Oceus、DrataとBright DefenseでCMMCレベル2の満点を獲得

政府機関や防衛組織に、ミッションクリティカルな環境向けの高度なブロードバンドと5Gを中心とする安全で信頼性の高い通信ソリューションを提供するOceusは、DrataとBright DefenseとともにCMMCレベル2の認証に取り組み、C3PAOの正式な評価で110項目中110項目を満たす満点を獲得しました。証跡の収集とコントロールのモニタリングを自動化したことで手作業が減り、セキュリティーのデューデリジェンスの期間も短くなっています。米国防総省（DoD）のサプライチェーンの中で事業を営む同社は、サイバーセキュリティーとコンプライアンスを事業の戦略的な柱と位置付けています。

導入前：少人数のチームで110のコントロールに対応

DoDがCMMC（Cybersecurity Maturity Model Certification）の制度を進める中、同社はいち早くCMMCレベル2の認証を目指すことで、信頼されるリーダーとしての地位を築く機会があると考えました。目指したのは基準を満たすことだけでなく、長期的なレジリエンスと今後の認証を支える持続可能なプロセスを築くことです。

そのためには、NIST 800-171の110のコントロールの全てに対応する必要がありました。しかし、同社のITとセキュリティーのチームは少人数で、それぞれが複数の職務を抱えていました。C3PAOによる正式な評価への準備は厳しく複雑で、戦略的な助言と実務の支援の両方が必要でした。セキュリティーディレクターのPeter Petretta氏は、小規模な企業としてITとセキュリティーのメンバーが複数の職務を担う中で、コンプライアンスを超えてCMMCに早く適応したいという志があったと述べています。

選定の判断軸：専門家の助言と、継続的に状況が見える仕組み

同社は、助言とギャップ分析、是正の計画、準備状況の確認を担うパートナーとしてBright Defenseと組み、コンプライアンスの態勢をリアルタイムで把握するためにDrataのContinuous Control Monitoringを導入しました。Evidence Collection Automationで文書を一元化し、評価の準備で同社のチームにかかる手作業を減らしています。最高経営責任者（CEO）のJeffrey Harman氏は、プロセス、手順、技術的な実装が各要件を満たすか上回るよう細部まで丁寧に確認するBright Defenseの姿勢を高く評価しています。

数字で見た導入効果

CMMCレベル2で110項目中110項目の満点

Bright Defenseが同社の道筋を組み立てて準備状況を確認し、Drataの継続的モニタリングが正式な評価までの準備と証跡の収集を効率的に進める土台になりました。同社は、コンプライアンスの態勢を完全に文書化し、透明に把握した状態で評価に臨み、C3PAOの評価で110項目中110項目の満点を獲得しています。

証跡の収集とモニタリングの自動化で手作業を削減

CMMCレベル2の厳しい要求を満たすには、文書を効率化し、手作業の証跡集めを減らし、コントロールの有効性を継続的に把握する必要がありました。Drataは、関係するNIST 800-171の全ての要件にわたって、証跡の収集の自動化、文書の一元化、コントロールの継続的モニタリングを実現しました。この自動化で少人数のセキュリティーチームの負担が最小限に抑えられ、Bright Defenseも不足を効率的に見つけ、是正を管理し、チーム間の足並みをそろえられました。スプレッドシートや場当たり的なやりとりへの依存も減っています。

デューデリジェンスの期間を短縮し、次の認証へ

セキュリティーのデューデリジェンスの期間が短くなり、DoDのサプライチェーンにおける競争上の立場も強まりました。DrataのTrust Centerとサプライチェーンのリスク管理の機能で、顧客やパートナーとのやりとりを一元化し、継続的モニタリングによって監査や評価の合間にコントロールの有効性が損なわれるのを防いでいます。同社は次の大きな節目としてISO/IEC 27001の認証にも取り組んでいます。Petretta氏は、Drataはチームの協働、従業員のコンプライアンス、証跡の集約の場であると同時に、Trust Centerとサプライチェーンのリスク管理の取り組みも担っており、CMMCへの準拠の達成と維持を後押ししていると話しています。

この導入事例からの学び

同社の事例で特徴的なのは、助言と実務を担う外部の専門家と、継続的に状況を示すプラットフォームを組み合わせて、少人数のチームで厳しい評価に臨んだ点です。認証の取得だけでなく、評価の後も準拠を保つ運用まで見据えています。

同社の事例から読み取れる確認軸は3点あります。1つ目は、NIST 800-171の110のコントロールのそれぞれについて、証跡と状況を1カ所で示せるかどうかです。2つ目は、少人数のチームで、戦略的な助言と実務の支援をどう確保するかです。同社はBright Defenseとの協力でこれを補っています。3つ目は、評価の後もコントロールの有効性を保てるかどうかです。同社は継続的モニタリングで、監査や評価の合間に準拠が崩れるリスクを減らしています。

出典：Drata