求められますが、その他のレベル2契約では自己評価が認められる場合があります。どちらが適用されるかは、契約書の記載内容やプライム契約者からのフローダウン要件を直接確認して判断してください。自己評価のみで済む契約にC3PAOを依頼すれば不要なコストが発生しますし、逆に実際にはC3PAO認証が必要な契約で自己評価で十分だと判断してしまうと、後になって発覚するコンプライアンス上のギャップを生み出すことになります。どちらの道が適用されるかの判断方法については、CMMC自己評価ガイドをご覧ください。

KiteworksによるC3PAO評価対応支援

Kiteworksは、CMMC 2.0レベル2要件の約90%を標準機能で満たしており、自己評価と正式なC3PAOによる評価のどちらを準備している組織にとっても、強力な出発点となります。統合されたData Policy Engineは、セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTP全体にわたって、アクセス制御、暗号化、監査ログを統合管理します。これは、C3PAOが最も重視するコントロールファミリー — アクセス制御、監査と責任追跡性、コンフィグレーション管理、識別と認証、システムおよび通信の保護 — をまさに網羅するものです。

すべてのチャネルにわたる単一の統合された改ざん不可能な監査証跡により、組織が分断されたシステムからログを手作業で集める必要なく、評価担当者に完全かつ改ざん検知可能なエビデンスパッケージを提供できます。これにより、準備の負担が軽減されるとともに、より統合された環境であれば発生しなかったはずの文書上のギャップが評価中に発覚するリスクも低減されます。Kiteworksはまた、FedRAMP Moderate認証を取得しており、2017年6月以降毎年、認定を受けた第三者機関による独立した評価を受けています。これにより、文書化されたコントロールの継承関係が提供され、どのC3PAOにとっても評価の強力な出発点となります。

KiteworksがC3PAO評価への準備をどのように支援できるかについては、カスタムデモをご予約ください。

リスク＆コンプライアンス用語集に戻る