セキュリティ体制は「最後に評価した時点」でしか担保されない

セキュリティ体制は「最後に評価した時点」でしか担保されない

更新されたCybersecurity Maturity Model Certification(CMMC)は、防衛産業基盤(DIB)を保護するための国防総省(DoW)戦略における重要な進化を表しています。これは単なる規制上のハードルではなく、DIBが直面する急速に変化し、ますます敵対的になる脅威環境への直接的な対応です。

2025年に発行された更新版CMMCガイダンスは、従来のフレームワークを簡素化し、米国国立標準技術研究所(NIST)特別刊行物(SP)800-171に沿った最も重要なセキュリティ対策に焦点を当てています。その根本的な目的は変わっていません。すなわち、機密扱いではないものの機微な防衛情報――具体的には連邦契約情報(FCI)および管理対象非機密情報(CUI)――を、海外の敵対勢力から保護することです。

Horizon3

更新されたCMMCの段階。画像出典: https://dodcio.defense.gov/cmmc/About/ 

CMMC導入フェーズ

CMMCの要件は、組織と監査機関双方の負担を軽減するため、段階的に導入されています。

• フェーズ1(2025年11月10日～2026年11月9日): レベル1およびレベル2の自己評価に重点を置く
• 2026年11月10日以降: 入札公告にレベル2認証が要求される

元請け業者から専門性の高い小規模な機械加工工場まで、DIB全体にわたる数千社の企業にとって、コンプライアンス対応は選択肢ではありません。それはDoWとの取引を行うための前提条件であり、サプライチェーン全体にわたって標準化された測定可能なセキュリティアプローチを確立するものです。

攻撃者の戦略シフト

攻撃者の戦略的な焦点は変化しています。防御が固い元請け業者に対してコストのかかる直接攻撃を仕掛けるのではなく、サプライチェーンの中で最も弱い部分を標的にする傾向が強まっています。

サプライヤーや下請け業者は、しばしば次のような特徴を持ちます。

• 価値ある知的財産、設計図、運用上の詳細情報を保有している
• 大手防衛企業と同等のセキュリティリソースを持たずに事業を運営している

こうした業務活動は、より広範なエコシステムへの侵入経路を生み出します。いずれかの階層で発生した侵害は、サプライチェーン全体に波及し、機微情報の漏えいやミッション成果への影響を引き起こす可能性があります。

「点」のセキュリティが持つ限界

従来型のサイバーセキュリティコンプライアンスのモデルは、定期的かつある一時点における評価に依存してきました。このアプローチは、動的で相互接続されたサプライチェーンという文脈においては、本質的に限界があります。

セキュリティは静的なものではありません。数週間前には準拠していた体制でも、次のような要因によって脆弱な状態に陥ることがあります。

• 新たなエクスプロイトやゼロデイ脆弱性の出現
• システム構成の変更
• 新しい技術やシャドーITの導入

核心となる問題はシンプルです。セキュリティ体制は「最後に評価した時点」でしか担保されないということです。 常に変化し続ける環境の中で、このモデルはコンプライアンスと実際のリスクとの間に持続的なギャップを残してしまいます。

継続的な検証の実現

Horizon3.aiのNodeZero Federal™は、セキュリティ検証に対してより継続的なアプローチを可能にします。従来のペネトレーションテストや脆弱性スキャンとは異なり、NodeZeroは悪用可能な弱点を特定・検証し、それらがどのように連鎖して悪用され得るかを示します。

これにより組織は、次のことが可能になります。

• 継続的な統制の検証: 監査時だけでなく、日常的に有効性を実証できる
• コンプライアンスギャップの解消: 文書化にとどまらず、統制が実世界のリスクをどう軽減しているかを示す
• 攻撃経路の特定: 攻撃者が環境内をどのように移動し得るかを理解する

このアプローチは、セキュリティ体制とリスクに対するより現実的な理解を後押しします。

対象範囲の拡大:企業単体からエコシステム全体へ

FCIおよびCUIに関するサプライチェーンセキュリティの強化は、DoWのリスクへの取り組み方における、より広範な転換を示しています。焦点はもはや個々のネットワークの保護にとどまらず、DIBエコシステム全体へと広がっています。

目指すべきものは、コンプライアンス対応だけでなく、次の点も含まれます。

• 測定可能なリスク低減
• 相互接続された環境全体でのレジリエンス向上
• ミッション継続性の保証

元請け業者への影響

CMMCは、以前から存在していた現実――元請け業者のセキュリティ体制は、そのサプライヤーの体制に直接左右されるという事実――を改めて浮き彫りにします。

これにより、特に下請け業者がCUIを処理・保存・送信している場合、サプライチェーン全体に連鎖的なリスクが生じます。

主な影響は以下の通りです。

• 元請け業者の体制が危険にさらされる: サプライヤー側でのセキュリティインシデントが、元請けの認証に影響を及ぼす可能性がある
• 契約対象からの除外と事業への影響: コンプライアンス違反はDoWとの契約から失格となる可能性がある
• ミッション保証上のリスク: CUIが侵害されると、作戦の完全性や成果に影響が及ぶ可能性がある

侵害の一般的な発生源

侵害は、サプライチェーンの中でも予測しやすい領域から発生することが多くあります。

サードパーティ・プロバイダー。 複数の組織を支援するマネージドサービスプロバイダー(MSP)やベンダーは、システミックなリスクをもたらす可能性があります。一つの侵害が複数の環境を露出させることもあります。

専門特化型サプライヤー。 中小規模の組織は機微なデータを扱うことがある一方で、エンタープライズ級のセキュリティ統制を備えていない場合があります。

相互接続されたアクセスポイント。 一般的な弱点には、次のようなものが挙げられます。

• 共有された認証情報
• 脆弱な、または設定ミスのあるVPNアクセス
• 適切なセグメンテーションを欠くフェデレーテッドID(連携認証)システム

事例:侵害前提(Assume-Breach)シナリオ

最近実施されたAssume-Breachテストでは、NodeZeroは認証情報を持たない状態で、単一のホストへのアクセスから開始しました。その起点から、ドメインユーザーを列挙し、パスワードスプレー攻撃を実行した結果、有効なドメイン認証情報の取得に成功しました。

そのアカウントはローカル管理者権限を持っていたため、さらに以下のような行動が可能になりました。

• リモートアクセスツール(RAT)の展開
• LSASSへのアクセスと認証情報の窃取

このシナリオは、よくある課題を浮き彫りにしています。すなわち、備わっているはずだと想定されている統制が、実際には想定通りに機能しないことがあるという点です。

従来型モデルが通用しない理由

定期的な評価に基づく従来型モデルは、現代の環境が持つ動的な性質を考慮していません。

リスクは、次のような要因を通じて生じます。

• サプライチェーンの変化と新規ベンダーの追加
• 継続的なシステム再構成
• SaaS、API、クラウドサービスの拡大
• 統制の効果が時間とともに徐々に低下すること

その結果、ある一時点で取得した認証は、あっという間に実態に合わなくなってしまいます。

CMMCが求める継続的な備え

更新されたCMMCガイダンスは、定期的な検証よりも継続的な備えを重視しています。自己評価は、統制の有効性を示す日々の文書化されたエビデンスによって裏付けられることが期待されています。

これは、セキュリティ体制を一時点で示すだけでなく、時間の経過とともに維持していく必要性を反映したものです。

実務上の要件としての継続的検証

継続的検証への移行は、組織が次のような変化に対応し続ける上で役立ちます。

• 変化し続ける脅威の動向
• 進化するサプライヤーのエコシステム
• 統制の有効性に対する信頼を維持する必要性

これがなければ、組織は自らの環境や露出状況について、古い前提に頼らざるを得なくなります。

コンプライアンスとセキュリティの間のギャップを埋める

HORIZON3.aiのNodeZero® Proactive Security Platformは、コンプライアンスと実際のセキュリティ運用との間のギャップを埋める助けとなります。実際の攻撃シナリオを通じて統制を検証することで、有効性のエビデンスを提供し、社内環境および重要なサプライヤー双方にわたるギャップを特定します。

これにより組織は、CMMCを単なるコンプライアンス要件としてではなく、継続的なリスク管理プログラムの一部として捉えることができるようになります。

結びに

真のセキュリティ体制は、評価を完了したことによって定義されるものではありません。

それは、実際の状況下でシステムがどのように機能するか、そして弱点が現れた際に組織がどれだけ迅速にそれを発見し対処できるかによって定義されます。 

Horizon3.aiがCMMCに向けたサプライチェーンセキュリティをどのように強化するか、詳しくはこちらをご覧ください。
ホワイトペーパー全文はこちら。