CMMC レベル 2 準拠達成 は何をしますか？
使用すべき状況
- 国防産業基盤 (DIB) の組織が、DoD契約に基づき 機密扱い未分類情報 (CUI) を保存、処理、または送信する場合。
- 契約に DFARS 252.204-7012（保護/インシデント報告）、-7019/-7020（NIST 800-171 自己評価 + SPRS）、または新しい -7021（CMMC要件）が含まれている場合。
- C3PAO による第三者評価またはDoD主導の評価の準備をしている場合。
- NIST SP 800-171 DoD評価方法論に基づいて、SPRSスコアを計算、投稿、または改善する必要がある場合。
- 110の要件に対する システムセキュリティ計画 (SSP) および POA&M を作成または是正する場合。
- どのアセットがCUI/FCI境界内に該当するかの スコーピング（CUIアセット、セキュリティ保護アセット、請負業者リスク管理アセット、対象外）を行う場合。
前提条件
- どの契約が CUI を扱い、関連するCUIカテゴリが何であるかの知識（契約およびDoD CUIレジストリを確認）。
- 管理策を評価する前に CMMC評価範囲 を定義できる、アセットインベントリとネットワーク図。
- NIST SP 800-171 Rev 2 要件と DoD評価方法論 のスコアリング重み。
- 文書化された SSP（その欠如自体が要件違反 — 3.12.4）。
- CUIに触れる 外部サービスプロバイダ (ESP) / クラウドサービスの特定、およびそれらが FedRAMP Moderate（または同等） を満たしているかどうか。
ワークフロー
1. 適用範囲とCUIカテゴリの決定
契約にCMMCレベル2が必要であることを確認する（CUIが存在し、FCIのみでない）。FCIのみの契約は レベル1（FAR 52.204-21の15要件）。契約とDoD CUIレジストリからCUIカテゴリを特定する。
2. 環境のスコーピング
すべてのアセットをCMMCスコーピングカテゴリのいずれかに分類する:
- CUIアセット — CUIを処理/保存/送信する（範囲内、該当するすべての管理策に対して評価）。
- セキュリティ保護アセット — CUI環境にセキュリティを提供する（範囲内）。
- 請負業者リスク管理アセット — CUIを扱う可能性はあるが意図しない、ポリシーで管理されるもの。
- 特殊アセット (IoT/OT、GFE、試験装置) — 文書化され、限定された評価。
- 対象外 — CUIから物理的/論理的に分離されている。
範囲を意図的に最小化する — 小さく適切にセグメント化されたCUIエンクレーブは、フラットなネットワークよりもはるかに安価に認証できる。
3. 110の要件の実装 (NIST SP 800-171 Rev 2)
14のファミリー（3.1–3.14）に取り組む。各要件について実装し、その 方法 をSSPに記述する。早期に効果が高い取り組み：MFA（3.5.3）、FIPS検証済み暗号化（3.13.11）、監査ログ（3.3.x）、アクセス制御＋最小権限（3.1.x）、インシデント対応（3.6.x）。
4. DoD評価方法論によるスコアリング (SPRS)
110 から開始し、各 未達成 要件の加重値（1、3、または5ポイント）を減算する。一部の管理策（例：MFA、FIPS暗号化）には部分点が適用される。結果が SPRSスコア（最大110、方法論の下限は-203）。スコア、SSP日付、評価範囲を SPRS（またはより高度な評価の場合はeMASS）に投稿する。
5. 準拠したPOA&Mの構築
すべての未達成要件について、責任者、是正措置、マイルストーンを文書化する。CMMC規則に基づく制約: 条件付き ステータスには少なくとも 80%（≥ 88/110）のスコアが必要であり、POA&M対象 の要件のみが延期可能である（最も重みの高いセキュリティ要件は完全に満たされている必要がある — 32 CFR Part 170に照らして対象資格を確認）、およびすべてのPOA&M項目は条件付き→最終ステータスに変換するために 180日以内にクローズ されなければならない。
6. 評価（自己またはC3PAO）
- レベル1 およびレベル2の一部 = SPRSでの宣誓を伴う年次 自己評価。
- レベル2（ほとんどのCUI契約） = 3年ごとの C3PAO 認証評価。
- レベル3 = DoD（DIBCAC）によるレベル2に基づく評価、SP 800-172の強化要件を追加。 評価者は各目的を証拠（審査/インタビュー/テスト）に基づき MET / NOT MET / N/A として評価する。上級役員が継続的準拠の 年次宣誓 を提出する。
7. 認証の維持
認証の有効期間は 3年間 で、年次宣誓 が必要。SSPを維持し、変更時に再スコアリングし、エビデンスを最新に保ち、重要な変更を評価にフィードバックする。
主要概念
| 概念 | 定義 |
|---|---|
| FCI | 連邦契約情報 — レベル1が保護する（FAR 52.204-21）。 |
| CUI | 機密扱い未分類情報 — レベル2が保護する（NIST 800-171）。 |
| 110要件 | 14のファミリーにわたるSP 800-171 Rev 2のセキュリティ要件。 |
| SPRS | 供給者パフォーマンスリスクシステム — 800-171スコアが投稿される場所。 |
| DoD評価方法論 | 110からスコアを計算するための1/3/5ポイント加重。 |
| C3PAO | CMMC第三者評価機関 — レベル2認証を実施。 |
| POA&M | 活動計画とマイルストーン — 限定的で、最終ステータスには180日以内にクローズが必要。 |
| 条件付き vs 最終 | 条件付き = 未クローズのPOA&M（スコア≥80%）; 最終 = すべての管理策が満たされている。 |
| ESP | 外部サービスプロバイダ — CUIに対してFedRAMP Moderate / 同等の要件を満たす必要がある。 |
| スコーピングカテゴリ | CUI / セキュリティ保護 / 請負業者リスク管理 / 特殊 / 対象外。 |
ツールとシステム
- NIST SP 800-171 Rev 2 — 110の要件（および評価目的の800-171A）。
- DoD NIST SP 800-171 評価方法論 — スコアリング加重。
- 32 CFR Part 170 (CMMCプログラム規則) および 48 CFR / DFARS 252.204-7021 (調達規則)。
- SPRS — スコア投稿; SAM.gov — 登録用。
- SP 800-172 / 800-172A — レベル3の強化要件。
- GRC / コンプライアンスツール — SSP、POA&M、エビデンスを管理するため（例: Xacta、RegScale、FutureFeedスタイルのトラッカー）。
一般的なシナリオ
- プライムがCUIをサブに流す。 サブは独自のレベル2スコープ、SSP、SPRSスコア、および（ほとんどの場合）C3PAO認証を必要とする。
- スコアが88未満。 最も重みの高い未達成要件（5ポイント、次に3ポイント）を優先し、条件付きしきい値をクリアしてPOA&Mを縮小する。
- クラウドがCUIを保持している。 サービスがFedRAMP Moderate認可または同等の要件を満たしていることを確認し、責任分担を文書化する。
- フラットネットワーク。 管理策に費用をかける前に、セグメント化されたCUIエンクレーブに再スコープして評価対象を削減する。
- 年次宣誓期限。 上級役員がSPRSで継続的準拠を宣誓する; 期限を過ぎると契約資格を失うリスクがある。
出力形式
assets/template.md を使用して CMMC レベル2 準備状況レポート を作成する。内容は以下の通り:
- 適用範囲とCUIカテゴリ — レベル2が適用される理由。
- スコープ — スコーピングカテゴリ別のアセットとCUI境界図の参照。
- ファミリー別の管理策ステータス — 14のファミリーにわたる met / not met / N/A。
- SPRSスコア — 計算されたスコア、控除額、110および88のしきい値とのギャップ。
- POA&M — 未達成要件、対象資格チェック、責任者、180日のマイルストーン。
- 評価パス — 自己評価 vs C3PAO、目標日、宣誓責任者。
- 是正ロードマップ — ポイント値と労力で順序付け。
scripts/process.py を使用して、管理策ステータスJSONからSPRSスコアを計算し、POA&M対象資格の問題をフラグ付けし、条件付き認証しきい値へのギャップを報告する。