包括的かつ詳細な説明:
AC.L2-3.1.5（最小権限）については、CAPは、プラクティスの意図への準拠を証明する主要な証拠として、文書化されたポリシーと手順を重視しています。システム構成ドキュメントの調査（オプションC）は、最小権限がどのように実装されているかを直接示し、CAPの「調査」方法に関するガイダンスと一致しています。オプションA（RBAC/PAMのテスト）は、ポリシーではなく技術的な実装を評価します。オプションB（管理者の観察）は体系性が低く、ポリシーに重点が置かれていません。オプションD（管理者へのインタビュー）は補足的な洞察を提供しますが、必要な中核的な証拠は提供しません。
公式文書からの抜粋 (CAP v1.0):
* セクション2.2 - 実施評価（25ページ）：「検査には、CMMCプラクティスへの準拠を評価するために、文書化されたポリシー、手順、およびシステム構成のレビューが含まれます。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 2.2。

包括的かつ詳細な説明:
CoPCでは、利益相反の兆候さえも避けることが求められています（オプションC）。オプションA、B、Dでは客観性が損なわれるリスクがあります。
公式文書（CoPC）からの抜粋：
* パラグラフ2.2 - 客観性（5ページ）：「利益相反の印象を与える可能性のあるオファーは辞退する。」参考文献：
CMMC 職業行動規範、第 2.2 項。

CAP とスコープ設定ガイダンスでは、評価者は次の両方を確認する必要があると規定されています。
* 契約 - OSCのCMMC要件がESPに反映されていることを確認すること。
* 共有責任マトリックス - OSC と ESP の間で責任が明確に割り当てられていることを確認します。
抽出する：
「評価者は、契約と責任共有マトリックスをレビューし、OSCの責任とプロバイダーの責任が明確に定義され、要件が適切に伝達されていることを確認する必要があります。」したがって、オプションAが最も完全です。
参考: CMMC スコープ設定ガイダンス - 外部サービスプロバイダー、CAP。

包括的かつ詳細な説明:
CAPの180日間の猶予期間はスケジュールのガイドラインであり、合理的な期間内に提出された場合（ここでは170日間）に完了を禁止する厳格な期限ではありません。オプションAとBはこの柔軟性を誤解しています。修正が検証されていれば、オプションD（完全な再評価）は不要です。オプションCが正解です。
公式文書からの抜粋 (CAP v1.0):
* セクション3.4 - POA&Mの完了（35ページ）：「最終調査結果説明会から180日以内に、POA&M完了評価を実施し、是正措置を検証し、実施の成功に焦点を当てます。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 3.4。

識別および認証（IA）の実践では、パスワードを強力な方法で保護することが求められています。ソルト付きの一方向ハッシュでパスワードを保存することで、パスワードの逆引きが不可能になり、強力な保護が実現します。
IA.L2-3.5.10からの抜粋:
「パスワードは、通常はソルト付きの一方向暗号ハッシュなど、侵害されにくい形式で保存および送信する必要があります。」オプションAとBは現代のパスワードガイドラインに準拠しておらず、オプションC（双方向暗号ハッシュ）は逆引きが可能であるため安全ではありません。
参考: CMMC アセスメント ガイド - レベル 2、IA.L2-3.5.10。