包括的かつ詳細な説明：
SC.L2-3.13.13 - モバイルコードでは、「許容できないリスクを防止するために、モバイルコードの使用を制御および監視する」ことが求められています。モバイルコード（例：ブラウザで実行されるスクリプト）は、マイクロサービスにアクセスするWebインターフェースを介して発生する懸念事項です。不正なコード実行（D）は、ユーザーまたはシステムを悪用する可能性があるため、主要なリスクです。
MDM（A）はデバイスを保護するものであり、ウェブコードは保護しません。コンテナの脆弱性（B）は別物です。JavaScriptの使用（C）は、クライアント側で制御なしに実行されない限り、本質的にモバイルコードではありません。CMMCガイドは実行リスクに焦点を当てています。
公式 CMMC ドキュメントからの抜粋:
* CMMC アセスメント ガイド レベル 2 (v2.0)、SC.L2-3.13.13:「Web インターフェイス経由の不正実行を防止するためにモバイル コードを制御する。」
* NIST SP 800-171A、3.13.13：「ユーザーがアクセス可能なシステムにおけるモバイルコードのリスクを評価する。」リソース：
* https://dodcio.defense.gov/Portals/0/Documents/CMMC/AG_Level2_MasterV2.
0_FINAL_202112016_508.pdf

包括的かつ詳細な説明：
AC.L2-3.1.11 には、「定義された条件が満たされた後にユーザーセッションを終了する」という規定があります。仕様（ポリシーやプラン B、C、D などの文書化された成果物）はこれらの条件を定義し、NIST SP 800-171A に従って検査可能です。
メカニズム（A）は仕様ではなく技術的な実装であり、文書として検査されるのではなくテストされます。CMMCガイドでは、ポリシーの検査とメカニズムのテストを区別しています。
公式 CMMC ドキュメントからの抜粋:
* CMMC 評価ガイド レベル 2 (v2.0)、AC.L2-3.1.11:「ポリシーと計画を検査し、終了メカニズムをテストします。」
* NIST SP 800-171A, 3.1.11: 「仕様にはメカニズムではなくポリシーが含まれる。」リソース:
* https://dodcio.defense.gov/Portals/0/Documents/CMMC/AG_Level2_MasterV2.
0_FINAL_202112016_508.pdf

* 適用可能な要件: PE.L2-3.10.3 - 「組織のシステム、機器、およびそれぞれの運用環境への物理的なアクセスを制御する。」
* A が正解である理由：警備員は、アクセスを許可された人物のみに制限する、予防的かつ検知的な物理的制御として認められています。警備員は、資格情報の確認、行動の監視、そしてリアルタイムの抑止力として機能します。
* 他の選択肢が不十分な理由:
* B (カメラ): 監視と証拠を提供しますが、直接的なアクセス制御は提供しません。
* C (ファイアウォール): 物理的なアクセス対策ではなく、ネットワーク制御です。
* D (間仕切り壁): 障壁は物理的にエリアを分離するのに役立ちますが、誰が入ることができるかを制御することはできません。
参考文献（CCA公式ソース）：
* NIST SP 800-171 Rev. 2 - PE.L2-3.10.3
* NIST SP 800-171A - PE.L2-3.10.3 評価目標
* CMMC評価ガイド - レベル2 - 物理的セキュリティ管理

包括的かつ詳細な説明:
CAPでは、複数の成果物が1つのプラクティスをサポートすることを許可しています。ただし、それらが全体としてコンプライアンスを実証している場合に限ります。別文書が特権アカウント管理について十分に対応している場合、それはSSPを補完するものとなり、両方を受け入れることができます（オプションB）。オプションA（組み込みの要求）は評価中に必須ではなく、プロセスを遅らせます。オプションC（減点）は、スコアリングが初期の見落としではなく証拠の十分性に基づいているため、CAPの基準を満たしていません。別文書が要件を満たしている場合、オプションD（「不合格」とマーク）は誤りです。
公式文書からの抜粋 (CAP v1.0):
* セクション2.2 - 実施評価（25ページ）：「複数の成果物が総合的に評価目標を満たしている限り、実践への準拠を証明するために複数の成果物を使用することができます。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 2.2。

包括的かつ詳細な説明：
CUIを処理する資産を除外する狭いセキュリティ境界は、OSCのCMMC要件へのコンプライアンスにとって重大なリスクとなります。CMMC評価範囲レベル2では、CUIを処理、保存、または送信するすべての資産を範囲に含める必要があることが強調されており、そうでない場合は機密情報の特定と保護におけるデューデリジェンスが欠如していることを示します。エンクレーブ外の資産がCUIを処理する場合は、NIST SP 800-171およびCMMCガイドラインに従い、包括的な保護を確保するために、それらも範囲に含める必要があります。範囲が狭すぎると、CUIが脆弱な状態になり、OSCのセキュリティ体制が損なわれ、コンプライアンス違反につながる可能性があります。
オプションAは結果であり、主要なリスクではありません。オプションCとDはコストと時間に焦点を当てており、これらはオプションBで特定されたセキュリティリスクの二次的なものです。CMMC CAPは、CUIの保護には適切なスコープ設定が不可欠であることを強調しているため、オプションBが正解となります。
参照：
CMMC評価範囲 - レベル2、セクション2.1（スコープ設定ガイダンス）、3ページ：「スコープが狭すぎると、すべての機密情報を保護できない可能性があり、デューデリジェンスが不十分であることが示唆されます。」CMMC評価プロセス（CAP）v1.0、セクション2.2（スコープ検証）