自社環境における制御されていない分類情報（CUI）の定義方法
今日の相互接続されたビジネス環境において、組織は機密性が高いものの、機密指定されていない膨大な情報を扱っています。これらの情報は慎重な保護が求められます。Controlled Unclassified Information（CUI：管理対象非機密情報）は、公開情報と機密情報の間を埋める重要なデータカテゴリです。組織内でCUIを正しく定義・特定・管理する方法を理解することは、コンプライアンスの維持、ステークホルダーの利益保護、そして高額なセキュリティ侵害の回避に不可欠です。
この包括的なガイドでは、CUIの定義に関する基本原則、実践的な導入フレームワーク、そして適切なCUI管理がもたらす戦略的な意味について解説します。コンプライアンス担当者、ITセキュリティ専門家、ビジネスリーダーのいずれであっても、組織の最も価値ある情報資産を守るための堅牢なCUIガバナンス確立に役立つ実践的な知見が得られます。
CMMC 2.0コンプライアンスのためのDoD請負業者向けロードマップ
エグゼクティブサマリー
主旨：Controlled Unclassified Information（CUI）は、連邦ガイドラインの下で保護が求められる機密性の高い非機密情報であり、組織は明確な特定・分類・保護プロトコルを確立し、コンプライアンスとセキュリティを確保する必要があります。
重要性：CUI管理を誤ると、連邦契約の喪失、数百万ドル規模の規制罰金、情報漏洩による競争力低下、そして長年かけても回復が困難な深刻な評判の失墜につながります。
5つの重要ポイント
- CUIは125以上の保護対象情報カテゴリを含む。
連邦機関は、個人識別情報から輸出管理技術データまで、125を超える情報カテゴリをCUIとして指定しており、包括的な特定プロトコルが不可欠です。 - CUIレジストリは公式な分類ガイド。
国立公文書館が公式CUIレジストリを管理しており、CUIの定義や各カテゴリごとの具体的な取り扱い要件を明確に示しています。 - マーキングとラベリング要件は法的義務。
すべてのCUIは、標準化されたラベルと取り扱い指示で適切にマーキングされる必要があり、ライフサイクル全体および組織間で一貫した保護を実現します。 - アクセス制御は「知る必要がある」原則に従う必要がある。
CUIへのアクセスは正当な業務上の必要性に基づき制限し、定期的なアクセスレビューと自動監視で不正な開示を防止します。 - 非遵守は深刻な財務・業務リスクを伴う。
契約解除、連邦案件からの排除、規制罰金、CUI保護不備による刑事責任など、重大な影響が生じます。
国防総省が国家安全保障のためにCUI保護を重視する理由
国防総省（DoD）は、CUIの特定と保護を極めて重視しています。なぜなら、機密指定されていないものの機密性の高い情報が、米国の防衛産業基盤（DIB）および国家安全保障インフラの根幹を成しているからです。DoDのCUI保護に対する視点を理解することは、防衛機関との取引やCMMCコンプライアンスを目指す組織にとって重要な背景となります。
CUI：防衛産業基盤最大の脆弱性となりうる存在
DoDは、敵対者が機密情報の窃取から、より広範に流通するCUIへと標的を移していることを認識しています。CUIには、技術仕様、研究開発データ、ロジスティクス情報、運用詳細などが含まれ、個別には機密指定されていなくても、悪意ある第三者が集約・分析することで極めて高いインテリジェンス価値を持ちます。
近年のサイバーセキュリティインシデントでは、CUIの漏洩が兵器システム設計の流出、サプライチェーンの脆弱性の露呈、戦略的能力の暴露につながる事例が示されています。2020年のSolarWinds攻撃では、複数組織にまたがるCUIへのアクセスが、国家安全保障を脅かす包括的なインテリジェンス構築に悪用されることが明らかになりました。
DoDのサプライチェーンには30万社以上の請負業者・下請け業者が関与しており、広大な攻撃対象領域が生まれています。CUIの適切な保護がなければ、この分散ネットワークは敵対者にとって防衛能力や戦略的優位性を損なう重大な脆弱性となります。
CUI：CMMCコンプライアンスの基盤
サイバーセキュリティ成熟度モデル認証（CMMC）プログラムは、CUIの保護が防衛産業基盤のセキュリティと完全性維持に不可欠であるという原則に基づいて設計されました。CUIの特定と保護は、すべてのCMMC要件の根幹となる要素です。
CMMCレベル1は連邦契約情報（FCI）の保護に重点を置き、CMMCレベル2以上はCUI保護要件を明確に規定しています。CUIの特定プロセスを確立しなければ、どのセキュリティ管理策をどの程度適用すべきか判断できず、実質的なCMMCコンプライアンスは達成できません。
CMMCフレームワークは、CUI保護には基本的なサイバーセキュリティ対策以上のものが必要であると認識しています。レベル2要件には、高度なアクセス制御、強化された監査機能、包括的なインシデント対応手順、CUIのライフサイクル全体を保護するための高度な監視システムなどが含まれます。これらは、CUIが防衛能力を脅かす敵対者にとって高価値の標的であるというDoDの認識を反映しています。
さらに、CMMC評価ではセキュリティ管理策の有無だけでなく、CUI保護における実効性も問われます。評価者は、組織がCUIをどのように特定し、適切な保護を実施し、脅威を監視し、機密情報に関するインシデントに対応しているかを精査します。このCUI中心のアプローチにより、セキュリティ対策が実際のリスクプロファイルに合致することが保証され、単なる形式的なコンプライアンスにとどまりません。
防衛請負業者にとってのCUI保護の戦略的意義
DoDがCUI保護を重視する背景には、技術的優位性や運用上の安全性を維持するという、より広範な戦略的観点があります。CUI保護に優れた防衛請負業者は、国家防衛の最も機密性の高い領域を扱う信頼できるパートナーとして位置付けられます。
包括的なCUI保護能力に投資する組織は、より高額な契約や新技術プログラムへの優先的な参画、主要請負業者とのパートナーシップ機会の拡大などのメリットを享受できます。一方、CUI保護体制が不十分な請負業者は、厳しい監査や契約機会の減少、重要な防衛プログラムからの排除リスクに直面します。
DoDのCMMC要件は、防衛産業基盤全体でセキュリティ基準の標準化を促進し、複数請負業者によるプログラム運営の複雑さを軽減しつつ、すべての参加者で一貫したCUI保護を実現します。
CUIの基礎と法的枠組み
Controlled Unclassified Informationという概念は、2010年に署名された大統領令13556に由来し、機密指定されないが保護が必要な政府情報の標準的な管理手法を確立しました。このフレームワークは、保護が必要だが機密指定基準を満たさない情報の管理という増大する課題に対応するものです。
CUIに該当する情報とは
CUIは、法律・規則・政府方針によって特定の管理下での保護や配布が求められる情報を指します。機密情報が国家安全保障に関するものであるのに対し、CUIは個人情報、企業の機密データ、法執行機関機密情報、輸出管理技術仕様など、より幅広い機密性の高いデータを対象としています。
CUIカテゴリの多様さは、現代の組織が直面する複雑な規制環境を反映しています。HIPAAで保護される医療記録や、国際武器取引規則（ITAR）の対象となる技術図面など、CUIはほぼすべての産業分野に関わっています。
CUIレジストリ：定義と分類の公式情報源
国立公文書館（NARA）は、CUIカテゴリと取り扱い要件の公式情報源であるCUIレジストリを管理しています。このレジストリには、各カテゴリの具体的な保護要件、許可された共有制限、適用される法的根拠が詳細に記載されています。
組織は、規制や脅威環境の変化に応じてカテゴリや要件が更新されるため、CUIレジストリを定期的に参照し、分類プロトコルを最新に保つ必要があります。
CUI特定プロトコルの確立
効果的なCUI管理は、組織全体で一貫した認識を実現する堅牢な特定プロセスから始まります。そのためには、テクノロジーと人的専門性の両方が連携することが不可欠です。
CUIを守るための情報分類フレームワークの構築
組織の情報タイプをCUIカテゴリにマッピングする包括的な分類フレームワークを策定しましょう。このプロセスには、徹底した情報インベントリ、規制要件の分析、分類判断のための明確な意思決定ツリーの構築が含まれます。
フレームワークには、従業員が情報の作成・受領・処理時にCUIの可能性を特定できる標準化されたアンケートを含めるべきです。これらのツールは、規制要件や組織ニーズの変化に合わせて定期的に更新しましょう。
CUI保護のためのトレーニングと啓発プログラム
従業員にCUIの特定方法、取り扱い要件、組織方針を教育する継続的なトレーニングプログラムを実施しましょう。戦略的なセキュリティ意識向上トレーニングは、経営層・IT担当・一般スタッフなど役割ごとに内容を最適化することが重要です。
定期的な啓発キャンペーンにより、CUI特定が日常業務に根付くようにし、単なる後回しにならないようにします。
組織内でCUIを定義するためのベストプラクティス
組織内でCUIを効果的に定義するには、すべての業務プロセスと情報タイプで一貫した特定を実現する体系的なアプローチが必要です。以下のベストプラクティスは、分類ミスを最小限に抑えつつ業務効率も維持できる信頼性の高いフレームワーク構築に役立ちます。
1. 包括的な情報インベントリの実施
まず、組織が作成・受領・処理・保存しているすべての情報タイプをカタログ化しましょう。このインベントリでは、部門・システム・外部パートナー間のデータフローを調査し、潜在的なCUIソースを特定します。情報の発生源、処理内容、保存場所、共有パターンを記録し、全体像を把握します。
インベントリには、デジタル情報だけでなく紙媒体や口頭伝達も含めましょう。CUIはメール、文書、データベース、印刷物、口頭コミュニケーションなど様々な形態で存在します。定期的なインベントリ更新により、業務プロセスの変化に応じて新たな情報タイプもCUI分類の対象となります。
2. 明確な意思決定ツリーと分類基準の策定
従業員がCUI特定プロセスを進めやすいよう、構造化された意思決定フレームワークを構築しましょう。情報源、規制要件、機密性レベル、取り扱い制限など、CUI分類を判断するための具体的な質問を盛り込んでください。
標準化されたチェックリストやアンケートも用意し、情報の作成・受領時に活用できるようにします。これらのツールはCUIレジストリの特定カテゴリを参照し、主観的な判断を最小限に抑え、一貫した分類を実現する明確なYes/No基準を設けましょう。
3. 標準化されたマーキング・ラベリングプロトコルの導入
CUIを明確に識別し、情報ライフサイクル全体で取り扱い指示を示す一貫したマーキングシステムを展開します。デジタルシステムでは、メタデータタグと視覚的インジケーターの両方を用い、異なるプラットフォームやアプリケーション間でも識別できるようにします。
可能な限り自動マーキング機能を導入し、コンテンツ分析・情報源特定・ユーザー入力に基づき適切なCUI指定をシステムが自動付与できるようにします。手動マーキング手順には、検証ステップや品質管理も組み込み、分類ミスを防ぎましょう。
4. 自動分類テクノロジーの導入
機械学習やAIツールを活用し、コンテンツパターン、規制キーワード、文脈情報から潜在的なCUIを特定します。これらのシステムは既存のコンテンツ管理プラットフォームと連携し、文書作成・処理時にリアルタイムで分類推奨を提供します。
自動システムは、曖昧なケースを人間の専門家によるレビューに回すよう設定し、複雑な分類判断には適切な対応を確保します。情報パターンや規制要件の変化に合わせて、システムのトレーニングやアルゴリズム更新も定期的に実施しましょう。
5. 役割別トレーニング・認定プログラムの構築
従業員が自身の役割・責任に応じたCUI特定責任を理解できるよう、包括的なトレーニングプログラムを開発します。実際のシナリオを用いた実践演習や、理解度を確認する定期的な評価も組み込みましょう。
機密情報を日常的に扱う担当者には認定要件を設け、CUI特定の能力を証明した上で関連システムやデータへのアクセスを許可します。規制や組織方針の変化に合わせて、継続的なリフレッシュトレーニングも実施しましょう。
CUIリスク管理とコンプライアンスの考慮事項
CUI管理の失敗は、規制コンプライアンスの枠を超え、事業継続性、競争優位性、組織の評判にも大きな影響を及ぼします。
ビジネス影響分析
CUI漏洩や誤取扱いがもたらす潜在的影響を定量化するため、包括的なビジネス影響分析を実施しましょう。規制罰金、契約損失、復旧コストなどの直接的コストだけでなく、評判毀損やビジネス機会損失といった間接的コストも考慮します。
これらの分析結果を文書化し、CUI保護対策への予算配分や、堅牢な情報ガバナンスプログラムのビジネス上の正当性を示しましょう。
規制コンプライアンスフレームワーク
複数の規制要件を同時に満たす統合的なコンプライアンスフレームワークを構築しましょう。多くの組織は、CUI要件と重複する複数の規制に対応する必要があり、連携的なアプローチによって効率化の機会が生まれます。
定期的なコンプライアンス監査では、技術的管理策と手続き遵守の両方を評価し、違反に至る前にギャップを特定しましょう。
インシデント対応計画
CUI関連のセキュリティインシデントに特化したインシデント対応手順を策定しましょう。即時の封じ込め措置、通知要件、復旧手順を含め、業務中断を最小限に抑えつつ規制義務も果たします。
インシデント対応シナリオを定期的に訓練し、チームの即応力を高め、実際のインシデント発生前に手順の改善点を洗い出しましょう。
テクノロジーソリューションと統合
現代のCUI管理には、分類の自動化、制御の強制、包括的な監査機能を備えた高度なテクノロジーソリューションが求められます。
自動分類システム
コンテンツ分析、文脈評価、規制パターンに基づきCUIを特定できる機械学習搭載の分類システムを導入しましょう。これらは既存のコンテンツ管理プラットフォームと連携し、リアルタイムで分類判断を行います。
自動システムには、複雑または曖昧な分類判断に対する人間による監督機構も組み込み、正確性と業務効率の両立を図ります。
既存システムとの統合
CUI管理ソリューションは、メールプラットフォーム、文書管理システム、コラボレーションツールなど既存ビジネスシステムとシームレスに統合できる必要があります。統合によりユーザーの負担を減らしつつ、セキュリティ制御を維持します。
シングルサインオン（SSO）などの導入も検討し、CUIシステムへの安全なアクセスと、コンプライアンス目的の詳細な監査証跡を確保しましょう。
成功指標と継続的改善
効果的なCUIプログラムには、脅威やビジネス要件の変化に対応するための継続的な測定・評価・改善が不可欠です。
主要業績評価指標（KPI）
セキュリティの有効性とビジネスへの影響の両方を測定できる有意義なKPIを設定しましょう。分類精度、アクセス制御遵守率、インシデント対応時間、ユーザー満足度などが例として挙げられます。
これらの指標を定期的に報告することで、ステークホルダーへのプログラム価値の説明や改善点の特定に役立ちます。
定期的なプログラムレビュー
CUIプログラムの包括的な定期レビューを実施し、有効性評価、ギャップ特定、改善提案を行いましょう。技術的管理策と手続き的要素の両面から検証し、全体的なプログラムの有効性を確保します。
第三者評価やピアレビューなど外部の視点も取り入れ、見落としの発見や業界ベストプラクティスとの比較を行いましょう。
FCIとCUI：保護要件の重要な違いを理解する
連邦機関と取引する組織は、連邦契約情報（FCI）と管理対象非機密情報（CUI）の両方に直面することが多く、特定基準や保護要件の混同が生じがちです。これらの違いを理解することは、適切なセキュリティ対策の実施や、異なる情報タイプでのコンプライアンス維持に不可欠です。
特定と範囲の違い
連邦契約情報は、連邦契約の下で政府から提供された、または政府のために作成された情報で、請負業者が公開情報として提供したものを除きます。FCIには契約条件、仕様、成果物、契約履行中に作成・取得されたデータなどが含まれます。FCIの特定プロセスは、契約関係と政府関与に直接紐付くため比較的明確です。
一方、管理対象非機密情報は、その起源に関わらず保護が求められる、より広範な機密性の高い情報カテゴリです。CUIには連邦契約由来の情報だけでなく、規制要件、独自研究、輸出管理対象、プライバシー保護情報なども含まれます。CUIの特定には、公式CUIレジストリの参照や、内容の機密性に基づく複雑なカテゴリ判断が必要です。
保護基準の違い
FCIの保護要件は、NIST SP 800-171の基本的なセーフガード管理策に準拠しており、アクセス制御、監査ログ、システム監視などの基本的なセキュリティ対策が含まれます。これらの要件は、不正アクセスの防止や契約履行中のデータ完全性維持に重点を置いています。FCIを扱う組織は、アクセス制御、意識向上・トレーニング、監査・説明責任、システム・通信保護など14のセキュリティ管理ファミリーを実装する必要があります。
CUIの保護要件はより厳格かつ包括的であり、FCIの基本対策を超える強化されたセキュリティ管理策が求められます。CUIカテゴリによっては、高度な暗号化、専門的な取扱手順、追加のアクセス制限などが必要です。CUIは多くの場合、CMMCレベル2以上のコンプライアンスが求められ、レベル1の全管理策に加え、中間レベルの追加管理策も実装します。
コンプライアンスと監査への影響
FCIコンプライアンスは主に契約上の義務と基本的なサイバーセキュリティ対策に焦点を当てています。監査では、組織がNIST SP 800-171の要件を実装し、契約期間中にFCIを適切に取り扱っているかが評価されます。非遵守の場合、契約履行上の問題にはなりますが、一般的に広範な規制上の影響は及びません。
CUIコンプライアンスはより深刻な影響を伴い、違反が発覚すると連邦契約の競争参加資格喪失、規制調査、巨額の罰金につながる可能性があります。CUI監査はより包括的で、技術的管理策だけでなく、手続き遵守、トレーニング効果、インシデント対応能力まで精査されます。CUIを扱う組織は、継続的なコンプライアンス監視と、より頻繁かつ詳細な評価への備えが必要です。
長期的な成功のための堅牢なCUI基盤構築
管理対象非機密情報を自組織で定義・管理するには、セキュリティ要件とビジネスニーズのバランスを取った包括的なアプローチが求められます。成功には、明確な特定プロトコルの確立、堅牢な技術的管理策の実装、継続的なコンプライアンス意識の維持が不可欠です。
適切なCUI管理への投資は、コンプライアンスリスクの低減、競争優位性の保護、ステークホルダーからの信頼向上といった形で大きなリターンをもたらします。CUI要件に積極的に対応する組織は、規制強化が進むビジネス環境で成功を収めるポジションを確立できます。
KiteworksによるCMMC準拠のCUI保護の実現
Kiteworksは、サイバーセキュリティ成熟度モデル認証（CMMC）要件に完全準拠したCUI保護を実現するための独自のポジションを持っています。上記フレームワークでCUIを特定した後、Kiteworksはこの機密性の高い情報をライフサイクル全体で守るための包括的なセキュリティ基盤を提供します。
Kiteworksのプライベートデータネットワークは、CMMCレベル2要件の約90%を標準でサポートしており、統合プラットフォームによる自動データ分類、高度な暗号化、きめ細かなアクセス制御、包括的な監査機能を組み合わせて、CMMC 2.0コンプライアンスの迅速な達成を支援します。ゼロトラストアーキテクチャにより、CUIは保存中・転送中・使用中のいずれでも保護され、CMMC準拠に必要な詳細なログ記録と監視も提供します。
Kiteworksの自動分類エンジンは、機械学習を活用してコンテンツパターン、規制キーワード、文脈分析からCUIを特定し、セキュリティチームの手作業負担を軽減しつつ、保護策の一貫適用を実現します。ポリシーエンジンは、分類判断に基づき、暗号化プロトコル、アクセス制限、CMMC要件に合致した取り扱い指示など、適切なセキュリティ管理策を自動適用します。
本ソリューションのセキュアなコラボレーション機能により、CUIを許可された関係者と共有しながら、完全な可視性と制御を維持できます。動的ウォーターマーク、ダウンロード制限、期間限定アクセスなどの高度な機能により、CUI保護は組織の枠を超えて拡張され、政府調達環境で一般的な複雑な共有要件にも対応します。
包括的な監査ログ・レポート機能により、KiteworksはCMMC評価時に必要な証跡を提供し、既存IT環境との統合も容易なため、業務を中断することなく導入できます。
Kiteworksの詳細については、カスタムデモを今すぐご予約。
よくある質問
連邦請負業者は、NARAが管理する公式CUIレジストリの参照、標準化されたアンケートを用いた情報インベントリの実施、規制キーワードやパターンを検出する自動分類ツールの導入により、CUIを迅速に特定できます。ポイントは、場当たり的な判断ではなく、体系的な特定プロセスを確立することです。
CUIを含む文書を扱う防衛請負業者は、CUIカテゴリ、取り扱い指示、連絡先情報を明記した標準化マーキングを付与する必要があります。デジタル文書にはメタデータタグと視覚的インジケーターの両方が必要であり、紙文書には連邦要件に従い、ライフサイクル全体で判読可能な明確なマーキングが求められます。
CUIセキュリティインシデント発覚後は、（政府機関も含め）直ちに封じ込め措置を実施し、規制要件に従って関係当局へ通知、インシデント詳細を記録し、復旧作業を開始します。最新手順を備えたインシデント対応計画があれば、迅速かつコンプライアンスに沿った対応で業務中断を最小化できます。
追加リソース