ネットワークセキュリティのレベル5とは？CMMCの5段階認定とセキュリティ対策を徹底解説

ネットワークセキュリティの「レベル」とは何か

ネットワークセキュリティとは、コンピューターネットワーク上のデータの完全性・機密性・可用性を守るための一連の手順や設定のことです。ハードウェアとソフトウェアの両方の技術が活用され、ファイアウォール、アンチウイルス、VPN暗号化など、多様な技術・機器・ポリシーが組み合わさって成り立っています。

ネットワークセキュリティは多層防御（レイヤードアプローチ）の考え方に基づいており、ネットワークのエッジから内部まで、複数の防御手段をレイヤーごとに実装します。それぞれの層でポリシーとコントロールの実装方法が異なり、正規のユーザーはリソースへアクセスできる一方、悪意のある攻撃者は脆弱性を悪用できないようにします。

CMMC（サイバーセキュリティ成熟度モデル認証）の5つのレベル

CMMC（Cybersecurity Maturity Model Certification）は、米国国防総省が防衛産業向けに定めたサイバーセキュリティ認証制度で、レベル1からレベル5までの5段階で構成されています。上位レベルほど多くのコントロール（管理項目）が求められます。

各レベルのコントロール数

• レベル1：17個のコントロール（基本的なサイバーハイジーン）
• レベル2：72個のコントロール（レベル1の7個を含む）
• レベル3：130個のコントロール（レベル2を含む）
• レベル4：156個のコントロール（レベル3を含む）
• レベル5：171個のコントロール（レベル4を含む）

CMMCの主要ドメイン

CMMCでは、ドメインごとにコントロールが定められています。代表的なものは以下の通りです。

• 資産管理（AM）：資産の特定と文書化
• 監査と説明責任（AU）：監査要件の定義、監査の実施、監査情報の保護、監査ログの確認・管理
• セキュリティ意識と訓練（AT）：セキュリティ啓発活動の実施、従業員への訓練の実施

CMMCレベル3が必要なのは誰か

CMMCには防衛請負業者向けに5つの認定レベルがあり、そのうちレベル3は3番目の認定です。管理された非機密情報（CUI：Controlled Unclassified Information）を作成またはアクセスする防衛請負業者は、このレベル3の要件を満たすことが求められます。

レベル3の認定を取得するには、組織がプラクティスを実装するための活動を管理する計画を確立し、維持し、リソースを割り当てていることを示す必要があります。この計画には、ミッション、目標、プロジェクト計画、リソース、必要な訓練、ステークホルダーの関与などが含まれます。

CMMCレベル1のコントロールと認定取得方法

レベル1の主要コントロール領域

• アクセス制御（AC）
• 識別と認証（IA）
• メディア保護（MP）
• 物理的保護（PE）
• 通信およびシステム保護（SC）
• 情報およびシステム整合性（SI）

レベル1認定の取得方法

CMMCレベル1の認定を取得するには、防衛請負業者は連邦調達規則（48 CFR 52.204-21など）に定められた「基本的なサイバーハイジーン」の定義を満たしていることを実証しなければなりません。認定された組織は、より上位レベルの要件に対応するための基礎として、まずレベル1のプラクティスを完了する必要があります。

ネットワークセキュリティの主な種類

ネットワークセキュリティにおいては、ハードウェア、ソフトウェア、クラウドサービスのすべてが役割を果たします。ネットワーク業界におけるアプライアンスとは、何らかのセキュリティ機能を提供するサーバーやデバイスのことです。主なセキュリティ対策には以下のようなものがあります。

• アクセス制御（システムへのアクセス権限の管理）
• アンチウイルス・アンチスパイウェアなどのマルウェア検出・防止ソフトウェア
• アプリケーションセキュリティとアプリケーションコードの安全性確保
• 行動分析（ビヘイビアアナリティクス）による異常検知
• データ損失防止（DLP）対策
• 分散型サービス拒否（DDoS）攻撃の防止
• メールセキュリティ
• ファイアウォール
• VPN暗号化
• エンドポイント・Web・ワイヤレスなどネットワーク関連セキュリティ

サイバーセキュリティの成熟度レベル

サイバーセキュリティの成熟度は、一般的に次のように段階分けされます。

1. レベル1：初期状態。サイバーセキュリティの基本（サイバーハイジーン）を学ぶ段階
2. レベル2：中級者向け。中程度のサイバーハイジーンスキルを身につける段階
3. レベル3：良好なサイバーハイジーンが確立された段階
4. レベル4：先制的（プロアクティブ）な対応ができる段階
5. レベル5：最適化・高度化された段階

また、教育分野では「サイバーセキュリティ実践レベル3資格」のようなプログラムも存在します。受講者はサイバーセキュリティ分野への理解を深め、実践的な知識とスキルを習得することで、就職やさらなる学習につなげることができます。

サイバーセキュリティの5つのタイプ

• 重要インフラサイバーセキュリティ：重要インフラに依存するシステムやサービスの保護
• ネットワークセキュリティ：ネットワーク通信全体の保護
• クラウドセキュリティ：クラウド環境の保護
• IoT（モノのインターネット）セキュリティ：IoTネットワークの脅威への対処
• アプリケーションセキュリティ：アプリケーションの安全確保

エンタープライズネットワークの3層構造

企業ネットワークは一般に、コア層、ディストリビューション層（配信層）、アクセス層の3つのレイヤーに分割されます。それぞれの層で役割とセキュリティポリシーが異なり、多層的な防御体制を実現しています。

まとめ

ネットワークセキュリティの「レベル」は、CMMCのような認証制度における成熟度の段階を指すこともあれば、多層防御における防御の階層を指すこともあります。特に米国防総省との取引を目指す防衛請負業者にとっては、CMMCの各レベルで求められるコントロールの数と内容を理解し、自社のセキュリティ成熟度を段階的に高めていくことが不可欠です。まずはレベル1の基本的なサイバーハイジーンを確実に満たすことから始めましょう。