* 適用要件（CAP - 事前評価活動）：評価を実施する前に、チームは評価範囲（システム、資産、CUI境界、および関連環境）を確認する必要があります。範囲を確定しないと、証拠の特定と収集を検証できません。
* A が正解である理由: スコープの特定は、CMMCアセスメントプロセスで定義されているように、事前評価段階における基本的な要件です。スコープによって、エビデンス収集の対象となるシステム、人員、資産が決まります。
他の選択肢が不十分な理由:
* B: 証拠の検証は評価前の準備ではなく、評価中に行われます。
* C: 観察結果は事前ではなく、現地評価中に記録されます。
* D: インタビューの選択は、範囲の確認後、証拠収集中に行われます。
参考文献（CCA公式ソース）：
* CMMC評価プロセス（CAP）v1.0 - 事前評価フェーズ
* CMMC評価ガイド - レベル2、評価前の準備活動

* 適用可能な要件: SC.L2-3.13.16 - 「保存中の CUI の機密性を保護する」
* D が正解である理由: 暗号化メカニズム (例: フルディスク暗号化、データベース暗号化、ファイル暗号化) は、システムまたはメディアにアクセスされた場合に不正な開示を防ぐことで、保存されている情報に対する最も強力な保護を提供します。
* 他の選択肢が不十分な理由:
* A (パッチ適用): 脆弱性から保護しますが、保存データの機密性には特化していません。
* B (ファイル共有): 保護ではなく、保存方法を提供します。
* C (安全なオフライン ストレージ): 物理的には役立ちますが、暗号化なしではデジタルの機密性を保つには不十分です。
参考文献（CCA公式ソース）：
* NIST SP 800-171 Rev. 2 - SC.L2-3.13.16
* NIST SP 800-171A - SC.L2-3.13.16 評価目標
* CMMC評価ガイド - レベル2、保存データの保護

検査方法は、評価者がドキュメント、ポリシー、手順、またはシステム成果物をレビューして実践を検証するときに使用されます。
抽出する：
「検査: ドキュメント、記録、ポリシーなどの評価対象をレビュー、検査、または分析して、実践要件への準拠を判断します。」インシデント対応計画のレビューは、直接「検査」に該当します。
参考: CMMC 評価プロセス (CAP); 評価方法。

CMMCスコープガイダンスによると、資産は、管理対象非機密情報（CUI）を処理、保存、または送信できるかどうか、あるいは物理的/論理的に分離されているか、あるいはCUIシステムと本質的に相互作用できないかどうかに基づいて分類されます。CUIを処理、保存、または送信できず、適切に分離された資産は、スコープ外とみなされます。
CMMCスコープガイダンスからの抜粋:
「範囲外資産とは、CUI 資産から物理的または論理的に分離されているか、本質的にそれが不可能であるため、CUI を処理、保存、または送信できない資産のことです。」したがって、主任評価者は、CUI システムから分離されているか、技術的に CUI を処理できないことを確認することで、範囲外資産を決定します。
参考: レベル 2 評価の CMMC 2.0 スコープ設定ガイダンス (公式 CCA ドキュメント)。

* 適用要件: CAP - 面接ガイダンス。
* C が正解である理由: 正確で客観的な証拠が収集されるようにするには、実践の導入、実行、またはサポートを担当する担当者にインタビューを行う必要があります。
* 他の選択肢が不十分な理由:
* 回答: はい/いいえの質問では十分な証拠の詳細が提供されません。
* B: OSC 担当者は自分自身に評価の質問をすることはできません。評価者のみがインタビューを実施できます。
* D: グループ インタビューが使用される場合もありますが、CAP では証拠の信頼性を確保するため、対象を絞ったインタビューを重視しています。
参考文献（CCA公式ソース）：
* CMMC評価プロセス（CAP）v1.0 - 面接要件
* NIST SP 800-171A - 評価方法としての面接の使用