米国防総省(Pentagon)が米国防産業基盤(DIB)向けの第三者監査義務を一時停止したことを受け、一部の契約企業は自社のサイバーセキュリティスコアを信頼できなくなっていると述べています。
CyberSheathが8月20日に発表した新しい調査2026 State of the DIB Reportによると、サプライヤー実績リスクシステム(SPRS)の平均スコアは5年ぶりの高水準となる+51まで上昇しました。これは2025年の+33から上昇したもので、2025年は同レポートの歴史上初めてプラスのスコアを記録した年でした。
SPRSは、米国の防衛契約企業がサイバーセキュリティ成熟度モデル認証(CMMC)のもとで自社のサイバーセキュリティ成熟度を自己評価する際に使用する枠組みです。
CMMCは、連邦契約情報(FCI)および管理対象非機密情報(CUI)を取り扱う米国防契約企業・下請け企業のサイバー衛生を強化することを目的としたプログラムです。
国防総省(DoD)の契約を獲得したい防衛契約企業は、CMMCを法的拘束力のある契約要件へと落とし込んだ国防総省の公式ルールブックである国防連邦調達規則補足(DFARS)を遵守する必要があります。
DIBの契約企業・下請け企業はSPRSを用いて、米国立標準技術研究所(NIST)が発行する標準であるNIST SP 800-171に定められた110項目のセキュリティ管理策に対する自社の成熟度を評価します。満点は110点です。
この自己申告は現在、CMMCプログラムのフェーズIにおける唯一の義務ですが、第2フェーズでは認定第三者評価機関(C3PAO)による独立評価を導入し、コンプライアンスを検証する予定でした。
当初は2026年11月10日に発効する予定でしたが、CMMCフェーズIIはトランプ政権により2026年7月に停止されました。
自己評価スコアへの信頼、急落
CyberSheathの調査では、自己評価スコアが過去最高水準を記録した一方で、より懸念すべき傾向も明らかになりました。スコアの正確性に対する信頼度が24ポイント低下したのです。
この調査を支えるMerrill Researchの調査によると、自社のスコアが正確であると「非常に確信している」または「かなり確信している」と答えた契約企業はわずか65%にとどまりました。これは前年の89%、2024年の94%から大幅に低下しています。
Merrill ResearchのCEOであるDavid M. Schneer氏は、報告された自己評価スコアの進展と、その進展に対する信頼度との間に生じたギャップを「今年最も顕著な発見」だと述べています。
「契約企業はより高いSPRSスコアと、重要なサイバーセキュリティ機能のより広範な導入を報告していますが、それらのスコアの正確性に対する信頼は大幅に低下しています。この緊張関係は、進展を測定するには報告されたスコアそのもの以上のものに目を向ける必要があることを示唆しています」と同氏は語りました。
さらに、CMMC認証への準備が完全に整っていると考える契約企業はわずか1%にとどまり、2025年10月に発表されたCyberSheathの前回調査から変化はありませんでした。
防衛契約企業、CMMCコンプライアンスプロセスの簡素化を要望
主なボトルネックは資金面ではないようです。回答者の53%が予算は「ちょうど適切」だと回答し、24%は「十分すぎるほど」だと答えています。
DFARSコンプライアンスにかかる予算は今年大幅に増加し、年間平均で155,204ドルに達したことが分かりました。
CyberSheathのレポートは「今回の調査結果は、DIBが直面する課題が単に契約企業がサイバーセキュリティにいくら支出するかではなく、その投資がどれだけ効果的に実装され、持続可能で検証可能なセキュリティへと転換されるかにあることを示唆しています」と述べています。
さらに、この調査では、DIBメンバーの半数以上(52%)が非コンプライアンスによる契約喪失を懸念している一方で、大多数(90%)は依然として防衛契約企業・下請け企業に対する最低限のサイバーセキュリティ基準を義務付ける法制化を支持していることも示されました。
大多数(77%)がDFARSコンプライアンスは国家安全保障を有意義に向上させると回答した一方で、契約企業はその実施方法の変更も求めており、74%がより簡素な実施プロセスを、70%がコンプライアンス対応を支援するベンダーの選択肢の拡充を要望しています。
CyberSheathのCEOであるEmil Sayegh氏は、DIB契約企業の大半が製造業者やエンジニア、専門事業者であり、「その使命は戦闘員を支援することであって、サイバーセキュリティの専門家になることではない」と強調しました。
同氏は、連邦政府に対し、「効果的なサイバーセキュリティをより取り入れやすくしつつ、保護策が実際に導入され機能していることを客観的かつ検証可能な形で保証する」形でCMMCプログラムを改革するよう求めました。
「CMMCがどのように進化しようとも、報告されたコンプライアンスが実際の運用上のサイバーセキュリティを反映していることを確実にするためには、意味のある検証と説明責任が中心であり続けるべきです」と同氏は締めくくりました。
2026 State of the DIB Reportは、Merrill Researchが2026年5月に実施した、米国の防衛契約企業302社(元請け企業195社、下請け企業118社、両方に該当すると回答した企業11社)を対象とした調査に基づいています。
翻訳元: https://www.infosecurity-magazine.com/news/us-defense-contractors-cmmc-scores/
