包括的かつ詳細な説明:
CMMC職業倫理規範（CoPC）は、CMMC事業体に対する期待を定める公式文書であるため、選択肢Bが正解です。その他の選択肢は架空のもの、または誤りです。
公式文書（CoPC）からの抜粋：
* パラグラフ 1.1 - 目的 (3 ページ)：「CMMC 職業行動規範は、CMMC サービスを提供する資格を有する個人および認定された組織に対する期待を定めています。」参考文献:
CMMC 職業行動規範、第 1.1 項。

CMMC プラクティス CM.L2-3.4.8 - アプリケーション許可リストでは、明示的に承認されたソフトウェアのみの実行を許可し、その他のソフトウェアは自動的に拒否する必要があります。
抽出する：
「アプリケーションの許可リスト作成では、承認され、明示的に識別されたアプリケーションのみがシステム上で実行を許可される必要があります。事後にユーザーがIT部門に通知するという方法では、この要件を満たせません。」OSCのプロセスは、自動許可リスト作成を強制するのではなく、ユーザーによる自己申告に依存しているため、適切に実装されていません。
参考: CMMC アセスメント ガイド - レベル 2、CM.L2-3.4.8 (構成管理)。

* 適用可能な要件: AC.L2-3.1.7 - 「権限のないユーザーが特権機能を実行できないようにし、そのような機能の実行を監査ログに記録します。」
* 正しい解釈:
* 非特権 (標準) ユーザーは特権機能 (例: パスワード) を実行できないようにする必要があります。
たとえば、セキュリティ ソフトウェアをアンインストールするなど)。
* 追跡可能性を提供し、説明責任をサポートするために、試行を記録する必要があります。
* C が正しい理由: 予防 (ソフトウェアがアンインストールされない) と監査 (試行がログに記録される) の両方を示しており、実際の方法と完全に一致しています。
他の選択肢が不十分な理由:
* A: 防止は示されていますが、ログ記録の証拠はありません。
* B: 機能は阻止されなかったため、要件は満たされませんでした。
* D: ログは存在しますが、特権アクションは防止されませんでした。
参考文献（CCA公式ソース）：
* NIST SP 800-171 Rev. 2 - AC.L2-3.1.7
* NIST SP 800-171A - AC.L2-3.1.7 評価目標
* CMMC アセスメントガイド - レベル 2、AC.L2-3.1.7

共有責任マトリックス（顧客責任マトリックス）は、OSCとクラウドサービスプロバイダー（CSP）のセキュリティ責任を規定する正式な文書です。これにより、評価者は、CMMCプラクティスのうちOSCに適用されるものとプロバイダーから継承されるものを判断できます。
正確な抜粋:
* 「CSP を含む外部サービス プロバイダー (ESP) は、顧客とプロバイダーの責任を明確にする共有責任マトリックスを提供する必要があります。」
* 「評価者は、実践の適用性を判断するために、このマトリックスを要求し、検討する必要があります。」他の選択肢が間違っている理由：
* A: ゼロ トラスト アーキテクチャは設計フレームワークであり、責任の分担ではありません。
* C: ホワイト ペーパーはマーケティング/技術リソースであり、拘束力のある責任の割り当てではありません。
* D: IAM プランは、全体的な共有責任ではなく、アクセス管理に対処します。
参考文献:
CMMC スコープ ガイド - 外部サービス プロバイダー。
CMMC 評価ガイド - レベル 2、共有責任マトリックスの使用。

* 適用可能な要件: IR.L2-3.6.1 - 「準備、検出、分析、封じ込め、回復、およびユーザー対応アクティビティを含む組織システムの運用上のインシデント処理機能を確立します。」
* 検証の期待: この実践では、CCA は OSC が次のことを確認する必要があります。
* インシデントを一貫して追跡し、
* 事件の詳細（誰が、何を、いつ、どこで、どのように）を記録し、
* 分析と是正措置をサポートするためにインシデント記録を維持します。
* A が正解である理由: インシデントの追跡と文書化により、OSC が運用上のインシデント処理能力を備えていることが実証され、検出、対応、および得られた教訓の客観的な証拠が提供されます。
他の選択肢が不十分な理由:
* B (ソースが構成/調整されています): 検出には役立ちますが、それだけでは十分ではありません。
* C (法執行機関に通知): これは特定のケースで発生する可能性がありますが、CMMC レベル 2 では必須ではありません。
* D (フォレンジック): 詳細なフォレンジック調査は役立つ場合がありますが、CMMC ではインシデント対応能力が必要であり、フォレンジック レベルのアクティビティは必須ではありません。
参考文献（CCA公式ソース）：
* NIST SP 800-171 Rev. 2 - IR.L2-3.6.1
* NIST SP 800-171A - IR.L2-3.6.1 評価目標（インシデントの追跡、文書化、処理）
* CMMC評価ガイド - レベル2 - インシデント報告