包括的かつ詳細な説明：
AC.L2-3.1.15では、「安全な方法を用いた特権コマンドのリモート実行の承認と認証」が求められています。MFA（A）は、CMMCの意図に沿って、セキュリティと運用上のニーズのバランスを取りながら、特権リモートアクセスに対する強力な認証を確保します。すべての特権アクセスを禁止すること（B、D）は制限が厳しすぎて現実的ではありません。一方、ログ記録（C）は監視（AC.L2-3.1.13）をサポートしますが、承認にはつながりません。本ガイドでは、MFAをベストプラクティスとして推奨しています。
公式 CMMC ドキュメントからの抜粋:
* CMMC アセスメント ガイド レベル 2 (v2.0)、AC.L2-3.1.15:「MFA を使用して特権リモート アクセスを認証する」
* NIST SP 800-171A、3.1.15:「MFA などの認証方法を調べる。」
リソース：
* https://dodcio.defense.gov/Portals/0/Documents/CMMC/AG_Level2_MasterV2.
0_FINAL_202112016_508.pdf

MA.L2-3.7.1（保守の実施）では、旧式またはサポート対象外のシステムに関連する保守活動とリスクを管理することが求められています。サポート対象外のシステムは、特にCUIを処理する際に、軽減措置を講じなければセキュリティリスクを生じます。
抽出する：
安全な運用を継続的に確保するために、メンテナンスを実施し、文書化する必要があります。技術的な制限によりシステムの更新やパッチ適用ができない場合、OSCはリスク軽減戦略を実施し、文書化する必要があります。OSCは、時代遅れのOTシステムに対するリスク管理を実証していないため、このプラクティスは「未達成」となります。
参考: CMMC アセスメント ガイド - レベル 2、MA.L2-3.7.1。

CMMCレベル2では、CUIシステムへのネットワークアクセスを認可されたユーザーとデバイスに制限する必要があります。
パスワード保護のないゲスト ネットワークが LAN に直接接続すると、権限のないユーザーが間接的に OSC システムや CUI にアクセスする可能性があるため、AC.L2-3.1.3 (アクセス強制) および SC.L2-3.13.16 (暗号化保護) に違反します。
正確な抜粋:
* AC.L2-3.1.3:「アクセス制限を適用して CUI のフローを制御します。」
* SC.L2-3.13.16:「送信中の CUI の機密性を保護するために暗号化メカニズムを採用する。」
* 評価ガイド:「ゲスト無線ネットワークは、CUIを含む内部ネットワークへの不正アクセスを防ぐためにセグメント化および制御する必要があります。」他の選択肢が正しくない理由:
* 回答: 追加の評価は無関係です。問題は要件を満たしていないことです。
* C/D: 誤り - 要件は明らかに存在し、OSC の現在の設定では要件を満たしていません。
参考文献:
CMMC 評価ガイド - レベル 2、バージョン 2.13: アクセス制限と安全なワイヤレスに関する AC および SC の実践。
NIST SP 800-171A: アクセス強制およびワイヤレス保護の評価手順。

包括的かつ詳細な説明：
PS.L2-3.9.1 の目標 [a] では、「CUI システムへのアクセスを許可する前に個人をスクリーニングする」ことが求められています。人事部長の断言はプロセスの存在を示唆していますが、物理的な証拠（スクリーニング記録など）がなければ、コンプライアンスを検証することはできません。CMMC の証拠に基づく評価によると、検証にはさらなる情報 (A) が必要です。「適合」(D) は証明が必要、「不適合」(B) は早期に不適合と想定、「該当なし」(C) は該当しません。
公式 CMMC ドキュメントからの抜粋:
* CMMC 評価ガイド レベル 2 (v2.0)、PS.L2-3.9.1:「スクリーニング記録を検査します。インタビューは裏付けとなりますが、証拠に取って代わるものではありません。」
* NIST SP 800-171A、3.9.1:「ドキュメントで検証する」
リソース：
* https://dodcio.defense.gov/Portals/0/Documents/CMMC/AG_Level2_MasterV2.
0_FINAL_202112016_508.pdf

計画段階において、主任評価者は、評価実施前にエビデンスのギャップを特定し、文書化する必要があります。これにより、OSCは不足しているエビデンスや不十分なエビデンスを把握し、最終評価前にそれらに対処することができます。
正確な抜粋:
* CMMC 評価ガイド:「計画段階では、評価者と OSC は証拠の十分性を確認し、証拠のギャップを特定して文書化する必要があります。」
* 「計画段階では、ギャップを特定し、その対処方法を確立するなど、評価を進めるための準備を確実に行います。」他の選択肢が正しくない理由：
* B: 異議申し立ては計画時ではなく、評価後に対処されます。
* C: 評価コストは契約で合意されており、評価計画フェーズの一部ではありません。
* D: FedRAMP 同等性の決定は、一般的な計画ではなく、範囲検証の一部です。
参考文献:
CMMC アセスメント ガイド - レベル 2、バージョン 2.13: アセスメント計画アクティビティ (5 ～ 8 ページ)。