CMMCレベル早見表:基礎・高度・エキスパート
CMMC 2.0の3つの認証レベルについて、各レベルが対象とするデータの種類、必要な管理策の数、評価方法、対象となる組織を素早く確認できるリファレンスです。各レベルの関係性やレベル間の移行に実際何が必要になるかについての詳しい説明は、CMMCレベル2ガイドをご覧ください。
注:CMMCフェーズ2の第三者認証要件は、2026年7月に戦争省によりプログラム見直しのため一時停止されました。レベル1のセルフアセスメントおよび(該当する場合の)レベル2のセルフアセスメントは引き続き有効です。詳細は「CMMCフェーズIIは一時停止中、DFARS義務は継続」をご覧ください。
3つのレベルの全体像
| レベル1 — 基礎 | レベル2 — 高度 | レベル3 — エキスパート | |
|---|---|---|---|
| 保護対象データ | 連邦契約情報(FCI) | 管理対象非機密情報(CUI) | 最優先プログラムにおけるCUI |
| 管理策の数 | 基本的な保護対策17項目 | 110の管理策(NIST SP 800-171) | 134の管理策(NIST SP 800-171の110項目+NIST SP 800-172の24項目) |
| このレベルで新たに求められること | 基本的なサイバー衛生:ユーザー識別、物理アクセス制限、公開情報の管理 — 暗号化、監査ログ、インシデント対応の要件はまだ含まれません | レベル1の全内容に加え、暗号化(FIPS検証済み)、個々のユーザーに紐づく監査ログ、正式なインシデント対応、文書化されたリスクアセスメント、そしてレベル1では一切扱われていない10の追加管理領域が求められます | レベル2の全内容に加え、高度で持続的な脅威(APT)を想定した強化要件:より踏み込んだサプライチェーンリスク管理、高度な脅威ハンティング能力、より強固なインサイダー脅威対策が求められます |
| このレベルの前提条件 | なし — これが出発点です | 正式な前提条件はありませんが、レベル2はレベル1の対策を包含するため、既にレベル1を満たしている組織は有利なスタートを切れます | 正式な前提条件はありませんが、レベル3はレベル2が完全に実装され機能していることを前提としています — CMMCに初めて取り組む組織の出発点にはなりません |
| 評価方法 | 年次セルフアセスメント | プログラムの重要度に応じて、セルフアセスメントまたはC3PAOによる第三者認証 | 政府主導による3年ごとの評価(DIBCAC) |
| POA&Mは認められるか? | 不可 | 可(一部の管理策に限り、期限を定めた上で) | 可(レベル2と同様の限定的な枠組みの下で) |
| 一般的に該当する組織 | FCIのみを扱い、CUIを扱わない契約企業 | CUIを扱う契約企業・下請け企業 — 防衛産業基盤(DIB)の中で最も大きな割合を占める層 | 高度で持続的な脅威に直面する、最も機密性の高い国家安全保障プログラムに関わる契約企業 |
| 詳しく知る | CMMCレベル1ガイド | CMMCレベル2ガイド | CMMCレベル3ガイド |
この表の使い方
自組織が扱うデータの種類に基づいて、該当する行を確認してください — 判断基準となるのは企業規模や売上ではなく、データの種類です。FCIのみを扱う場合はレベル1が該当します。CUIを扱う場合はレベル2に該当し、セルフアセスメントとC3PAO認証のどちらが適用されるかは契約内容によって具体的に定められます。レベル3は最も機密性の高い国家安全保障プログラムに携わるDIBのごく一部にのみ適用され、該当契約の中で直接指定されるものです — 組織が自主的に選択して取得するレベルではありません。
各レベルは積み上げ式になっています:レベル2はレベル1の要件を包含した上でさらに多くを求め、レベル3はレベル2の基準を全て満たした上で、強化された管理策を追加します。より上位のレベルで認証を受けた組織は、事実上、それより下位のレベルの要件をすでに満たしていることになります。
自組織に本当に必要なレベルを見極める方法
ほとんどの組織は、CMMCのレベルを自ら選ぶわけではありません — 扱うデータの種類によって決まり、契約書自体に明記されます。とはいえ、それが自組織にとって具体的に何を意味するのかを把握するには、いくつかの具体的なステップが必要です。
CMMCレベルを見極めるための主要ステップ
- 思い込みではなく、契約書の文言から出発する。
入札公告や契約書には、通常、必要なCMMCレベルが直接明記されているか、レベルに対応する情報の種類(FCIかCUIか)が記載されています。下請け企業の場合は、元請け企業からのフローダウン要件を確認してください — 該当するレベルは自社が具体的に扱う内容に紐づいており、元請けが扱う内容とは異なる場合があります。
- 「扱っていると思っているデータ」ではなく、実際に自組織を流れるデータを正確に把握する。
組織が自らのレベルを見誤る最も多い原因はここにあります。FCIのみを扱っていると考えていた企業が、詳しく調べてみると、技術図面の一部や輸出規制対象の仕様書といったCUIが、誰にも正式に分類されることのないまま、メールやファイル共有、下請け企業とのやり取りを通じて流通していたと判明することがあります。CUIはその量に関わらずレベル2を発動させるため、「自社の業務の性質」についての一般的な印象ではなく、実際のデータフローの棚卸しこそが、レベルを確認する唯一信頼できる方法です。
- レベル2に該当する場合、自社のプログラムにセルフアセスメントと第三者認証のどちらが求められるかを確認する。
すべてのレベル2契約が同じ評価負担を課すわけではありません。最も重要な国家安全保障情報に関わるプログラムはC3PAO認証を必要とし、それ以外はセルフアセスメントが認められる場合があります。この違いはコンプライアンスのスケジュールやコストに大きく影響するため、より厳しい方が当然適用されると思い込んだり、逆に確認せずに緩やかな方が適用されると想定したりせず、直接確認する価値があります。
- 不要なレベル3の管理策に過剰投資せず、必要なレベル2の管理策への投資を怠らない。
レベル3は最も機密性の高いごく一部のプログラムのために用意されており、該当する場合は明示的に指定されるため、契約で示されないままレベル3が必要になることは起こりません。より一般的で、より大きな代償を伴うのは逆方向の誤りです。すなわち、自社の業務を「機密性が高い」とは考えていないという理由でレベル1で十分だと思い込んでいる組織が、実際には既にCUIがシステムを流通しており、本当はレベル2が求められているというケースです。
- 本当に判断がつかない場合は、契約担当官または元請け企業に直接確認する。
必要なレベルは解釈の余地がある事柄ではなく、契約に関する事実です。判断を誤れば、どちらの方向であっても実質的な代償が伴います — 準備不足の入札が失格になる場合もあれば、過剰なコンプライアンス体制を構築し、適用されない要件に予算を費やしてしまう場合もあります。
現在のプログラムの状況
レベル1のセルフアセスメントおよび(第三者認証を必要としない契約における)レベル2のセルフアセスメントは、引き続き完全に有効です。最も重要なプログラムを対象としたレベル2のC3PAO認証要件 — 当初は2026年11月からフェーズ2の下で拡大される予定でした — は現在、戦争省の改革タスクフォースによる見直しのため一時停止されており、報告は2026年9月中旬頃を予定しています。Kiteworksが実施した防衛産業基盤(DIB)組織273社を対象とした独自調査では、この一時停止が全体としてコンプライアンス活動を鈍化させたわけではないことが分かりました — 回答者の98%が、何らかの具体的な対応を少なくとも1つ実施していました。詳しい調査結果は「DIBにおけるCMMC 2.0対応状況」をご覧ください。
Kiteworksがすべてのレベルをサポートする仕組み
Kiteworksは、統合データポリシーエンジン、FIPS 140-3検証済み暗号モジュールによるAES-256暗号化、そしてセキュアメール、セキュアファイル共有、マネージドファイル転送、SFTPを横断する単一の統合された改ざん不可能な監査証跡を通じて、CMMC 2.0レベル2要件の約90%を標準機能でサポートします。これは、レベル1の基本的な保護要件を支え、レベル3の強化された管理策セットにも貢献する共通基盤です。Kiteworksはまた、2017年6月から継続的に第三者評価を受けているFedRAMP Moderate認証も取得しています。
自組織の特定のCMMCレベルにKiteworksがどのように対応できるかをご確認いただくには、カスタムデモを予約してください。
よくある質問
必要とされるレベルは、組織が扱うデータの種類によって決まり、通常は契約書または元請け企業からのフローダウン要件に直接明記されています。連邦契約情報(FCI)のみを扱う組織はレベル1が必要です。管理対象非機密情報(CUI)を扱う組織はレベル2が必要です。レベル3は最も機密性の高い国家安全保障プログラムのごく一部にのみ適用され、該当契約の中で指定されるものであり、自主的に選択するものではありません。
実際にどのようなデータが組織内を流通しているかを棚卸しすることなく、レベル1で十分だと思い込んでしまうことです。ある企業は連邦契約情報(FCI)のみを扱っていると考えていても、実際には技術図面や輸出規制対象の仕様書といったCUIが、正式に特定されないまま、メール、ファイル共有、下請け企業との関係を通じて流通している場合があります。CUIはその量に関わらずレベル2を発動させるため、レベルを確認する唯一信頼できる方法は、実際のデータフローの棚卸しであり、組織の業務内容についての一般的な印象ではありません。逆に、不要なレベル3の管理策に過剰投資してしまう間違いはそれほど多くありません。レベル3は常に契約の中で明示的に指定されるため、組織が誤って自社に適用されると思い込むようなものではないからです。
レベル1は基本的な保護対策17項目を求めます。レベル2はNIST SP 800-171から抽出された110の管理策を求めます。レベル3は134の管理策 — レベル2の110項目全てに加え、NIST SP 800-172からの追加の強化管理策24項目 — を求めます。各レベルは積み上げ式になっており、レベル3の組織は、事実上、より広範な管理策セットの一部としてレベル1とレベル2をすでに満たしていることになります。
レベル1からレベル2への移行では、レベル1が一切扱っていない要件のカテゴリー全体を新たに追加することになります — FIPS検証済み暗号技術による暗号化、個々のユーザーの操作を追跡する監査ログ、正式なインシデント対応能力、文書化された継続的リスクアセスメント、そしてレベル1の17項目の対策が対象としていない、NIST SP 800-171のさらに10の追加管理領域への対応です。これは段階的な追加ではなく、範囲と厳格さの両面における大きな飛躍です。レベル2からレベル3への移行では、NIST SP 800-172からのさらに絞り込まれた強化要件を追加します。これは高度で持続的な脅威(APT)への対抗を目的としたもので — より踏み込んだサプライチェーンリスク管理、高度な脅威ハンティング能力、より強固なインサイダー脅威対策 — がレベル2の完全な実装(すでに整備され機能していることが前提)の上に追加されます。
レベル1は常に年次セルフアセスメントによって検証され、このレベルに第三者要件はありません。レベル2はプログラムの重要度によって異なります:最も重要な国家安全保障情報に関わる契約はC3PAOによる第三者認証を必要とし、それ以外のレベル2契約ではセルフアセスメントが認められる場合があります。レベル3では、C3PAOではなく、防衛産業基盤サイバーセキュリティ評価センター(DIBCAC)による政府主導の3年ごとの評価が必要です。
いいえ。レベル1ではPOA&Mは認められておらず、認証前に17項目すべての対策を完全に実装する必要があります。レベル2とレベル3はいずれも、一部の管理策に限り、明確な是正期限を定めた上でPOA&Mを認めています。これにより、組織は初日にすべてを完全実装しなくても、特定のギャップを解消するための文書化された道筋を持つことができます。
