NEWSRELEASE
２０２３年１０月３０日

米国国防省が推進する CMMC2.0 に向けて JaSRO は米国 Kompleye と提携し、情報セキュリティ対策の支援サービスを開始
一般社団法人日本セキュリティ格付機構（略称：JaSRO、本社：東京都中央区）は、Kompleye（本社：米国バージニア州レストン）と業務提携し、CMMC2.0 に準拠した情報セキュリティ対策の支援サービスを 2023 年
11 月から開始します。

１．趣旨
米国国防省(Department of Defense)は、サイバーセキュリティの成熟度モデル認定（Cybersecurity Maturity
Model Certification 、以下、CMMC）を用いた調達を計画しており、その基準となる CMMC の第 2 版（以下、CMMC2.0）が 2021 年 12 月に発表されました。CMMC2.0 は管理策の中核として既存の米国基準（NIST SP800171）を用いています。日本企業からの防衛品の調達も対象となっており、本格的に基準の適用開始が見込まれている 2025 年を目途に、日本企業も調達に求められるセキュリティ水準に応じて自己認証や第三者認証を行う必要に迫られています。
そこで、JaSRO は NIST SP800-171 を用いた情報セキュリティ格付けの実績及びノウハウを用いてCMMC2.0 への対応の支援を開始いたします。さらに、米国の監査機関である Kompleye と業務提携し、充実した支援体制でサービスを提供することが可能となりました。Kompleye は、CMMC の C3PAO (公認第三者審査機関)としての公式認定を受けており、CMMC-AB（Cybersecurity Maturity Model Certification AccreditationBody）と積極的に協力し CMMC2.0 の普及、推進に尽力しています。

２．サービス内容
JaSRO は、日本企業の CMMC 準備を円滑に進めるための支援に努め、CMMC の第三者認証は CMMC の公認 C3PAO である Kompleye が行う予定です。 下記の「サービス内容」等よりご希望のサービスを指定いただ
き、お客様が抱える課題に絞り込み問題の解決を適切に効率よく行うことで 、CMMC の第三者認証の取得等を支援いたします。
また、CMMC2.0 では取り扱う情報のレベルによって評価方法が定められており、レベル 1（Federal Contract
Information に対応）では自己認証が可能となります。レベル 2（Controlled Unclassified Information に対応）は取り扱う情報の種類によって、自己認証もしくは第三者機関が認証を行うこととなりました。
さらに、優先度の低い一部の管理策においては行動計画とマイルストン（POA＆M:Plan of Action & Milestonesの略称）の利用が認められました。事業者が CMMC2.0 の一部の要求に対し、180 日以内に対策を講じる POA＆M を作成して対応することが可能となる見通しです。

●お問い合わせ先 一般社団法人日本セキュリティ格付機構（略称：JaSRO） E-mail:info@jasro.org http://www.jasro.org
ニュースリリースは、関係機関及び組織等から入手した情報に依拠して形成した当機構の現時点での見解であり、将来に渡りその正確性、完全性、網羅性等を保証するものではありません。また、ニュースリリースに関するクレーム、訴訟その他の紛争、確認対象組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。

1
Copyright (C) 2023 JaSRO All rights reserved.

NEWSRELEASEJaSRO は以上の CMMC の要求事項を踏まえ、Kompleye が開発した CMMC2.0 に準拠したレベル 1 およびレベル 2 の自己評価ツール（無償）を活用し、自己認証及び第三者認証に関する効果的な CMMC への対応準備の支援を行う予定です。
【サービス内容（代表例）】(1) CMMC 自己認証の対策支援（レベル１、レベル２の一部が対象,*1）(2) CMMC 第三者認証の対策支援（レベル２の一部が対象,*1）(3) POA＆M(行動計画とマイルストン)の作成支援(4) CMMC 導入に向けたマニュアル類の改定支援(5) CMMC 導入に向けた内部監査の支援（監査準備、監査実施及び報告）(6) CMMC 導入に向けたマネジメントレビューの実施支援(7) CMMC 第三者認証における審査陪席（陪席のうえ、記録及びアドバイス実施）(8) CMMC 第三者認証のおける指摘事項対応支援(審査完了までのフォローアップ及び指摘事項対応）(9) お客様の外部委託先等の対応支援（調査、アンケート対応、CMMC 対応支援等）
上記*1 は、Kompleye が提供する自己評価ツールを活用する予定です。
【サービス価格】(1) 上記【サービス内容（代表例）】よりサービス内容をご指定下さい。個別に御見積を作成いたします。

３．その他関連サービス
JaSRO は米国基準(NIST SP800-171)の情報セキュリティ格付けや政府情報システムのためのセキュリティ評価制度(ISMAP)の支援サービスも提供しております。CMMC に対応する際に、それらの要件と整合的な対策を講じることをご要望の場合はその旨をお知らせください。ご要望に応じた対応が可能となる支援チームを編成いたします。
（ご参考サービス事例）●米国基準（NIST SP800-171/172 等）の情報セキュリティ格付け事例
http://jasro.org/news/pdf/JaSRO_NewsRelease_20221228.pdf
https://www.nikkei.com/article/DGXZRSP646952_Y2A221C2000000/●政府情報システムのためのセキュリティ評価制度(ISMAP)への登録支援
http://jasro.org/news/pdf/JaSRO_NewsRelease_20221026.pdf●お問い合わせ先 一般社団法人日本セキュリティ格付機構（略称：JaSRO） E-mail:info@jasro.org http://www.jasro.org
ニュースリリースは、関係機関及び組織等から入手した情報に依拠して形成した当機構の現時点での見解であり、将来に渡りその正確性、完全性、網羅性等を保証するものではありません。また、ニュースリリースに関するクレーム、訴訟その他の紛争、確認対象組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。

2
Copyright (C) 2023 JaSRO All rights reserved.

NEWSRELEASE

４．提携先の紹介● Kompleye Attestation LLC の CMMC に関するサービス内容は次のリンクを参照ください。
https://www.kompleye.com/cmmc/
Kompleye は、 Cyber-AB（CMMC の公式認定機関）より C3PAO (公認第三者審査機関)として公式認定を受けています。

５．お問合せ先
個別のお問合せは Web 会議システム等にて随時行います。
ご希望の方は E-mail にて、info@jasro.org 宛にご連絡ください。

＜お問い合せ先＞一般社団法人日本セキュリティ格付機構
JaSRO(Japan Security Rating Organization)
企画部
E-mail：info@jasro.org
http://www.jasro.org/〇JaSRO は、世界初の情報セキュリティ格付を行う第三者評価機関です。
〇情報管理の対策水準を「格付」で確かめ合う社会システム作りに取り組んでいます。
〇政府情報システムのためのセキュリティ評価制度(ISMAP)対応の構築支援・内部監査支援を行っています。
〇政府ガイドライン、NIST SP800-171/172 等への対応の構築支援・内部監査支援を行っています。
〇ISO/IEC27001(ISMS)の改訂等に伴う、規格移行（適用宣言、マニュアル、教育研修等）の支援を行っています。
以上●お問い合わせ先 一般社団法人日本セキュリティ格付機構（略称：JaSRO） E-mail:info@jasro.org http://www.jasro.org
ニュースリリースは、関係機関及び組織等から入手した情報に依拠して形成した当機構の現時点での見解であり、将来に渡りその正確性、完全性、網羅性等を保証するものではありません。また、ニュースリリースに関するクレーム、訴訟その他の紛争、確認対象組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。

3
Copyright (C) 2023 JaSRO All rights reserved.