[C] 米国連邦政府調達のサイバーセキュリティ要件＝CUI

これからの情報保護対策～CUI保護要件への対応

　米国連邦政府を代表して国防総省は、2018年1月1日から管理対象非機密情報（CUI）を扱う全ての契約事業者に、規準の遵守とサイバーインシデント発生時の報告を義務づける規則を発効しました。規則は「管理対象防衛情報（CDI）の保護とサイバーインシデント報告（DFARS 252.204-7012）^(*1)」であり、規準が「非連邦政府組織およびシステムにおける管理対象非機密情報（CUI）の保護（NIST SP 800-171）^(*2)」です。
　現状において、米国の情報保護対策は防衛関連の日米共同開発プログラムなどの案件が対象となり、一部の日本企業への対応要求がすでに来ています。なお、この規則は防衛関連だけでなく、全ての連邦政府案件に対象を広げる準備が進んでいます。
　この規則の特徴は、インターネット時代にふさわしく「CUI情報を電子データとしてクラウドに管理すること」を大前提としています。また従来と異なり、サプライチェーンに関わるCUIを扱う全ての事業者（下請け企業等）に同じ要求がフローダウンされることなどの要件が規定されています。

サイトの目次

1. C1 米国連邦政府調達に適応される規則
2. C2 DFARS 252.204-7012対象案件の契約にあたって
3. C3 次のDoDの政策～NAS 9933からCMMCへ
4. C4 NIS-BeによるCUI対策サポートサービス
5. C5 我が国のサプライチェーンを強くする～DFARS/171
6. C6 米国航空宇宙産業における取組み～EXOSTAR～

---

　本稿の内容による「米国の情報セキュリティに関する動向」（2020.9.30実施 NIS-Beセミナー、約１時間）の講演ビデオをご覧いただけます。

1. 『CUIとNIST SP 800-171（久野保之氏）９分』
2. 『DoDの取り組み CMMC（濱田真輔氏）７分』
3. 『CMMCの概要（濱田真輔氏）７分』
4. 『CMMC-ABとは（濱田真輔氏）１１分』
5. 『CMMC-ABの活動状況（濱田真輔氏）１１分』
6. 『サプライチェーンとP2MA（久野保之氏）１２分』

　以上の６コマに分けてご紹介しています。

---

参考文献

(*1) DFARS 252.204-7012
Safeguarding Covered Defense Information and Cyber Incident Reporting
「管理対象防衛情報（CDI）の保護とサイバーインシデント報告」

(*2) NIST SP 800-171
Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations　(NIST 2017)
「非連邦政府組織およびシステムにおける管理対象非機密情報（CUI）の保護」