DoDがCMMCを定めた背景には、年間450億ドルを超えるセキュリティ対策コストを圧縮する目的があるといわれています。セキュリティ対策はサプライチェーン全体が対象となるため、外部委託先の情報保全に関する体制の強化が急務でした。そこでDoDは、防衛産業基盤やそこに商品やサービスを提供する企業に対し、新たなセキュリティ要件としてCMMCを策定し、2025年までに認証を取得するよう促しました。

DoDは2025年までに、業務委託を依頼する際に開示する要件書、具体的には情報提供依頼書（RFI）や提案依頼書（RFP）に応札に必要なCMMCレベルを明記する予定です。つまり、DoDが発注をするすべての案件において、RFIやRFPに記載があるCMMCのレベルを満たしていないと入札ができない仕組みになります。

CMMC1.0はサイバーセキュリティに関するベストプラクティスを基に、17のドメイン（領域）と43の機能から構成されています。

※このドメインはCMMCの独自の施策

※このドメインはCMMCの独自の施策

この構成の軸となっているのは、米国国立標準技術研究所（NIST）が発行したガイドラインであるNIST SP800-171です。基本的にCMMCはCUI（※）の保護を目的とし、同じくCUIの適切な取り扱いを規定したNIST SP800-171をベースに策定されました。さらにCMMCはNIST SP800-171を強化する目的で、CMMC独自策である資産管理（AM）、復元（RE）、状況認識（SA）の3つの領域を追加しています。つまりNIST SP800-171に対応している組織は、この3つの領域を中心に強化することで、CUI保護の強化を図れるとともに、CMMCの認証も可能となります。

※CUI（Controlled Unclassified Information、管理された非格付け情報）:機密扱い以外の重要情報、例えば、有害物質の取り扱い情報や、予算、買収関連情報、路線の安全情報等が含まれる

CMMCの評価は個別管理策である「プラクティス」とその管理策の運用・維持を評価する「プロセス」それぞれを評価することが大きな特徴になっています。プラクティスの考え方は、企業のサイバーセキュリティ評価の指標として有用なものといえます。

CMMC1.0は17のドメインをプラクティスとプロセスの双方、並列で評価する形となっており、成熟度レベルを最高位の「5」から「1」までの5段階に分けています。

プラクティスはサイバーセキュリティの目標を達成するために実施すべき事項を「能力」として定義しており、その実施すべき事項（管理策）の達成状況を評価します。レベルごとに指定された管理策があり、その管理策について対応できているかどうかを評価します。プロセスは、各レベルに関連付けられたプラクティスが効果的に実装・運用されていることを検証するものです。例えば管理策の対応についてのルール化、文書化、ポリシーの策定、定期的な見直しなどが挙げられます。

つまり、CMMCは各レベルに合った要件が管理策として策定されていることをプラクティスとして評価し、その管理策の運用をプロセスとして評価します。例えばレベル5を目指すのであれば、レベル5のプラクティスの要件を満たす管理策が策定されていること（プラクティスの評価）、その管理策が組織として標準化・最適化されていること、この2つを満たす必要があります。

プラクティスはレベルが高くなるにつれて、達成すべき管理策（設問）が増えていきます。レベル1では16ですが、レベル5では171となっています。詳細は下表の通りです。

各ドメインの最終評価はプロセス、プラクティスを双方、並列に評価し、レベルが低い方を採用します。例えば、アクセス制御（AC）について、プロセスがレベル2、プラクティスがレベル3だった場合、ACの最終評価はレベル2となります。また、全体評価は各項目の一番小さいレベルを採用します。例えばACがレベル2、それ以外がすべてレベル４だった場合、全体の評価はレベル2となります。

CMMC認証は第三者による認証制度となっており、自己認証はできません。認証ができるのはDoDと契約を結んでいる非営利法人CCMC-AB（Cybersecurity Maturity Model Certification Accreditation Body）が認定したC3PAO（第三者認証機関）のみです。認証を受けるには、CMMC-ABのWebサイトに登録されたC3PAOを選択し、認証を依頼します。C3PAOに認証されれば、認証レポートとCMMC証明書が発行されます。

ここまで、CMMCの1.0をご紹介してきましたが、CMMC2.0について2021年12月に詳細が公開されました。後編では、CMMC2.0を読み解き、CMMC1.0からの変更点を明らかにし、今求められるセキュリティ対策を解説していきます。