achieving-cmmc-level-2-compliance

CMMC レベル 2 準拠の達成

使用する場面

• **防衛産業基盤（DIB）の組織が、DoD 契約に基づいて管理対象非機密情報（CUI）**を保存、処理、または送信する場合。
• 契約に DFARS 252.204-7012（保護／インシデント報告）、-7019/-7020（NIST 800-171 自己評価 + SPRS）、または新しい -7021（CMMC 要件）が含まれる場合。
• C3PAO による第三者評価、または DoD 主導の評価に備える場合。
• NIST SP 800-171 DoD Assessment Methodology に基づいて、SPRS スコアを算出、登録、または改善する必要がある場合。
• 110 件の要件に対応する **システムセキュリティ計画（SSP）**と POA&M を作成または是正する場合。
• CUI/FCI の境界内に含まれる資産（CUI 資産、セキュリティ保護資産、請負業者リスク管理資産、対象外）をスコープ設定する場合。

前提条件

• どの契約に CUI が含まれるか、および該当する CUI カテゴリに関する知識（契約書と DoD CUI Registry を確認してください）。
• 管理策の評価前にCMMC 評価スコープを定義するための資産インベントリとネットワーク図。
• NIST SP 800-171 Rev 2 の要件と DoD Assessment Methodology の採点ウェイト。
• 文書化された SSP（SSP がないこと自体が要件 3.12.4 の不適合となります）。
• CUI に関わる 外部サービスプロバイダー（ESP）／クラウドサービスの特定、および **FedRAMP Moderate（または同等性）**への適合状況。

ワークフロー

1. 適用対象と CUI カテゴリを特定する

契約で CMMC レベル 2 が要求されていることを確認します（FCI だけではなく CUI が存在すること）。FCI のみの契約はレベル 1（FAR 52.204-21 の 15 要件）です。契約書と DoD CUI Registry から CUI カテゴリを特定します。

2. 環境のスコープを設定する

すべての資産を、次の CMMC スコープカテゴリのいずれかに分類します。

• CUI 資産 — CUI を処理／保存／送信する（スコープ内で、該当するすべての管理策に照らして評価）。
• セキュリティ保護資産 — CUI 環境にセキュリティを提供する（スコープ内）。
• 請負業者リスク管理資産 — CUI を扱う可能性はあるものの、扱うことを意図していない資産。ポリシーによって管理します。
• 特殊資産（IoT/OT、GFE、試験機器）— 文書化し、限定的に評価します。
• 対象外 — CUI から物理的または論理的に隔離されています。

意図的にスコープを最小化してください。適切にセグメント化された小規模な CUI エンクレーブは、フラットなネットワークよりもはるかに低コストで認証を取得できます。

3. 110 件の要件を実装する（NIST SP 800-171 Rev 2）

14 ファミリー（3.1～3.14）に取り組みます。各要件を実装したうえで、その方法を SSP に記述します。早期に取り組むと効果の大きい項目は、MFA（3.5.3）、FIPS 検証済み暗号（3.13.11）、監査ログ（3.3.x）、アクセス制御 + 最小権限（3.1.x）、インシデント対応（3.6.x）です。

4. DoD Assessment Methodology（SPRS）で採点する

110 点から開始し、未達成の各要件について、その加重値（1、3、または 5 点）を差し引きます。一部の管理策（例：MFA、FIPS 暗号）には部分点が適用されます。その結果が SPRS スコアです（最大 110 点。採点方式上の最低点は −203 点）。スコア、SSP の日付、評価スコープを SPRS（または、より高位の評価では eMASS）に登録します。

5. 準拠した POA&M を作成する

未達成の要件ごとに、担当者、是正措置、マイルストーンを記録します。CMMC 規則上の制約： **条件付き（Conditional）ステータスには 80% 以上（110 点中 88 点以上）のスコアが必要です。延期できるのは POA&M 対象要件のみです（最も加重値の高いセキュリティ要件は完全に達成する必要があります。対象要件は 32 CFR Part 170 で確認してください）。また、条件付きから最終（Final）**に移行するには、すべての POA&M 項目を 180 日以内に完了する必要があります。

6. 評価（自己評価またはC3PAO）

• レベル1およびレベル2の一部＝SPRSでの誓約を伴う年次の自己評価。
• レベル2（CUIを扱う契約の大半）＝3年ごとのC3PAO認証評価。
• レベル3＝レベル2に加えて、DoD（DIBCAC）による評価を実施し、SP 800-172の拡張要件を追加します。 評価者は、証拠（確認／インタビュー／テスト）に基づき、各評価項目を適合／不適合／該当なしとして判定します。上級責任者は、継続的なコンプライアンスに関する年次の誓約を提出します。

7. 認証の維持

認証の有効期間は3年間で、年次の誓約が必要です。SSPを維持し、変更時にはスコアを再計算し、証拠を最新の状態に保ち、重大な変更を評価に反映してください。

主な概念

概念	定義
FCI	連邦政府契約情報 — レベル1で保護します（FAR 52.204-21）。
CUI	管理対象非機密情報 — レベル2で保護します（NIST 800-171）。
110要件	14のファミリーにわたるSP 800-171 Rev 2のセキュリティ要件です。
SPRS	サプライヤー・パフォーマンス・リスク・システム — 800-171のスコアを登録する場所です。
DoD評価方法論	110項目からスコアを算出するために使用される1／3／5点の配点です。
C3PAO	CMMC第三者評価機関 — レベル2の認証評価を実施します。
POA&M	行動計画とマイルストーン — 対象は限定されており、最終ステータスを得るには180日以内に完了する必要があります。
条件付きと最終	条件付き＝POA&Mが未完了（スコアが80%以上）、最終＝すべての管理策に適合。
ESP	外部サービスプロバイダー — CUIを扱うにはFedRAMP Moderateまたは同等性を満たす必要があります。
スコープ分類	CUI／セキュリティ保護／請負業者リスク管理／特殊／スコープ外。

ツールとシステム

• NIST SP 800-171 Rev 2 — 110の要件（および評価項目を定めた800-171A）。
• DoD NIST SP 800-171評価方法論 — スコアの配点。
• 32 CFR Part 170（CMMCプログラム規則）および48 CFR／DFARS 252.204-7021（調達規則）。
• SPRS — スコアの登録先、SAM.gov — 登録に使用します。
• SP 800-172／800-172A — レベル3の拡張要件。
• GRC／コンプライアンスツール — SSP、POA&M、証拠を管理するために使用します（例：Xacta、RegScale、FutureFeedのようなトラッカー）。

よくあるシナリオ

• 元請けがCUIを下請けに渡す。 下請けには、独自のレベル2スコープ、SSP、SPRSスコア、および（ほとんどの場合）C3PAO認証が必要です。
• スコアが88未満。 未達要件のうち配点が最も高いもの（5点、次に3点）を優先して対応し、条件付き認証の基準を満たしてPOA&Mを縮小します。
• クラウドでCUIを保管する。 サービスがFedRAMP Moderateの認証を受けているか、同等性を満たしていることを確認し、責任分担を文書化します。
• フラットネットワーク。 管理策に費用をかける前に、CUIエンクレーブをセグメント化してスコープを見直し、評価対象の範囲を縮小します。
• 年次の誓約期限が到来。 上級責任者がSPRSで継続的なコンプライアンスを誓約します。期限を過ぎると、契約資格を失うおそれがあります。

出力形式

assets/template.mdを使用してCMMCレベル2準備状況レポートを作成し、以下を含めてください。

1. 適用可能性とCUIカテゴリー — レベル2が適用される理由。
2. スコープ — スコープ分類ごとの資産、およびCUI境界図への参照。
3. ファミリー別の管理策のステータス — 14のファミリーにわたる適合／不適合／該当なし。
4. SPRSスコア — 算出スコア、減点項目、110点および88点の基準までの差。
5. POA&M — 未達要件、適格性の確認、担当者、180日間のマイルストーン。
6. 評価の進め方 — 自己評価かC3PAOか、目標日、誓約の責任者。
7. 是正ロードマップ — 配点と作業量に基づく対応順。

scripts/process.pyを使用して、管理策のステータスを記録したJSONからSPRSスコアを算出し、POA&Mの適格性に関する懸念事項を指摘し、条件付き認証の基準までの差を報告します。