CMMC 2.0コンプライアンスチェックリスト:全コントロールドメインを項目別に完全網羅
本記事は物語形式の解説ではなく、実務で使用するチェックリストです。CMMC 2.0認証プロジェクトが初回アセスメントから継続的な維持管理までどのように進行するか、時系列で知りたい方はCMMC 2.0ロードマップをご覧ください。本ページはコントロールドメイン別に整理されており、実際にプロジェクトを進める際に確認・追跡・チェックしていくための参照ドキュメントです。
注:CMMC フェーズ2の第三者認証要件は、プログラム見直しのため2026年7月に戦争省(Department of War)により一時停止されています。自己評価要件および基礎となるNIST SP 800-171の義務には影響ありません。現在のプログラム状況についてはCMMC フェーズIIは一時停止中、DFARS義務は継続をご覧ください。
エグゼクティブサマリー
要点: CMMC 2.0 レベル2では、NIST SP 800-171に規定された110のコントロールすべてを14のドメインにわたって実装し、その実装状況を証明できることが求められます。本チェックリストは各ドメインを具体的かつ検証可能な項目に分解し、実装済み・文書化済み・未対応の項目を正確に把握できるように構成されています。
重要な理由: C3PAO(第三者評価機関)の審査員も、自己評価を行う場合も、「CMMC準拠」を単純な合否で判定するわけではありません。110のコントロールをひとつずつ個別に評価し、たったひとつのドメインのギャップでも認証取得の妨げになり得ます。本チェックリストをドメインごとに進めることで、審査員に指摘される前に自社のギャップを正確に把握できます。
重要ポイント
- CMMC準拠は単一の合否判定ではなく、コントロールごとに評価されます。 審査員は110のコントロールそれぞれを、貴社のシステムセキュリティ計画(SSP)と照らし合わせて個別に確認します。9つのドメインで高い水準を達成していても、残る1つのドメインに実質的なギャップがあれば相殺されません。すべてのドメインが単独で基準を満たす必要があります。
- 本チェックリストは、データフローの可視性がすでに確保されていることを前提としています。 CUI(管理対象非機密情報)やFCI(連邦契約情報)が実際にどのシステムに存在するかを把握していなければ、アクセス制御や監査・説明責任の項目を正確にチェックすることはできません。主要なデータベースやアプリケーションに目が向きがちですが、メール、ファイル共有、Webフォームなども見落とされやすいポイントです。
- 文書化は、技術的なコントロールそのものと同じくらい重要なチェック項目です。 実装されていてもSSPに文書化されていないコントロールは、審査員の視点では「存在しないコントロール」と区別がつきません。以下の各項目には「実施すること」と「文書化すること」の両方の要素が含まれています。
- 適切に管理されているギャップは失敗ではありません。 現実的な是正スケジュールを伴うPOA&M(是正計画)が文書化されていれば、完全には実装されていないコントロールがあっても許容される状態とみなされます。一方、自ら開示せず審査員に発見される未文書のギャップは、はるかに大きな問題となります。
- 本チェックリストは一度きりの作業ではなく、継続的に更新すべき生きたドキュメントです。 今日基準を満たしているコントロールも、システムや従業員、ベンダーの変化により準拠状態から外れることがあります。定期的な審査の前だけでなく、一定のペースで継続的に見直しを行ってください。
開始する前に
以下のドメイン別チェックリストに取り組む前に、次の2点を確認してください。これらは実際にどの項目が自社に適用されるかを左右する重要なポイントです。
☐ 自社に求められるCMMCレベルを確認する。 FCI(連邦契約情報)のみを取り扱う場合はレベル1が適用されます。CUI(管理対象非機密情報)を取り扱う場合はレベル2が適用され、本チェックリストはレベル2の110コントロール全要件を前提に構成されています。レベル3はレベル2に強化コントロールを追加したものです。契約書の記載内容、またはプライム(元請け)からのフローダウン要件を直接確認してください。
☐ CUIまたはFCIに触れるすべてのシステムを棚卸しする。 ファイルサーバーやデータベースといった明確なシステムだけでなく、メール、ファイル共有プラットフォーム、マネージドファイル転送、パートナーからデータを収集するWebフォーム、これらのシステムにアクセス可能なAIツールなど、見落とされがちなシステムも含めます。この棚卸しなしに、以下のチェックリストを正確に完了することはできません。
アクセス制御(AC)
☐ システムへのアクセスを、許可されたユーザー、プロセス、デバイスのみに制限する。
☐ 許可されたユーザーが実行できるトランザクションや機能の種類を制限する(最小権限の原則)。
☐ 承認された権限に基づき、CUIのフローを制御する。
☐ 共謀のない悪意ある行為のリスクを低減するため、職務を分離する。
☐ 特権アカウントを含むすべてのアカウントおよびプロセスに最小権限の原則を適用する。
☐ ログイン試行の失敗回数を制限し、一定時間の非アクティブ状態後に自動的にセッションをロックアウトする。
☐ 外部システムへの接続を制御し、リモートアクセスセッションを監視する。
☐ アクセス要求の審査・承認者を含む、すべてのアクセス制御ポリシーをSSPに文書化する。
CMMC準拠におけるアクセス制御ドメインの詳細はこちらをご覧ください。
監査と説明責任(AU)
☐ 不正または許可されていない活動の監視、分析、調査、報告を可能にするシステム監査ログを作成・保持する。
☐ 個々のシステムユーザーの操作を一意に追跡できるようにし、行動に対する説明責任を確保する。
☐ システムや脅威の状況の変化に応じて、記録対象イベントを定期的に見直し、更新する。
☐ 監査ログおよび監査ログツールを、不正アクセス、改ざん、削除から保護する。
☐ 調査時に統一されたタイムラインを作成できるよう、複数システム間で監査記録を関連付ける。
☐ 監査ログが複数システムに分散して統一フォーマットがない状態ではなく、一元的に集約され、審査員が効率的にレビューできる状態になっていることを確認する。
CMMC準拠における監査と説明責任ドメインの詳細はこちらをご覧ください。
構成管理(CM)
☐ CUIを取り扱うすべてのシステムについて、ベースライン構成を確立し維持する。
☐ 情報技術製品のセキュリティ構成設定を確立し、適用する。
☐ 組織のシステムに対するすべての変更を追跡、レビュー、承認、記録する。
☐ 変更を実施する前に、セキュリティへの影響を分析する。
☐ 不要なプログラム、機能、ポート、プロトコル、サービスの使用を制限、無効化、または防止する。
☐ 必要最低限の機能のみを提供するようシステムを構成し、最小機能の原則を適用する。
CMMC準拠における構成管理ドメインの詳細はこちらをご覧ください。
識別と認証(IA)
☐ システムユーザー、ユーザーに代わって動作するプロセス、デバイスを一意に識別する。
☐ アクセスを許可する前に、ユーザー、プロセス、デバイスの身元を認証する。
☐ 特権アカウントへのローカルおよびネットワークアクセス、ならびに非特権アカウントへのネットワークアクセスに多要素認証を適用する。
☐ 最低限のパスワード複雑性および変更頻度を適用する、または同等の基準を満たすパスワードレス認証方式を使用する。
☐ 一定期間、識別子およびパスワードの再利用を防止する。
☐ 認証情報のフィードバックを不可視化する(入力中のパスワードを表示しない)。
CMMC準拠における識別・認証ドメインの詳細はこちらをご覧ください。
メディア保護(MP)
☐ CUIを含むシステムメディア(紙媒体・デジタル媒体の両方)を物理的に管理し、安全に保管して保護する。
☐ システムメディア上のCUIへのアクセスを、許可されたユーザーのみに制限する。
☐ CUIを含むシステムメディアは、廃棄または再利用前にデータ消去または物理破壊を行う。
☐ 必要なCUI表示および配布制限をメディアに明記する。
☐ CUIを含むメディアへのアクセスを管理し、管理区域外への輸送時にもメディアの所在に関する説明責任を維持する。
CMMC準拠におけるメディア保護ドメインの詳細はこちらをご覧ください。
要員セキュリティ(PS)
☐ CUIを含むシステムへのアクセスを許可する前に、対象者の身元調査を実施する。
☐ 退職や異動などの人事異動の最中および完了後も、CUIおよびCUIを含むシステムが保護されるようにする。
☐ 退職時のアクセス即時失効を含むオフボーディング手続きを文書化する。
CMMC準拠における要員セキュリティドメインの詳細はこちらをご覧ください。
物理的保護(PE)
☐ システム、機器、運用環境への物理的アクセスを、許可された人物のみに制限する。
☐ 来訪者に付き添い、その行動を監視するとともに、物理的アクセスの監査ログを維持する。
☐ 鍵、バッジ、アクセスコードなどの物理的アクセス手段を管理する。
☐ リモートワーク先を含む代替作業拠点においても、CUIの保護対策を適用する。
CMMC準拠における物理的保護ドメインの詳細はこちらをご覧ください。
リスクアセスメント(RA)
☐ システムの運用が組織の業務、資産、個人に及ぼすリスクを定期的に評価する。
☐ システムおよびアプリケーションの脆弱性を、定期的に、また新たな脆弱性が発見された際にスキャンする。
☐ 特定された脆弱性を、文書化されたリスクベースのスケジュールに従って是正する。
☐ リスクアセスメントのプロセスと結果を文書化する。これはC3PAO審査において最も頻繁に要求される成果物のひとつです。
CMMC準拠におけるリスクアセスメントドメインの詳細はこちらをご覧ください。
セキュリティアセスメント(CA)
☐ セキュリティコントロールを定期的に評価し、実際の適用において有効かどうかを確認する。
☐ 不備を是正し脆弱性を低減・解消するための是正計画(POA&M)を策定・実施する。
☐ セキュリティコントロールの有効性が継続的に維持されるよう、継続的にモニタリングする。
☐ システムの境界、運用環境、各コントロールの実装方法を記載した、最新のシステムセキュリティ計画(SSP)を維持する。
CMMC準拠におけるセキュリティアセスメントドメインの詳細はこちらをご覧ください。
システムおよび通信の保護(SC)
☐ 外部境界および主要な内部境界における通信を監視、制御、保護する。
☐ 一般公開されるシステムコンポーネント用に、内部ネットワークから分離されたサブネットワークを実装する。
☐ 保存時および転送時のCUIの機密性を保護するため、FIPS認定暗号(FIPS 140-3)を使用する。
☐ 適用される要件に従って暗号鍵を確立・管理する。鍵管理にHSMなどのハードウェアベースの保護が含まれているかを確認する。
☐ 共有システムリソースを介した不正または意図しない情報の転送を防止する。
CMMC準拠におけるシステム・通信保護ドメインの詳細はこちらをご覧ください。
システムおよび情報の完全性(SI)
☐ システムの不具合を適時に特定、報告、是正する。
☐ 組織のシステム内の適切な箇所で、悪意あるコードからの保護を行う。
☐ 送受信の通信を含むシステムを監視し、不正利用を検知する。
☐ 新しいリリースが利用可能になった際に、悪意あるコード対策の仕組みを更新する。
CMMC準拠におけるシステムおよび情報の完全性ドメインの詳細はこちらをご覧ください。
インシデント対応(IR)
☐ 準備、検知、分析、封じ込め、復旧、ユーザー対応を含む、実運用可能なインシデント対応体制を確立する。
☐ 必要に応じて、社内外の指定された担当者や当局にインシデントを追跡、文書化、報告する。
☐ 対象となる国防情報に関わるサイバーインシデントについて、DFARS 252.204-7012が定める72時間以内の報告要件を、自社のインシデント報告プロセスが満たしていることを確認する。
CMMC準拠におけるインシデント対応ドメインの詳細はこちらをご覧ください。
意識向上とトレーニング(AT)
☐ 従業員が自身の業務に関連するセキュリティリスクおよび適用ポリシーを認識していることを確認する。
☐ 入社時にセキュリティ意識向上トレーニングを実施し、少なくとも年1回は更新する。
☐ セキュリティ責任を割り当てられた従業員に対して、役割に応じたトレーニングを実施する。
CMMC準拠における意識向上とトレーニングドメインの詳細はこちらをご覧ください。
保守(MA)
☐ 組織のシステムの保守は、管理された文書化済みの手順に従って実施する。
☐ 遠隔での保守セッションには多要素認証を必須とする。
☐ 必要なアクセス権限を持たない要員が行う保守作業は、監督下で実施する。
CMMC準拠における保守ドメインの詳細はこちらをご覧ください。
Kiteworksがこのチェックリストをどう支援するか
Kiteworksは、CMMC 2.0レベル2要件の約90%を標準機能でサポートしており、上記の複数ドメインに対して、ドメインごとに別々のツールを用意することなく直接対応できます。
アクセス制御および識別と認証: 統合されたデータポリシーエンジンにより、セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTPにわたって、ロールベースおよび属性ベースのアクセス制御、最小権限、多要素認証を一貫して適用します。
監査と説明責任、セキュリティアセスメント: 単一の統合された改ざん不可能な監査証跡があらゆるチャネルを網羅しているため、バラバラなシステムのログを突き合わせる必要がなく、一箇所で準拠状況を証明できます。
システムおよび通信の保護: ファイルおよびディスクレベルでのAES-256暗号化、FIPS 140-3認定の暗号モジュール、顧客が管理する暗号鍵に加え、ハードウェアベースの鍵管理を実現するオプションのHSM連携を提供します。
システムおよび情報の完全性: あらゆる機密データ交換チャネルにわたる継続的なモニタリングと異常検知を行い、SIEM連携により組織全体でのより広範な可視性を実現します。
Kiteworksが貴社の未対応チェックリスト項目にどのように対応できるかを知るには、カスタムデモをご予約ください。
よくある質問
CMMC 2.0 レベル2では、NIST SP 800-171に規定された110のセキュリティコントロールすべての実装が求められ、これらはアクセス制御、監査と説明責任、意識向上とトレーニング、構成管理、識別と認証、インシデント対応、保守、メディア保護、要員セキュリティ、物理的保護、リスクアセスメント、セキュリティアセスメント、システムおよび通信の保護、システムおよび情報の完全性という14のドメインに整理されています。各コントロールは、プログラム要件に応じて自己評価または第三者機関(C3PAO)による認証のいずれかを通じて、個別に評価されます。
主要な成果物はシステムセキュリティ計画(SSP)であり、組織が110の必須コントロールそれぞれをどのように実装しているかを記述します。まだ完全には実装されていないコントロールについては、是正計画(POA&M)に具体的な是正手順とスケジュールを記載します。審査員は通常、アクセス制御やモニタリングが記載どおりに機能していることを示す監査ログ、セキュリティ意識向上トレーニングの完了証跡、インシデント対応記録、構成ベースラインなども要求します。「実施済み」であってもSSPに文書化されていないチェックリスト項目は、審査員にとって実質的に「存在しない」ものとみなされます。
ロードマップは、レベルの決定、ギャップの評価、是正、検証、そして継続的な準拠維持という、CMMC認証プロジェクトの一連の流れを時系列で示すものです。一方チェックリストは、そのプロセス内にある具体的かつ詳細な項目、すなわち14のドメインすべてにわたって実装・文書化が必要な個々のコントロールに取り組むための参照ツールです。全体の流れを把握するにはロードマップを、実際にギャップの評価と是正を進める段階では本チェックリストを作業ドキュメントとしてご活用ください。
今日基準を満たしているコントロールも、システム、従業員、ベンダーの変化に伴い準拠状態から外れることがあります。たとえば、適切なアクセス審査を経ずに新入社員がオンボーディングされた場合や、SSPを更新せずにシステムが再構成された場合、新しいCUIの流れを文書化しないままベンダー関係が追加された場合などです。成熟したコンプライアンスプログラムを持つ組織は、定期的な再認証審査の直前だけでなく、一定の社内ペースでこのCMMCチェックリストを継続的に見直しています。レベル2およびレベル3の認証には3年ごとの再認証が必要ですが、その間も基礎となるコントロールは常に有効な状態を維持する必要があります。
関連リソース