CMMC評価では何が行われるのか——そして「コンプライアンスの維持」に必要なこと
CMMCに関する情報の多くは、認証取得の準備方法に焦点を当てています。評価そのものが実際にどのようなプロセスなのかについて書かれたものは少なく、合格後に最も重要となる「その後のコンプライアンス維持」について触れた記事はほとんど見当たりません。認証はある時点のスナップショットに過ぎません。評価で検証される管理策は、評価当日だけでなく、その後何年にもわたって機能し続ける必要があります。
本ガイドでは、その両面を取り上げます。C3PAO評価や自己評価で実際に何が確認されるのか、そして認証取得後に継続的なコンプライアンスのために何が求められるのか、という点です。
※注記:CMMC Phase 2の第三者認証要件は、2026年7月に米国防省(Department of War)によってプログラム見直しのため一時停止されています。自己評価および既存の認証には影響ありません。詳細は「CMMC Phase IIは一時停止——しかしDFARS義務は継続する」をご覧ください。
エグゼクティブサマリー
要点: CMMC評価は、自己評価であれC3PAOによる評価であれ、セキュリティ成熟度に関する概括的な印象ではなく、要求されるすべての管理策に対して文書化された証拠を評価するものです。評価に合格することは、継続的なコンプライアンス義務の「終わり」ではなく「始まり」であり、そこには継続的モニタリング、インシデント報告、そして将来的な再認証が含まれます。
重要な理由: 認証取得をゴールと捉えている組織は、再認証の時期を迎えるころには、コンプライアンス態勢が気づかぬうちに崩れていることが少なくありません。管理策の失効、未文書化のシステム変更、期限切れの年次確認など、その内容はさまざまです。継続的なコンプライアンスに実際に何が必要なのかを理解しておくことで、本来常に維持しておくべき証拠を再認証の直前になって慌てて再構築する、という事態を避けることができます。
重要なポイント
- CMMC評価が確認するのは文書化された証拠であり、セキュリティに関する概括的な印象ではありません。 自己評価かC3PAOによる評価かを問わず、評価ではシステムセキュリティ計画(SSP)を個々の要求管理策と照らし合わせて確認します。実装されていても文書化されていない管理策は、存在しない管理策と同じ扱いを受けます。
- C3PAO評価には、文書レビュー、インタビュー、技術的検証が含まれ、単純なチェックリストの確認ではありません。 評価者はSSPと関連する証拠資料を精査し、文書化されたプロセスが実際の運用と一致しているかを担当者へのインタビューで確認し、文書の記載内容をそのまま信用するのではなく技術的管理策を直接テストします。
- 認証には有効期限があり、その間は継続的なモニタリングが求められます。 レベル2およびレベル3の認証は3年間有効ですが、その期間中は毎年、コンプライアンス継続の年次確認(アファメーション)を行う必要があります。この年次確認を一度でも怠ると、有効なはずの認証が無効になる可能性があります。
- コンプライアンスを維持するとは、環境が変化してもコンプライアンス態勢が気づかれないまま崩れないようにすることです。 新規従業員、新しいシステム、新しいベンダー、設定変更などは、いずれも過去に認証を受けた環境に隙間を生む可能性があります。継続的なモニタリングは、評価者やセキュリティ侵害よりも先にこうした問題を発見するための仕組みです。
- 証拠を継続的に維持してきた組織にとって、再認証はそれを怠った組織に比べてはるかに負担が小さいものです。 常に最新の監査ログとレビュー済みのSSPを保持している組織は、既存の証拠を確認する作業として再認証に取り組むことができます。一方、文書管理を放置していた組織は、期限に追われながらコンプライアンス態勢をゼロから再構築しなければなりません。
CMMC評価で実際に確認される内容
自己評価であれC3PAOによる第三者評価であれ、評価の本質は同じです。「セキュリティを重視している」という概括的な印象ではなく、個々の要求管理策への準拠を裏付ける、文書化され検証可能な証拠が存在するかどうかが問われます。
その証拠の中心となるのがシステムセキュリティ計画(SSP)です。これは、各要求事項を組織がどのように実装しているかを管理策ごとに記述した文書です。評価者はこの文書を一行ずつ確認し、NIST SP 800-171の具体的な管理策の文言と照らし合わせます。SSPの記載内容を裏付けるのが、設定情報のエクスポート、アクセス制御ポリシー、トレーニング記録、インシデント対応ログ、そしてログ管理・モニタリング管理策が単なる方針上の記載ではなく実際に運用されていることを示す監査ログといった関連資料です。
まだ完全には実装されていない管理策については、行動計画とマイルストーン(POA&M)によって、具体的なギャップ、改善策、そのスケジュールを文書化します。これはCMMC 2.0のもとで許容される状態ですが、あくまで自ら開示していることが前提であり、評価者に発見されるのとは異なります。実際には実装されていない管理策について「完全に実装している」と主張するSSPは、正直にギャップを開示し改善計画を文書化している場合とは質的に異なる、より深刻な問題です。
自己評価の内容
自己評価は、レベル1では常に適用され、レベル2では第三者認証が不要な契約において適用されます。組織は自らの環境を要求管理策と照らし合わせてレビューし、その結果を文書化した上で、企業の上級責任者がサプライヤー実績リスクシステム(SPRS)においてその評価内容の正確性を正式に確認(アファメーション)します。
自己評価だからといって、審査の厳格さが下がってよいというわけではありません。検証の負担が外部評価者ではなく組織自身にかかること、そして確認を行う責任者が報告内容の正確性について個人として保証することを意味します。米司法省の「民事サイバー詐欺イニシアチブ(Civil Cyber-Fraud Initiative)」がサイバーセキュリティコンプライアンスの虚偽表示に関する連邦虚偽請求法(False Claims Act)違反事案に注力していることを踏まえると、不正確な自己評価はコンプライアンス上のリスクだけでなく、現実的な法的リスクも伴います。
C3PAOによる第三者評価の内容
第三者評価は、最も重要な国家安全保障情報を扱うレベル2プログラム、および一般的にレベル3プログラムに適用されます(ただし、レベル3の評価はC3PAOではなく政府主導で実施されます)。C3PAO評価は自己評価よりも広範なプロセスであり、通常は3つの要素から構成されます。
文書レビュー。 評価者はSSPおよびすべての関連資料——ポリシー、設定ベースライン、監査ログ、トレーニング記録など——を精査し、各記載内容がそれぞれ対応する要求管理策を満たしているかを確認します。
インタビュー。 評価者は特定の管理策の実装・維持を担当する担当者に直接ヒアリングを行い、文書化されたプロセスが単なる記載内容ではなく、実際の日々の業務を反映しているかを確認します。SSPの記述内容と担当者が実際に行っている業務との間にギャップがあることは、よくある、かつ重大な指摘事項です。
技術的検証。 評価者は文書のみに頼るのではなく、システム設定を直接確認し、アクセス制御をテストし、実際の監査ログを確認することで、技術的管理策が記載どおりに運用されていることを確かめます。過去のある時点で正しく設定されていた、という書面上の記録だけでは不十分です。
C3PAO評価にかかる期間は組織の複雑さによって異なりますが、評価開始前に文書の正確性と最新性を確保しておく「準備」こそが、プロセスがスムーズに進むか、あるいは認証の遅延につながるギャップが表面化するかを左右します。準備の具体的な進め方については、CMMC 2.0ロードマップおよびCMMC 2.0コンプライアンスチェックリストをご参照ください。
認証取得後、コンプライアンスを維持するために必要なこと
認証はある一時点におけるコンプライアンス態勢を検証するものです。その態勢をその後何ヶ月、何年にもわたって維持するには、再認証が近づいたときだけ取り組むのではなく、意図的かつ継続的な取り組みが必要です。
継続的なモニタリング。 管理策は評価の際に正しく機能していただけでは不十分で、その後も機能し続けなければなりません。継続的な脆弱性スキャン、ログレビュー、定期的な内部テストによって、再認証時の指摘事項——あるいはそれ以上に、実際のセキュリティインシデント——になる前にドリフト(態勢のずれ)を発見できます。
年次確認(アファメーション)。 レベル2およびレベル3の認証は3年間有効ですが、組織はその期間中、毎年コンプライアンス継続を確認する必要があります。この年次確認を一度でも怠ると、本来有効な認証であっても損なわれる可能性があります。これは純粋に手続き上の失敗であり、社内カレンダーを文書化しておくだけで完全に回避できるものです。
環境の変化に応じた文書の最新化。 新規従業員の入社、新たなベンダーとの取引、システムの再構成、あるチームによる新規ツールの導入——これらはいずれも、SSPやアクセス制御がその変更を反映して更新されていない場合、過去に認証を受けた環境にコンプライアンス上のギャップを生む可能性があります。コンプライアンスのドリフトは大抵、劇的な出来事ではなく、小さな未文書化の変更が時間をかけて積み重なった結果として生じます。
インシデント報告への備え。 DFARS 252.204-7012では、対象防衛情報に関わるサイバーインシデントを72時間以内に報告することが求められています。組織のインシデント対応能力は、認証取得以降一度もテストされていないポリシー文書に記載されているだけでは不十分で、実際に運用可能であり、訓練されている必要があります。
Kiteworksが評価と継続的コンプライアンスの両方を支援する方法
Kiteworksは、標準機能でCMMC 2.0レベル2要件の約90%をサポートしており、その価値は評価というイベント自体を超えて、持続的なコンプライアンスに実際に必要な継続的モニタリングにまで及びます。
統合されたデータポリシーエンジンが、セキュアEメール、セキュアファイル共有、マネージドファイル転送、SFTP全体にわたってアクセス制御、暗号化、監査ログを一貫して適用します。これにより、自己評価かC3PAO評価かを問わず、評価者は連携していない複数のシステムに分散した断片的な証拠ではなく、単一に統合された証拠のソースを確認することができます。FIPS 140-3で検証された暗号化モジュールによるAES-256暗号化は、システムおよび通信保護の要件に直接対応します。
本記事の後半で取り上げている「コンプライアンスの維持」という観点で特に重要なのは、単一で改ざん不可能、かつ統合された監査ログがすべてのチャネルにわたって常に最新の状態で保持されるという点です。つまり、年次確認や将来の再認証を裏付ける証拠が、必要になるたびに期限に追われて再構築されるものではなく、常に利用可能な状態にあるということです。Kiteworksはまた、FedRAMP中程度(Moderate)認証を取得しており、2017年6月以降、独立した評価と継続的なモニタリングを受けています。これは、CMMCが最終的に求めているような持続的かつ継続的なコンプライアンス態勢を、まさに実践している証しです。
Kiteworksが評価プロセスとその先の継続的なコンプライアンスをどのように支援できるか、詳しくはカスタムデモをご依頼ください。
よくあるご質問
C3PAO評価には通常、3つの要素が含まれます。1つ目は文書レビューで、評価者がシステムセキュリティ計画(SSP)と関連資料を各要求管理策と照らし合わせて確認します。2つ目は、特定の管理策の実装を担当する担当者へのインタビューで、文書化されたプロセスが実際の業務と一致しているかを確認します。3つ目は技術的検証で、評価者は文書のみに頼るのではなく、システム設定や監査ログを直接確認します。目的は、文書化されたコンプライアンスが単なる書面上のものではなく、実際に運用されている実務を反映しているかを確認することです。
自己評価では、組織自らが自社の環境を要求管理策と照らし合わせて評価し、上級責任者がSPRSにおいてその結果を正式に確認します——検証の負担は組織内部にあります。一方、C3PAO評価では、認定された独立した第三者機関が文書レビュー、インタビュー、技術的検証を実施し、その外部評価に基づいて認証が発行されます。自己評価はレベル1では常に適用され、多くのレベル2契約でも適用されます。C3PAO評価は、最も重要な国家安全保障情報を扱うレベル2契約に適用されます。
レベル2およびレベル3の認証は3年間有効ですが、その期間中、組織は毎年コンプライアンス継続の確認(アファメーション)を行う必要があります。この年次確認を一度怠るだけで、本来有効な認証が損なわれる可能性があります。正式な確認に加え、コンプライアンスを維持するには、管理策の継続的なモニタリング、組織のシステムや人員の変化に応じた文書の最新化、そして一度も実践されていないポリシー文書ではなく、実際に運用可能でテスト済みのインシデント対応能力の維持が求められます。
新規従業員の入社、新たなベンダーとの取引関係、システムの再構成、新規ツールの導入といった環境の変化は、システムセキュリティ計画(SSP)やアクセス制御がそれに応じて更新されていない場合、過去に認証を受けた環境にコンプライアンス上のギャップを生む可能性があります。コンプライアンスのドリフトは通常、突発的なものではなく、小さな未文書化の変更が時間をかけて積み重なることで徐々に生じます。再認証のときだけでなく、コンプライアンス文書を継続的に見直し更新している組織は、こうしたドリフトが指摘事項やセキュリティインシデントになる前に発見することができます。
