[C3] 次のDoDの施策～NAS 9933からCMMCへ

米国航空宇宙産業協会とExostar社によるNAS 9933の取組

　DFARS 252.204-7012/NIST SP 800-171適用の動きの中で、AIA（Aerospace Industries Association：米国航空宇宙産業協会）は、これとは少し異なる独自のアプローチとして「NAS 9933」を併行的に開発、公表しました。

　NAS 9933は、A&D（航空・宇宙・防衛）業界およびライフサイエンス業界の認証・サイバーセキュリティ対策をリードするExostarのサービス「PIM(パートナー情報管理：Partner Information Manager）」に端を発しています。PIMとは、各企業の適切な有資格者により正確に作成されたアンケート（Cyber Security Questionnaire）情報を活用して、パートナー企業（ボーイング、ロッキードマーティン、レイセオン、BAE等）及びサプライチェーンを構成する企業に存在する全てのサイバーセキュリティ上のリスク対応と、全体的な情報を各組織で共有することにより、セキュリティリスク軽減を可能とさせるセルフサービスアプリケーション型のプラットフォームです。

　ここで使われる管理策評価基準は、22項目（ファミリー）にまたがる194の管理策に対してYes/Noのアンケート回答する形式で、具体的で回答しやすく工夫されています。それぞれの管理策は5段階のレベルに分けられており、自社の対応レベルが自動的に判定できる仕組みとなっています。

　AIAのNAS 9933は、このExostar PIMのアンケートを出版物として公表したものです。

米国防総省によるCMMCの取組み

　このAIAのNAS 9933の考え方の提案を受けて、米国防総省はNIST SP 800-171管理策を展開して「５段階（レベル）評価」を加えた新しい認定制度の仕組みとしてCMMC（Cybersecurity Maturity Model Certification）を適用することを宣言しました。
　現在粛々とルール作りが進んでおり、2020年1月にはVer. 1.0が公表されました。（※その後、3月にマイナーバージョンアップされ、Ver.1.02が公開されています。）そして、2020年11月には一部適用が開始される見通しです。CM MCはNAS 9933に倣って、各要求項目を５段階のレベルおよびプロセスに分けて評価するしくみとしています。また、C3PAO（Certified Third-Party Assessment Organizations：第三者評価認定機関）を認定し、客観的なレベル評価が行えるようにしています。

　なお、現段階においてCMMCはあくまで米国防総省としての取り組みであり、その他の連邦政府各機関が取り組んでいるものではありません。また、米国防総省においても、これが正式に発効するのは、調達規則であるDFARS 252.204-7012の改訂が行われた後となります。
　CMMCでは、管理策として全てのNIST SP 800-171要件を使用しており、従来は一律に全適用を求めていたものを、レベル分けしたものです。従って、これまでの連邦政府の方針と矛盾するものではありません。

　CMMCの情報は、OUSD（A&S）（Office of the Under Secretary of Defense for Acquisition and Sustainment：調達と持続性のための国防長官室）のサイトに公開されています。
　以下に、CMMCの概要を紹介します。

＜CMMC概要＞

　OUSD（A&S）は「防衛産業基盤企業のサプライチェーンにおける、FCI（Federal Contract Information：連邦契約情報）とCUI（Controlled Unclassified Information：管理対象非機密情報）の保護」を目的に、CMMCを開発しています。
　CMMCの開発に当たっては、米国防総省のステークホルダー、UARC（University Affiliated Research Centers：大学関連研究センター）、FFRDC（Federally Funded Research and Development Centers：連邦資金研究開発センター）、ジョンズ・ホプキンズ大学応用物理学研究所（APL）、カーネギーメロン大学ソフトウェア工学研究所（SEI）、および産業界と協力して、さまざまなサイバーセキュリティ標準をレビューし、サイバーセキュリティの1つの統一標準としてCMMCに統合しようとしています。

　CMMCは、FCIとCUIを保護する防衛産業基盤企業のセキュリティ対応能力を、客観的に評価するための米国防総省の認証プロセスです。
　CMMCは成熟度モデルの構成をとっており、ソフトウェア開発等の成熟度モデルとして確立されているCMMI（Capability Maturity Model Integration：能力成熟度モデル統合）と同様に、定義された領域に対し、実施すべきプロセス、プラクティスが成熟度レベルにマップされています。

　CMMCはさまざまなサイバーセキュリティ基準を参考に、NIST SP 800-171の要件をカバーすべく、基本的なサイバー予防策から高度なプラクティスまで、ベストプラクティスとプロセスを５つの成熟度レベル（レベル1〜5）にマップしています。
　CMMCは、NIST SP 800-171 rev.1、 NIST SP 800-172、英国のCyber Essentials、オーストラリアのEssential Eight等、複数のソースからのプラクティスを組み込んでいます。

　またCMMCは、サイバーセキュリティ要件の実装状況を客観的に検証するための認証の枠組みも含んでいます。

　CMMCは、多層サプライチェーンの下請け事業者へのフローダウンを考慮し、防衛産業基盤企業がFCIおよびCUIをリスクに見合ったレベルで適切に保護できることについて、適切に認証されるように設計されています。なお、下請け事業者も含め、米国防総省の案件を受託するサプライチェーン各社は全て、CUIの取扱いの有無にかかわらず、レベル１のCMMC認証は取得する必要があります。

＜CMMCレベル＞

　CMMCモデルでは5つの成熟度レベルが定義されています。
特定のCMMCレベルを満たすには、該当レベル以下の全てのレベルの「プラクティス」と「プロセス」を満たす必要があります。

　なお、CMMCのプラクティスは、NIST SP 800-171の管理策をほとんど採用しており、171の110項目をレベル１から３にマッピングした形となっています。また、レベル４および５は、さらに高度な対応を求められる企業に要求され、管理策もSP 800-172（従来のDraft NIST SP 800-171B）のものが充てられています。
　各レベルと、管理策の関係（個数等）を以下に示します。