CMMCレベル2の文書化要件

管理された未分類情報（CUI）を取り扱う製造業は、CMMCレベル2の下でこれまでにない文書化要件に直面しています。防衛製造分野で発生した最近のサイバーセキュリティインシデントは、単なるポリシーの存在証明だけでなく、コントロールの有効性や継続的な改善を証明する包括的な文書化の重要性を浮き彫りにしています。

この包括的なガイドは、製造業のリーダーがレベル2の文書化要件を理解し、実装し、維持するために必要なすべての情報を提供します。文書化が必要な110の具体的な管理策、導入コスト、証拠要件、そして運用効率を維持しながら認証を達成するための実証済みの戦略を解説します。

エグゼクティブサマリー

主なポイント：CMMCレベル2は、管理された未分類情報を保護するために、製造業に対して14のセキュリティドメインにわたる110の包括的なサイバーセキュリティ管理策の文書化を求めており、CMMCフレームワークの中で最も大きなコンプライアンス上の課題となる一方、防衛製造契約の大部分へのアクセスを可能にします。

なぜ重要か：技術仕様書、設計図面、機密性の高い防衛データを取り扱う製造業は、主要請負業者の機会や国防総省（DoD）との直接契約にアクセスするためにレベル2認証を取得する必要があります。適切なレベル2文書化がなければ、最も価値の高い防衛製造の機会を失うことになり、認証取得企業は競争優位性とセキュリティ体制の強化を得られます。

主なポイント

1. CMMCレベル2は製造業における管理された未分類情報を保護します。 技術仕様、設計図面、性能データ、製造プロセスを取り扱う企業は、防衛契約の資格を得るためにレベル2認証が必要です。
2. 文書化は14の包括的なセキュリティドメインにわたる110の管理策をカバーします。 レベル1からの大幅な拡張で、監査責任、構成管理、インシデント対応、リスク評価、継続的な監視要件が含まれます。
3. 導入投資は通常20万～50万ドルの範囲です。 業界推定によれば、中堅製造業は大規模な技術インフラ、包括的な文書化、専門的な人材育成が必要です。
4. 有効性の証拠がレベル2とレベル1の違いです。 基本的なレベル1コンプライアンスとは異なり、レベル2ではセキュリティ管理策が効果的に機能していることを継続的な監視と定期的な評価で証明する必要があります。
5. 製造業特有の課題には専門的なアプローチが必要です。 OT（運用技術）統合、サプライチェーンセキュリティ、知的財産保護など、独自の実装課題があり、専門家の指導が求められます。

CMMCレベル2とは：CUI保護の基準

CMMCレベル2は、管理された未分類情報（CUI）―連邦ガイドラインの下で保護が求められる機密性の高い未分類情報―を取り扱う製造業に適用されます。

製造業におけるCUIの種類

製造業は、レベル2での保護が必要な多様な管理された未分類情報を取り扱っています：

技術・エンジニアリングデータ：技術仕様には、製品の能力や製造基準を定義する詳細なエンジニアリング要件や性能仕様が含まれます。設計図面は、正確な生産に不可欠な技術的設計図や設計文書です。性能データには、テスト結果、能力評価、運用パラメータなど、製品の有効性を示す情報が含まれます。

ビジネス・プロセス情報：製造プロセスには、競争優位性をもたらす独自の生産手法や品質手順が含まれます。サプライチェーン情報は、サプライヤーリスト、調達戦略、調達詳細など、開示されると競争上の地位を損なう可能性のある情報です。財務情報には、コスト提案、価格データ、契約財務条件など、連邦ガイドラインの下で保護が求められる情報が含まれます。

どの製造業がレベル2を必要とするか

製造業の分野ごとにCUIの露出レベルやレベル2要件が異なります：

航空宇宙・防衛製造 – 航空機部品、アビオニクス、防衛システムなど、広範な技術仕様や性能データを取り扱い、包括的な保護が必要です。

電子・半導体製造 – 防衛用途向けの特殊部品を開発し、詳細な技術文書やテスト要件がCUIに該当します。

先端材料製造 – 防衛・航空宇宙用途の特殊材料を開発し、独自プロセスや性能特性を扱うため、レベル2保護が求められます。

精密製造 – 防衛システム向けの高精度部品を生産し、詳細な仕様や品質文書が連邦ガイドラインの下でCUIとなります。

レベル2認証のビジネスインパクト

レベル2認証を取得することで、主要防衛企業とのプライム契約機会にアクセスでき、市場範囲や契約価値の拡大が可能になります。技術仕様を含む国防総省との直接契約にも参入でき、中間業者を排除し利益率を向上させます。

認証取得により、防衛用途の研究開発プログラムにも参加でき、最先端技術開発の機会が得られます。何よりも、CUI保護が求められる防衛顧客との既存関係を維持し、現在の収益源を守りつつ将来の成長も実現できます。

重要なビジネス現実：適切なCMMCレベル2文書化要件を満たさない製造業は、CUIを含むDoD契約から排除されます。これは防衛製造の大きな割合を占めるため、市場アクセスや競争力維持のために適切な文書化は不可欠です。

CMMCレベル2コントロールフレームワーク：14ドメインにわたる110の管理策

レベル2には、レベル1の15管理策に加え、95の追加中間管理策が含まれ、文書化の複雑さや証拠要件が大幅に増加します。フレームワークは5ドメインから14の包括的なセキュリティドメインへ拡張されます。

レベル1とレベル2の比較

レベル2で追加された新セキュリティドメイン

レベル2では、包括的なサイバーセキュリティを実現する9つの新たなセキュリティドメインが導入されます：

レベル2で追加された新セキュリティドメイン

ドメイン1：意識向上とトレーニング（AT）―2管理策

製造業は、自社の運用環境に合わせた包括的なセキュリティ意識向上プログラムを実施しなければなりません。

AT.L2-3.2.1 – セキュリティ意識向上トレーニング

セキュリティ意識向上トレーニングでは、製造業特有のリスクやシナリオに対応した正式なプログラムが必要です。トレーニングカリキュラムは、現場作業員からエンジニア、管理職まで多様な製造業の役割に適した方法で、製造業のサイバーセキュリティリスクをカバーしなければなりません。トレーニングの有効性は、知識評価、行動変化の指標、インシデント減少率との相関で測定されます。

実装証拠には、CUIを取り扱う全従業員のトレーニング修了記録、不合格者への再教育を含む知識評価結果、セキュリティ行動の改善を示す有効性指標が含まれます。製造現場作業員向けのUSB・リムーバブルメディアセキュリティ、エンジニア向けの図面・仕様保護、管理職向けのサプライチェーンリスクと責任など、製造業の役割に応じた専門的なトレーニングが求められます。請負・派遣社員向けのセキュリティ意識向上要件も、非正規人材特有の課題に対応する必要があります。

AT.L2-3.2.2 – 内部脅威認識

内部脅威認識プログラムは、従業員が組織内部からの潜在的な脅威を特定・報告できるよう支援します。トレーニングカリキュラムには、内部脅威の兆候や報告手順、行動監視システム、疑わしい活動への対応手順が含まれます。CUIアクセス権限を持つポジションに対する人事スクリーニングやバックグラウンドチェックも必要です。

製造業では、エンジニアリング・設計環境での知的財産窃盗、製造現場での破壊行為リスクと検出手順、請負業者・ベンダーによるサプライチェーン内部脅威、調達・契約管理における財務詐欺リスクなど、独自の内部脅威リスクに直面しています。文書化には、内部脅威トレーニング修了記録、インシデント報告・調査結果、人事スクリーニング完了記録、定期的なプログラム有効性評価が含まれます。

監査とアカウンタビリティ（AU）―9管理策

包括的なログ記録と監査証跡の要件は、レベル2で製造業にとって最も難易度の高い文書化領域の一つです。監査とアカウンタビリティドメインの9つの監査管理策は、CUIを取り扱うすべての製造システムにわたる広範な文書化要件を生み出します。

AU.L2-3.3.1 – 監査イベントの特定

製造業は、CUIを取り扱うすべてのシステムで監査ログが必要な具体的なイベントを特定し、文書化しなければなりません。監査イベントカタログは、ITシステム、OT環境、製造実行システム、品質管理プラットフォームをカバーする必要があります。イベント選択基準は、CUIへのアクセス・変更・送信活動に重点を置いたリスクベースのアプローチを優先すべきです。

監査イベントの相関手順により、多様な製造システム全体で包括的な分析が可能となります。製造業では、MESの監査イベント（生産データのアクセス・変更）、CADシステムのログ（図面アクセス・変更）、生産データのバックアップ・リカバリエベント、サプライチェーン通信監視（データ交換活動）など、特有の観点が求められます。

AU.L2-3.3.2 – 監査内容基準

標準化された監査記録内容により、製造環境全体で一貫したログ記録が確保されます。記録には、標準化されたフォーマット要件、製造システム間のタイムスタンプ同期、監査記録の完全性保護と検証、規制要件に沿った保持・アーカイブ管理手順が含まれます。

製造業での実装には、OT監査記録とITシステムの統合、異なる製造プラットフォーム間のタイムスタンプ同期の課題への対応が求められます。生産システムの監査記録は品質・コンプライアンスシステムと連携し、エンジニアリングワークステーションのログは文書管理システムと統合され、包括的なカバレッジを実現します。

合計で、CMMC 2.0フレームワークには14のドメインがあります。各ドメインには、防衛請負業者がCMMCコンプライアンスを証明するために満たすべき具体的な要件があります。各ドメインの詳細を確認し、要件を理解し、コンプライアンスのためのベストプラクティス戦略を検討してください：アクセス制御、意識向上とトレーニング、監査とアカウンタビリティ、構成管理、識別と認証、インシデント対応、保守、メディア保護、人事セキュリティ、物理的保護、リスク評価、セキュリティ評価、システムと通信の保護、システムおよび情報の完全性。

レベル2の証拠要件がレベル1と異なる点

レベル2で最も要求が厳しいのは、単に存在を文書化するだけでなく、管理策が効果的に機能していることを包括的な証拠収集と分析で証明する点です。

有効性の証拠 vs 基本的な文書化

レベル1のアプローチ：セキュリティ対策が存在し、基本的なポリシー、簡易ログ、手順チェックリストで運用されていることを示す基本的な文書化。

レベル2の要件：継続的な監視、定期的なテスト、パフォーマンス指標、経営層の監督によって、セキュリティ管理策が効果的に機能していることを証明する包括的な証拠。

継続的監視要件