包括的かつ詳細な説明：
AC.L2-3.1.11では、組織に対し「定義された条件が満たされた後、ユーザーセッションを（自動的に）終了する」ことを要求しています。これは、潜在的なセキュリティリスクや運用ポリシーを示す特定のトリガーイベントに基づいてセッションを終了し、システムを保護することを目的としています。時間帯制限、非アクティブ期間、インシデントへの対応（例：悪意のあるアクティビティの検出）といった条件は、セッション終了の客観的なトリガーであるため、この意図と一致します。しかし、「特定の機能に対する事前承認済みのユーザーアクティビティ」は、終了のトリガーとすべきではない承認済みのアクションを暗示するため、この意図には合致しません。これは、定義されたリスク条件下でセッションを終了するというプラクティスの焦点と矛盾しています。CMMCアセスメントガイドには終了トリガーの例が列挙されていますが、承認済みのユーザーアクティビティを終了理由として挙げているものはありません。
公式 CMMC ドキュメントからの抜粋:
* CMMC アセスメント ガイド レベル 2 (v2.0)、AC.L2-3.1.11: 「条件またはトリガー イベントの例には、組織が定義した非アクティブ期間、特定の種類のインシデントに対する対象を絞った対応、システム使用の時間帯制限などがあります。」
* NIST SP 800-171A、3.1.11：「非アクティブやインシデント対応など、セッションの切断を必要とする条件またはトリガーイベントに関するドキュメントを検査する。」リソース：
* https://dodcio.defense.gov/Portals/0/Documents/CMMC/AG_Level2_MasterV2.
0_FINAL_202112016_508.pdf

包括的かつ詳細な説明：
SC.L2-3.13.9では、「一定時間非アクティブな状態が続いた後に接続を終了する」ことが求められています。非アクティブな接続を終了するファイアウォールルール（A）は、CUIアプリケーションに対してこれを直接強制し、プラクティスの意図を満たしています。
暗号化（B）はトランジットデータを保護し（SC.L2-3.13.8）、IDS/IPS（C）は脅威を検出し（SI.L2-3.14.6）、IPブロッキング（D）はアクセスを制限します（AC.L2-3.1.2）。- アドレスの非アクティブ終了はなし。CMMCガイドはファイアウォールベースのタイムアウトをサポートしています。
公式 CMMC ドキュメントからの抜粋:
* CMMC アセスメント ガイド レベル 2 (v2.0)、SC.L2-3.13.9:「非アクティブ タイムアウト用のファイアウォールを構成する」
* NIST SP 800-171A、3.13.9:「終了に関するファイアウォール ルールを調べる」
リソース：
* https://dodcio.defense.gov/Portals/0/Documents/CMMC/AG_Level2_MasterV2.
0_FINAL_202112016_508.pdf

インタビュー評価法は、手順やポリシーが実際に実施され、それらを使用する担当者によって遵守されているかどうかを検証するために使用されます。文書の日付が正しく記載されていたとしても、評価者はそれらの運用上の使用状況を確認する必要があります。
抽出する：
「担当者へのインタビューは、文書化されたポリシー、計画、および手順が日常業務で実際に実施されていることを確認するために使用されます。」したがって、手順を使用しているOSCチームメンバーへのインタビューは、最も強力な検証を提供します。
参考: CMMC 評価プロセス (CAP)、評価方法 (検査、インタビュー、テスト、観察)。

包括的かつ詳細な説明:
CAPでは、有効性を評価する際に、SSPからの逸脱をギャップとして記録することが求められています（オプションB）。オプションAは文書化を無視し、オプションCは時期尚早であり、オプションDは協議に基づいています。
公式文書からの抜粋 (CAP v1.0):
* セクション2.2 - 評価の実施（25ページ）：「SSPからの逸脱を証拠ギャップとして文書化し、実際の実施に基づいて評価する。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 2.2。

包括的かつ詳細な説明：
FortiSIEM、Splunk、Microsoft Intuneを導入するESPなど、セキュリティ機能を提供する外部サービスプロバイダー（ESP）は、CMMCフレームワークにおいてセキュリティ保護資産（SPA）に分類されます。CMMC評価範囲レベル2では、SPAがCUI環境を適切に保護していることを確認するために、関連するCMMCプラクティス（レベル2では最大110）に基づいて評価することが義務付けられています。これらのツールはOSCのネットワークを監視および保護し、CUIのセキュリティに直接影響を与えるため、SSPでのレビューだけでなく、包括的な評価が必要です。
オプションBは評価対象を1つのプラクティスに限定しており、不十分です。オプションCはSSPのレビューがプロセスの一部に過ぎないため、不完全です。オプションDはSPAが明確に対象範囲に含まれているため、誤りです。オプションAはスコープ設定ガイダンスに沿っています。
参照：
CMMC 評価範囲 - レベル 2、セクション 2.3.3 (セキュリティ保護資産)、6 ページ:「セキュリティ機能を提供する ESP は SPA であり、適用可能な CMMC プラクティスに照らして評価される必要があります。」