防衛産業に要求されるサプライチェーンセキュリティ〜防衛産業サイバーセキュリティ基準およびCMMC準拠に向けて〜

Industries July 03, 2025 仲間力

はじめに

近年、サプライチェーン攻撃対策として、防衛産業企業のセキュリティの向上が求められています。2025年3月現在、米国国防省はサイバーセキュリティ成熟度モデル認証(CMMC)の改善・徹底に取り組んでおり、また我が国においては防衛産業サイバーセキュリティ基準が整備されています。

サプライチェーン上の脆弱なポイントを狙ったサイバー攻撃、いわゆるサプライチェーン攻撃対策が国際的に求められるようになりました。サプライチェーンのビジネスパートナーが適切なサイバーセキュリティ対策を行っていない場合、これらの企業を経由した情報漏洩及び自社システムへの攻撃等のリスクが高まります。したがって、取引先のセキュリティ対策状況を把握し、必要に応じて改善を促すことが重要だと考えられています。

我が国の取組状況

我が国においては、防衛省との契約企業におけるサイバーセキュリティ対策として「防衛産業サイバーセキュリティ基準」が2023年に整備され、防衛省及び関係企業は必要なサイバーセキュリティ対策を推進しているところです。

国家の関与が疑われるサイバー攻撃が我が国産業に対して行われ、また、防衛産業において安全保障に影響を及ぼすおそれのあるデータが流出した可能性がある事案が発生するなど、サイバー攻撃のリスクは深刻化しています。こうしたサイバー攻撃は、ネットワーク内部へ入り込む手段等が多様化・高度化していることを背景としており、防衛省は、先行する米国の取り組みを参考に、米国国防省が契約企業に義務付けている基準と同水準の管理策を盛り込んだ新たな情報セキュリティ基準(防衛産業サイバーセキュリティ基準)を制定しました。

この新たな基準は、防衛省との契約に基づき保護すべき情報等を扱っている企業全てに適用されることとしており、防衛省及び関係企業は必要なサイバーセキュリティ対策が進んでいます。

米国の取組状況

一方、我が国が参考にした米国国防省は契約企業に、CMMC 2.0 (Cybersecurity Maturity Model Certification)という認証を義務付けています。CMMCは3つのレベルに分かれており、レベル2はNIST SP800-171に沿ったものです。情報システムに対する攻撃者を特定・防御するというこれまでの水際対策に加えて、Ver 2.0では「検知」・「対応」・「復旧」が強化されており、情報システムのサイバーセキュリティ対策のみならず、物理的セキュリティ対策、組織的セキュリティ対策などを網羅的に規定しています。また、保護すべき情報を取り扱う全ての防衛関連企業(下請負を含む)が対象となることが特徴です。

基準適応の課題及びSplunkにできること

これらの基準に適合するためには、管理的対策に加え、システムの常時監視が必要になります。多くの企業にとって管理的対策は円滑に対応できているのですが、システムの常時監視については企業にとって新規取り組みとなることなどから、対応に苦慮されているという印象です。

さて、Splunkは、防衛産業サイバーセキュリティ基準やCMMCといった基準を効率的に満たすための強力なツールです。データの統合と可視化、拡張性、継続的監視そしてSplunk Appsにより、組織のセキュリティ対策を強化します。

1. データの統合と可視化

Splunkは、多様なデータソースやセンサーからの情報を一元的に収集し、単一のダッシュボードで可視化します。これにより、組織全体のセキュリティ状況をリアルタイムで把握し、サイロ化されたデータの統合を実現します。

2. 高い拡張性

オンプレミスのSplunk EnterpriseやFedRAMP認定のSplunk Cloudを利用することで、組織の成長や変化するニーズに応じて柔軟にスケールアウトできます。大量のデータ処理や高可用性、ディザスタリカバリ機能も備えており、ビッグデータの課題にも対応可能です。

3. 継続的セキュリティ監視

Splunkは、CMMC等で求められる継続的なセキュリティ監視をサポートします。リアルタイムのデータ分析とアラート機能により、潜在的な脅威を早期に検知し、迅速な対応を可能にします。

4. Splunk Apps

Splunk Appsがすでに用意されているため、基準適合の効率化に大いに貢献できます。つまり、どのようにデータを集約・加工する方法や監視用ダッシュボード等が準備されているため、最初から全部を構築する必要はありません。これらを組織環境に合わせて修正するだけで効果的・効率的に基準適応が可能になります。