共有インターネット接続は、セキュリティ保護資産（SPA）が存在し、CUI環境と企業内の他の部分の両方にサービスを提供していることを示します。SPAはCUIのセキュリティ保護を提供するため、設置場所に関わらず常に評価対象となります。したがって、文書や図表によって商用環境と連邦政府環境が単一のインターネット接続を共有していることが示されている場合、評価者は適切な実装と分離を確認するために、もう一方の建物へのアクセスを申請する必要があります。
正確な抜粋（CMMC アセッサー/調査文書より）：
* 「セキュリティ保護資産は、OSA の CMMC 評価範囲内でセキュリティ機能または能力を提供します。セキュリティ保護資産は CMMC 評価範囲の一部であり、提供される能力に関連するレベル 2 のセキュリティ要件に基づいて評価されます。」
* 「請負業者リスク管理資産は、CUI 資産から物理的または論理的に分離する必要はありません... ドキュメントまたはその他の調査結果によりこれらの資産に関する疑問が生じた場合、評価者は限定的なチェックを実施して欠陥を特定できます。」
* 「分離は、範囲外の資産に対してのみ必要です。ファイアウォールやその他の境界保護デバイスを使用してサブネットを実装することで、分離を実現できます。」
* 「CMMC 評価範囲には、評価対象となる OSA 環境内のすべての資産が含まれます...」
OSA は、事前評価中にスコープ設定の議論を容易にするために、CMMC 評価スコープのネットワーク図を提供する必要があります。
* 「OSC は、CMMC 評価範囲の定義方法に応じて、企業ネットワーク全体または特定のエンクレーブに対してレベル 2 の認定評価を取得できます...」他のオプションが正しくない理由:
* A（施錠されたケース）：物理的な物的移動は範囲を確定しません。範囲はCUIフローとセキュリティ保護資産によって決定され、人員活動の偶発的な観察によって決定されるものではありません。
* B (地下通路): 物理的なトンネルや建物の接続は、IT/セキュリティ機能の共有につながらない限り、範囲に影響しません。
* D (HR ロケーション): HR は CUI を保護するセキュリティ機能を提供しないため、SPA ではありません。
HR システムが CUI を直接処理または保存しない限り、それらは範囲外のままとなります。
参考資料（公式CCA/CMMC文書）：
* CMMC 評価範囲 - レベル 2、バージョン 2.13 (スコープ ガイド): 資産カテゴリ、SPA の定義と例、CRMA 限定チェック言語、分離要件、ネットワーク ダイアグラム要件 (3 ～ 13 ページ)。
* CMMC 評価ガイド - レベル 2、バージョン 2.13: 評価範囲、エンクレーブ検証、および評価方法 (1 ～ 4 ページ、8 ～ 10 ページ)。

包括的かつ詳細な説明:
CAP では、完了評価中にいずれかの POA&M プラクティスが「MET」スコアを獲得できなかった場合、主任評価者は最終認証に反対する勧告をし、OSC に修正後の再申請を要求することが義務付けられています。
オプション A、C、および D はこの要件に準拠していません。
公式文書からの抜粋 (CAP v1.0):
* セクション3.4 - POA&M完了評価（35ページ）：「POA&Mレビューのいずれかの実践が「MET」スコアに至らなかった場合、主任評価者はOSCをCMMCレベル2最終認証に推奨しないことを推奨します。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 3.4。

CMMCは、技術的な制約により特定のシステムでMFAを直接適用できない場合に、代替的な制御を可能にします。このような場合、有効な第二要素として、強力な物理アクセス制御メカニズムが挙げられます。
IA.L2-3.5.3（多要素認証の使用）からの抜粋：
多要素認証は、ユーザーが知っている情報（例：パスワード）と、ユーザーが所有している情報（例：物理的なバッジ）、またはユーザー自身（例：生体認証）を組み合わせることで実装できます。バッジで保護された施設などの物理的なアクセス制御は、システム上で直接的な多要素認証が技術的に不可能な場合に、補完要素として機能します。したがって、ミッションシステムルームへのバッジアクセスは、十分な第二要素として機能します。
参考: CMMC アセスメント ガイド - レベル 2、IA.L2-3.5.3。

包括的かつ詳細な説明:
CAPでは、特にオンサイトで保管されている場合、整合性を確保するためにOSCがアーティファクトをハッシュ化することを義務付けています。オプションB（オフサイトでのコピー）はOSCの制限に違反します。オプションC（編集済みバージョン）は非現実的であり、必須ではありません。
オプションD（写真）はセキュリティプロトコルに違反します。オプションAはCAPのハッシュ化要件に準拠しています。
公式文書からの抜粋 (CAP v1.0):
* セクション3.5 - アーカイブ評価アーティファクト（36ページ）：「OSCは、記録保存のために固有のデジタル指紋を作成するために、CMMCアーティファクトハッシュツールユーザーガイドに従ってすべてのアーティファクトをハッシュする必要があります。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 3.5。

包括的かつ詳細な説明:
CAPは、矛盾点を証拠ギャップとして文書化し、利用可能な証拠に基づいて評価することを指示しています（オプションC）。オプションAは文書化の問題を無視し、オプションBは不必要な遅延を引き起こし、オプションDは完全な評価を行わないまま時期尚早です。
公式文書からの抜粋 (CAP v1.0):
* セクション2.2 - 行動評価（25ページ）：「不完全または不正確な文書は証拠ギャップとして記録され、利用可能な証拠に基づいて実践が評価される必要があります。」参考文献：
CMMC 評価プロセス (CAP) v1.0、セクション 2.2。