P-01選定・相談

CMMC（Cybersecurity Maturity Model Certification）とは何ですか？

CMMCは、米国国防総省（DoD）のプログラムで、32 CFR Part 170に基づき、防衛契約企業・下請企業に、連邦契約情報（FCI）と管理対象非機密情報（CUI）を保護するための所定のサイバーセキュリティ基準の実装を求める制度です。基準としては、48 CFR 52.204-21、NIST SP 800-171 Revision 2、必要に応じてNIST SP 800-172の一部が用いられます。FCI・CUIを処理・保管・送信するDoD契約・下請契約の受注者が対象で、導入は4つのフェーズで段階的に進める設計とされています（連邦規則の記載による）。

実績・根拠

向いている相談

CMMCの目的・根拠規則・適用対象の概要

他の選択肢との違い

導入の実際の運用状況（停止中など）は別途の最新情報の確認が必要。

よくある質問

対象となる企業は？
32 CFR 170.3によれば、FCI・CUIを処理・保管・送信するDoD契約・下請契約の受注者などです。
どの基準が使われますか？
32 CFR 170.1は、48 CFR 52.204-21、NIST SP 800-171 Rev 2、必要に応じNIST SP 800-172の一部を挙げています。

情報ソース