Kiteworksを基盤にCMMCサービスを構築するMSP・MSSPが増加

CMMC 2.0フェーズ1の施行は既に発効しており、今後も継続します。連邦契約情報(FCI)または管理対象非機密情報(CUI)を取り扱う契約企業は、現時点でNIST SP 800-171の管理策について自己評価と証明を行う義務があり、虚偽の証明を行った場合は虚偽請求法(False Claims Act)の対象となります。一方、フェーズ2──レベル2およびレベル3の契約企業に対する独立したC3PAOによる第三者評価の要件──は事情が異なります。2026年7月13日、国防総省(DoW)は本プログラムの60日間にわたる「全面的な」見直しを行うまでの間、「保留中および今後予定されているすべてのCMMCマイルストーン」とともにフェーズ2を停止しました。

DoD/DoW最高情報責任者(CIO)のカースティン・デイビス氏は7月13日付のメモで、現行のCMMCプログラムが中小企業や非伝統的な防衛関連企業に対して「重大かつしばしば実行不可能なほどの負担」を課していると指摘し、CUIの保護を維持しながら参入障壁を下げるフレームワークを提言する新設の「CMMC改革タスクフォース」に検討を委任しました。タスクフォースの結論は60日以内に提出される予定で、2026年9月中旬頃が判断の節目となります。それまでの間、DoWはC3PAOによる監査ではなく、自己評価および一部の政府主導評価に依拠します。2025年11月に発効したレベル1自己評価(FCI対象)およびレベル2自己評価(CUI対象)は、現行および今後の契約において引き続き義務となります。

CMMCの影響を受ける企業は、依然として防衛産業基盤(DIB)全体に及んでいます──航空宇宙システムインテグレーター、中小製造業者、ITベンダーなど多岐にわたり、その大半はコンプライアンス専任スタッフを持たない中小企業です。こうした企業は、CMMCコンプライアンス・ロードマップを導いてくれる信頼できるアドバイザーと、第三者評価要件が再開された際にC3PAO評価に合格するために必要な技術基盤を提供してくれるパートナーを求めています。

この機会にこそ、MSPとMSSPの出番があります。CMMC認定機関(Cyber-AB)のフレームワークの下でRegistered Practitioner Organization(RPO)として認定されたMSPは、評価準備についてクライアントに助言し、環境を構成し、継続的なコンプライアンス管理をサービスとして提供できます。しかし、この事業が成立するのは、MSPが導入するプラットフォームが実際にNIST SP 800-171の管理策を満たしている場合に限られます──それが現在の自己評価によって検証されるか、将来のC3PAO監査によって検証されるかを問わず。

文書化された認証を持たないままCMMC対応をうたうプラットフォームを選ぶことは、単なる技術的な欠陥にとどまりません。虚偽請求法の下では、実際にはCMMCに準拠していない契約企業をコンプライアンス準拠と偽って証明した場合、虚偽の請求1件につき最大28,619ドルの民事制裁金に加え、3倍の損害賠償が科される可能性があります。プラットフォームの選定は、技術的な判断であると同時に、ビジネスおよび法務上の判断でもあるのです。

Kiteworksはまさにこうした環境のために設計されました。本プラットフォームは、管理対象非機密情報(CUI)が流通するあらゆるチャネルにわたって統合的なCMMC 2.0コンプライアンスを実現し、DoDの要件を曖昧さなく満たす認証によって裏付けられています。

重要ポイント

1. 防衛産業基盤は、停止の有無にかかわらず、マネージドIT分野で最も明確に定義されたコンプライアンスサービス市場であり続ける

推定80,000社を超えるDIB契約企業が、いずれCMMCレベル2認証を必要とすることになり、その大半は社内にコンプライアンス専任スタッフを抱えていません。2026年7月の停止措置が一時停止するのはC3PAOによる第三者評価の期限であって、根底にあるNIST SP 800-171の自己評価義務やそれに伴う契約リスクではありません。今のうちに信頼性の高いCMMC事業を構築するMSPおよびMSSPは、義務化に裏付けられた継続的な収益源を獲得し、第三者評価要件が再開された際に最も迅速に動ける立場を確保できます。

2. プラットフォームの選択が、CMMC事業の成否を左右する

多くのベンダーは、DoDの要件が実際に認める認証を保持しないままCMMC対応をうたっています。要件を満たさないプラットフォームを導入したMSPは、クライアントを評価不合格のリスクにさらすだけでなく、虚偽請求法の下で、双方が虚偽の請求1件につき最大28,619ドルの民事制裁金と3倍の損害賠償にさらされることになります。

3. Kiteworksは標準機能でCMMC 2.0レベル2要件の90%をカバーする

このカバレッジは、C3PAOが最も厳しく精査する管理策ファミリー──アクセス制御、監査と説明責任、構成管理、識別と認証、システムおよび通信の保護──に及んでおり、評価が始まる前の時点で、クライアントに可能な限り有利な出発点を提供します。

4. Kiteworksは自己申告による同等性主張ではなく、実際のFedRAMP Moderate運用認可(ATO)を保有している

この認可は、2017年6月以降毎年、認定された第三者評価機関によって確認されており、契約企業側で追加の同等性判定を行うことなくDFARS 7012のクラウドセキュリティ要件を満たします。

5. シングルテナント・アーキテクチャと統合監査ログが、CMMC評価をより迅速かつクリーンにする

各DIBクライアントには、インフラを共有しない専用のKiteworks環境が提供されます。メール、ファイル共有、マネージド・ファイル転送、SFTP、データフォームなど、あらゆるCUIチャネルでのやり取りは、単一の改ざん不可能な監査ログに集約され、MSPが手作業でまとめる必要なく、評価担当者や契約企業自身のコンプライアンスチームに完全で改ざん検知可能な証跡パッケージを提供します。

MSPとMSSPが見過ごせないCMMCの好機

CMMC最終規則は、段階的なコンプライアンス・タイムラインを定めています。レベル2要件はNIST 800-171の110の管理策すべてに直接対応するもので、DoD契約の下で管理対象非機密情報を取り扱うすべての契約企業に適用されます。当初の展開計画では、レベル2契約企業は最終的に認定されたC3PAOによる評価を受ける必要がありましたが、2026年7月13日時点で、国防総省は60日間の改革見直しが完了するまでの間、当初2026年11月10日に開始予定であったこの第三者評価の本格展開を停止しています。一方、レベル1およびレベル2の自己評価義務は引き続き有効です。最終的にレベル2の対象となる契約企業が80,000社を超える中、資格を持つCMMCアドバイザーに対する市場は机上の空論ではありません──DoWがどの評価メカニズムに落ち着くかにかかわらず、契約更新によってサプライチェーンのより多くの部分が対象となるにつれて、この市場は即時性を帯び、実証され、拡大し続けています。

コンプライアンス義務は一度の評価イベントで終わるものではなく、これこそがDIBをマネージドサービスにとって有力な市場たらしめている要因の一つです。契約企業は、セキュリティ管理策を継続的に運用し、大きな変更が生じた際にはシステムセキュリティ計画(SSP)を更新し、指摘事項にはPOA&Mプロセスを通じて対応し、Supplier Performance Risk System(SPRS)における自己評価スコアを常に最新の状態に保つ必要があります。この規律は、契約企業が現時点で自己証明を行っている場合でも、フェーズ2再開後の完全なC3PAO認証を保持または取得を目指している場合でも、同様に適用されます。これはまさに、MSPがクライアントから引き受けるために存在するような継続的な運用負担です。

理解しておく価値のあるサプライチェーン・リスク管理の力学もあります。プライム契約企業が認証を取得すると、その圧力は下請け企業へと連鎖していきます。ティア1のサブコントラクターが評価に合格すると、同じFCIを扱うティア2のサプライヤーに焦点が当たるようになります。認証済みの契約企業のコンプライアンスプログラムに組み込まれたMSPは、要件がサプライチェーンの下流に波及していくにつれて、その契約企業の下請け関係にもサービスを提供できる有利な立場にあります。CMMCコンプライアンス・チェックリストは、MSPがクライアント環境と照らし合わせるための110のレベル2管理策すべての構造化された一覧を提供し、着手前に各案件の範囲を正確に見積もるための重要な出発点となります。

事業の土台となるプラットフォームがすべてを決める理由

CMMCレベル2では、17のドメインにまたがる110の管理策を満たすことが求められます。これらの管理策は、ユーザーの認証方法、CUIがシステム間をどのように移動するか、アクセスイベントがどのように記録されるか、インシデントがどのように検知・報告されるかを規定しています。単一のプラットフォームだけで110すべてに対応することはできません──ポリシー、手順、追加ツールは常に必要です──しかし、クライアントがどれだけ多くの管理策を文書化・カバーされた状態からスタートできるか、逆にどれだけの数をゼロから構築しなければならないかは、プラットフォームによって決まります。

この出発点の違いは、実務上非常に大きな意味を持ちます。レベル2要件の40%しかカバーしないプラットフォームを導入したクライアントは、90%からスタートするクライアントと比べて、認証までの道のりが大幅に長く、費用もかさむことになります。MSPの評価準備スケジュール、初回合格の可能性、そして案件全体のコストは、すべてこの基準値から導かれます。Kiteworksは標準機能でCMMCレベル2要件の90%をカバーしており、CMMCギャップ分析が始まる前の時点で、RPOに可能な限り最良の土台を提供します。

プラットフォームの選定は、多くのMSPが過小評価しがちな法的な重みも伴います──現在、DoWが依拠する主要なコンプライアンス機構が第三者監査ではなく自己証明であることを踏まえると、フェーズ2停止前よりもむしろその重みは増しているとさえ言えます。DFARS 7012は、CUIを扱うクラウドサービスがFedRAMP Moderateのセキュリティ要件を満たすことを義務付けています。自己申告によるFedRAMP同等性を提供するベンダーと、確認済みのFedRAMP Moderate運用認可(ATO)を保有するベンダーは同じではありません。この違いが、契約企業自身によるSPRS自己評価を通じて検証されるにせよ、フェーズ2再開後のC3PAO監査を通じて検証されるにせよ、それは指摘事項が発生するか、クリーンな結果となるかの分かれ目です。この基準に合格できないプラットフォームを導入することは、クライアントを文書化されたコンプライアンス・ギャップにさらすことになり、虚偽請求法の下では、契約企業がDoDに対しコンプライアンスを証明した瞬間に、そのギャップが法的リスクへと変わります。DIBクライアントが利用する各クラウドサービスをFedRAMP Moderateのベースラインと照らし合わせる正式なリスク評価──ベンダーの自己申告ではなく公式Marketplaceを通じて認可状況を確認すること──は、自己評価パッケージを提出する前にMSPがこのリスクを解消するためのデューデリジェンスの手順です。

Kiteworksが最初からCMMCレベル2をカバーする仕組み

CMMC準拠を目指す組織の多くは、メールセキュリティ、ファイル共有、マネージド・ファイル転送、SFTP、データフォームのために、それぞれ別々のツールを組み合わせています。各ツールには、それぞれ独自のセキュリティ体制、独自のログ形式、独自のポリシー適用モデルがあります。この断片化は、評価における実質的な複雑さを生み出します。評価担当者は──自己評価をレビューする場合でもC3PAO監査を実施する場合でも──それぞれのシステムを関連する管理策ファミリーに照らして個別に評価しなければならず、そのうちのどれか一つにギャップがあれば、評価全体に対する指摘事項となってしまいます。各ツールで個別に行うのではなく、すべてのチャネルにわたって統一的に適用されるデータ分類の規律は、一貫したCUI取り扱いを証明するための前提条件です。

Kiteworksのアプローチは異なります。これは、単一のコントロールプレーンを通じて、Kiteworksセキュアメール、Kiteworksセキュアファイル共有、セキュア・マネージド・ファイル転送、Kiteworks SFTP、KiteworksセキュアデータフォームにわたってCUIを統制する、統合されたセキュアデータ交換基盤です。アクセスポリシー、DLPルール、マルウェアスキャン、異常検知は、5つの異なる製品でそれぞれ個別に構成・維持するのではなく、すべてのチャネルにわたって一度だけ適用されます。

コンプライアンスへの影響は直接的です。アクセス制御(AC)、監査と説明責任(AU)、システムおよび通信の保護(SC)といった管理策ファミリーは、CUIが流通するすべてのシステムに適用されます。統合されたプラットフォームでは、これらの管理策が文書化・一元化され、単一の場所で証明可能になります。Kiteworksは、転送中および保管中のデータに対してFIPS 140-3検証済み暗号化を適用し、すべてのやり取りについて改ざん不可能な監査ログを生成し、手作業での取りまとめを必要とせずにCMMCレベル2の文書化要件をサポートする自動コンプライアンスレポートを作成します。属性ベースアクセス制御(ABAC)ポリシーは、CUIへのすべてのアクセスイベントにおいて、ユーザーの役割、コンテンツの機密性、リクエストのコンテキストを評価し、侵害されたアカウントや誤設定された権限が認可された範囲外のコンテンツに気づかれずに到達することがないようにします。これは、評価担当者がACドメインで求めるような、きめ細かなアクセス証跡の一例です。

CMMC事業を構築するMSPにとって、この出発点でのカバレッジは、クライアントとの会話のあり方を根本的に変えます。長大な是正ロードマップを携えて臨む代わりに、MSPは最も難易度の高い技術的管理策をすでに処理済みのプラットフォームを持って臨むことができます。案件の焦点は、ポリシー文書化、環境構成、評価準備に絞られます──これはMSPが複数のクライアントにわたって効率的かつスケーラブルに提供できる作業です。CISOダッシュボードは、MSPに各クライアントのすべてのチャネルにわたるCUI活動をリアルタイムで可視化させ、評価サイクルの合間にも積極的なコンプライアンス監視を可能にします。これらすべての土台となるKiteworksプライベート・データ・ネットワークのアーキテクチャは、単一のポリシーエンジン、単一の監査証跡、単一の堅牢化されたデプロイメントという統合されたガバナンス体制を実現し、5つの分断されたシステムから寄せ集めるのではなく、CMMC自己評価文書に一貫性を持たせます。

FedRAMP認可とDFARSにとっての本当の意味

CMMC実装において最も一般的なコンプライアンス・ギャップは、同時に最も回避しやすいものでもあります──それは、実際にはDFARS 7012のセキュリティ要件を満たしていないクラウドサービスプロバイダーを導入してしまうことです。

DFARS 7012は、DoD契約企業に代わってCUIを処理、保管、または転送するクラウドサービスが、FedRAMP Moderate認可を受けているか、同等のセキュリティ要件を満たしていることを求めています。同等性の経路は存在しますが、それには相応の文書化が必要です──CSPの管理策をFedRAMP Moderateのベースラインと詳細に比較し、DoD CIOに書面を提出する必要があります。これは単なるチェックボックスではありません。CMMCの施行が成熟するにつれ、DoDは同等性の主張に対する精査を強めている兆候を示しており、初期の評価のいくつかでは、要件を満たさないクラウドサービスに直接関連する指摘事項が発生しています。

Kiteworksは、実際のFedRAMP Moderate認可を保有しています。これはJoint Authorization Board(合同認可委員会)によって発行され、2017年6月以降毎年、認定された3PAOによって確認されている正式な運用認可(ATO)です。これは単なるマーケティング上の主張ではありません。契約企業側での同等性判定を必要とせずにDFARS 7012の下でのFedRAMPコンプライアンス要件を満たす、文書化された連邦政府認可です。DIBクライアントのためにKiteworksを導入するMSPにとって、クラウドサービスに関する疑問には明確で文書化された答えがすでに用意されています。

これは虚偽請求法のリスクに直接関わる問題です。CMMCコンプライアンスを虚偽に証明した契約企業──クラウドサービスが要求されるセキュリティ基準を満たしていると虚偽に証明した場合を含む──は、虚偽の請求1件につき最大28,619ドルの民事制裁金に加え、3倍の損害賠償に直面します。実際のFedRAMP認可を持たないプラットフォームを導入するMSPは、クライアントをこのリスクにさらすことになります。Kiteworksの認可は、このリスクを解消します。ベンダーのFedRAMP同等性の主張を誤って信頼してきた組織は、実際に認可されたプラットフォームへの切り替えを、将来のロードマップ項目としてではなく、緊急の是正措置として扱うべきです。

この点は、フェーズ2停止後においてむしろ重みを増しています。C3PAOによる第三者検証が一時停止している中、DoWはCMMCの基準を執行するために自己証明に依拠しています。今やあらゆる契約企業のSPRSスコアと自己評価パッケージが、DoWが目にする主要な証拠となっています──つまり、クラウドセキュリティに関する虚偽の証明は、証明と執行の間にC3PAO監査が介在していた時よりも表面化しやすく、直接的な虚偽請求法のリスクに近い位置にあるということです。CUIを取り扱う各クラウドサービスをそのFedRAMP認可状況と紐づけるデータガバナンス文書──一時点のスナップショットではなく生きた記録として維持されるもの──こそが、精査を受けても自己証明を弁護可能にする組織的な取り組みです。

継続的収益を生むCMMC事業の構築

MSPおよびMSSPにとってのビジネスケースは、単発の案件をはるかに超えたものであり、2026年7月のフェーズ2停止は、継続的収益という論拠をむしろ強化しています。契約企業は現時点で、NIST SP 800-171の自己評価とSPRSスコアを継続的に維持し、文書化されたインシデント対応手順の下でインシデントに対応し、CMMC改革タスクフォースの提言が発効した際には、その自己評価体制をC3PAO対応可能なプログラムへと転換する準備を整えておく必要があります。新規契約および更新契約はすでに現在の自己証明状況を参照しており、コンプライアンスプログラムのいかなるギャップも、今この瞬間に直接的な契約上の結果を招きます──さらに、虚偽の自己証明は、不合格に終わった第三者監査とは異なり、直接的な虚偽請求法上の責任を生じさせるという追加的なリスクも伴います。

Kiteworksはこうした継続的な関係を支えます。各DIBクライアントには、完全に分離されたシングルテナント・インスタンス──専用インフラと専用の暗号化キー──が提供され、MSPのクライアント基盤全体でCUIが共有されるリスクはありません。MSPは各環境を個別に構成、監視、報告します。プラットフォームのSIEM連携は、CUI活動データをMSPのセキュリティ運用ツールにリアルタイムで供給し、予定された監査に慌てて備えるのではなく、積極的なコンプライアンス監視を可能にします。

これにより、MSPはプラットフォーム管理、セキュリティ監視、ポリシーガバナンス、評価準備を、単発のプロジェクトの積み重ねではなく、継続的な案件として提供できるようになります。このモデルは予測可能な収益を生み出し、クライアントとの関係を深め、時間の経過とともにアカウントを守るスイッチングコストを築きます。関係の出発点となるCMMCギャップ分析は、明確な成果物と更新ロジックを備えたコンプライアンス管理プログラムの基盤となります。

フェーズ2が一時停止している状態であっても、DIBは選択的な市場ではありません。DoD契約の下でCUIを扱う契約企業には、自己評価と証明が義務付けられています──推奨でもインセンティブでもなく、義務です──そしてDoW自身が表明している意図は、第三者検証を完全に放棄することではなく、60日以内に「スケーラブルで現実的な」評価フレームワークを携えて戻ってくることです。これは、適切なプラットフォームを提供し、正しく構成し、DoWが最終的に採用する評価モデルが何であれクライアントを監査対応可能な状態に保てる、資格を備えたMSPパートナーに対する持続的な需要へと直結します。Kiteworksは、MSPに標準機能でのレベル2の90%カバレッジ、回避策を必要とせずDFARS 7012を満たすFedRAMP Moderate認可、そして自己評価とC3PAOの精査のいずれにも耐えうる統合されたCUIガバナンスモデルを提供します。ITARコンプライアンス義務を持つクライアントにもサービスを提供するMSPにとっても、Kiteworksのシングルテナント・アーキテクチャとFIPS検証済み暗号化がこれらの要件を同様に満たすため、単一のプラットフォームで規制対象の防衛サプライチェーン全体にサービスを提供できます。

KiteworksがMSPやMSSPの防衛産業基盤クライアント向けに、高収益で継続的なCMMC事業の構築をどのように支援できるかについて詳しくは、今すぐカスタムデモを予約してください。