政府機関が知っておくべきサイバーセキュリティ成熟度モデル認証（CMMC）

Ryan Johnson

年初、米国国防総省（DoD）は、同省の広大なサプライチェーンのセキュリティ確保を目的とした、待望の統一基準であるCybersecurity Maturity Model Certification（CMMC）バージョン1.0を公開しました。たとえば、他国との緊張が高まると、報復はサイバー空間だけでなく、「脆弱性を抱えている可能性のある防衛請負業者」を通じても行われるのではないかと、多くの人が懸念します。

CMMCは、5年間かけて導入される中で、こうした脆弱性を完全に排除できないまでも軽減し、国家安全保障上の重大な課題に対処することを目的としています。防衛産業基盤（DIB）には30万社を超える企業が含まれますが、これまでこれらの企業に対する監督が著しく不足していました。各社は自社のシステム上で機密性の高い防衛情報にアクセスし、保存しています。CMMCは、この情報の保護に向けた重要な一歩です。

長期的なメリットがある一方で、CMMCは多くの請負業者に短期的な混乱をもたらす可能性があります。請負業者は、業務内容に応じて、新たに設けられた5段階のセキュリティレベルのいずれかを満たす必要があります。ただし、セキュリティ態勢を改善するための出発点は、おおむね共通しています。

CMMCへの準備

CMMCへの対応に伴い、セキュリティのベストプラクティスを習得したい場合は、継続的なセキュリティを重視する米国国立標準技術研究所（NIST）サイバーセキュリティフレームワークが出発点として適しています。NISTフレームワークは、特定、防御、検知、対応、復旧という5つのカテゴリー（機能）に分かれています。

最初のカテゴリーである「特定」は、言うまでもなく基盤となるものです。脅威を特定するには、まず自社のシステム全体を把握する必要がありますが、BYODやシャドーITが普及した現在では容易ではありません。従業員、資産、データを完全に把握していなければ、システムを保護することはできません。ただし、アプリケーション中心の可視化からSSL可視化まで、この可視性の確保に役立つツールは数多くあります。SSL可視化では、トラフィックを復号して再暗号化し、マルウェアが含まれていないことを確認します。

継続的な監視

システムとデータを完全に可視化して初めて、一般的なWebエクスプロイトや悪意のあるIP、組織的な攻撃手法などから保護するために必要な対策を講じることができます。アクセス管理は、シングルサインオン、セキュアなVDI、特権ユーザーアクセスなどを通じて、悪意のある攻撃者から保護する方法の1つです。つまり、連邦政府は、請負業者が申告どおりの人物であることを確認し、それに応じて適切なレベルのアクセス権を付与できる必要があります。

ただし、入口での対策だけではセキュリティは確保できません。ユーザーの認証後も、企業はそのアクティビティの監視とログ記録を継続し、NISTフレームワークの3つ目の要素である迅速な検知を実現する必要があります。そのために、行動分析、人工知能、機械学習を活用してトラフィックを分析し、リスクのある行動や異常な行動を検出できます。

最初の3つのステップを実施しなければ、残る2つのステップ、すなわち対応計画と、影響を受けたシステムおよび資産の復旧計画の策定は、ほぼ不可能です。もちろん、CMMCの目標は、この最後の2つのステップが必要となる事態をまれにすることです。継続的な監視により、DoDの請負業者や下請業者が侵害を受けること自体を防ぐことを目指します。

要点

短期的には、米国国防総省（DoD）のサプライチェーンに属する企業は、可視性、保護、迅速な検知を支援するテクノロジーに投資すべきです。これにより、認証取得とセキュリティに必要な基盤を構築できます。多くの請負業者にとってCMMCへの対応は困難に思えるかもしれませんが、実際には、長年にわたる対策不足を受けて必要となった取り組みです。

それでも、この新たなセキュリティレベルによって、サプライチェーンで重要な役割を担う小規模な下請け企業が締め出されないようにすることが重要です。幸い、DoDの推定では、ほとんどの請負企業に必要なのは、基本的なサイバー衛生を中心とするレベル1認証のみです。これは、機密性の高い政府データにアクセスしない企業でも導入すべきベストプラクティスです。防衛産業基盤に属する企業にとって、保護と検知への対応は一刻の猶予もありません。

著者について

Ryan Johnson

Ryan Johnsonのその他のブログ記事