PreVeil、CMMCの義務化が暗号化メールを防衛分野の必須購入品にすると賭ける

PreVeilは、機密データを扱う組織向けのエンドツーエンド暗号化メールおよびファイル共有プラットフォームであり、Microsoft 365またはGoogle Workspace上にオーバーレイとして導入され、主にCMMC、NIST 800-171、ITARの規則を満たす必要がある防衛請負業者向けに販売されている。

CMMCによって数万社の請負業者がCUIを保護せざるを得なくなり、安価なゼロ知識オーバーレイ（GCC Highではない）が小規模事業者の監査通過手段になるという賭けだった。

調達総額は約2,700万ドル。PSGが主導した2,000万ドルのシリーズC（2022年10月）を含む。

PreVeilは2015年、元AppleおよびAirvanaの経営幹部であるRandy BattatとSanjeev Vermaによってボストンで設立され、CTOのRaluca Ada PopaによるMITの暗号研究を基盤としている。当初の売り込みは、一般ユーザーが操作できるエンドツーエンド暗号化だった。データは端末上で暗号化され、サーバー、管理者、さらにはPreVeil自身も読み取ることができず、単一の攻撃点も存在しない。

防衛分野への転換は、NIST 800-171とITARによってCUI保護が契約上の条件となったときに訪れた。PreVeilは、Microsoftの政府クラウドGCC Highを負担できない小規模請負業者にとってのコンプライアンス手段となった。PSGは2022年10月、防衛以外の分野へ拡大するため2,000万ドルのシリーズCを主導した。国防総省のCMMC 2.0最終規則（2024年10月）とフェーズ1の執行（2025年11月）によりコンプライアンスは購入の契機となり、2026年2月までにPreVeilは2,500社以上の防衛請負業者顧客と、60件以上の満点110点のCMMC認証を数えた。

現在も事業を継続している。2026年7月13日、ペンタゴンはCMMCフェーズ2（2026年11月10日期限の第三者によるレベル2認証）を停止し、コンプライアンス費用が法外であること、評価者の深刻な不足、小規模サプライヤーへの打撃を理由に挙げ、60日間のCMMC改革タスクフォースによる見直しを開始した。これにより、同社が賭けた規制の追い風は改革の下に置かれることになった。

この賭けは流行ではなく規制に合わせて時期を定めていた。CMMCは任意のセキュリティ製品を、政府契約獲得の条件へと変えた。

アーキテクチャはコスト面の反論に対処した。GCC Highへの移行には約20万ドル、PreVeilなら約2万ドルという引用額が、小規模請負業者にとって提案を明白なものにした。

具体的な監査結果、すなわち60社以上の顧客が110/110の満点を獲得したことが、同社のコンプライアンス一式が機能する証拠となった。

2026年7月の停止は、義務化に依存して事業を築くリスクを示している。一通の覚書が、同社が宣伝の軸としたまさにその期限を停止させた。

新興企業は規制の義務化に乗って顧客基盤を築くことができるが、同じ規制当局がそれを停止させうる。特定の認証期限ではなく、その根底にある義務に対して販売すべきである。

2026年9月2日時点で、PreVeilは約2,500社以上の防衛請負業者顧客を抱えて事業を継続している。CMMC改革タスクフォースの60日間の見直しは2026年9月中旬頃に報告される見込みだった。国防総省はNIST SP 800-171の自己評価義務を維持したが、停止期間中は入札からC3PAOのレベル2およびレベル3認証要件を削除した。PreVeilの顧客向け指針は、認証プログラムが再評価される間もDFARS 252.204-7012の義務は存続するというものであり、同社は防衛分野に加えてプロフェッショナルサービス、金融サービス、医療分野への販売を続けている。