CUI 保護責任の理解管理された非機密情報 (CUI) は機密情報ですが、DoD 命令 5200.48 および DFARS 252.204-7012 に基づいて保護する必要がある機密情報ではありません。
CUI の取り扱いにおける主な責任は、不正なアクセス、開示、または変更から CUI を保護することです。
* CUI プログラム (NARA および DoD に準拠) では、デジタル形式と物理形式の両方で CUI を保護するための安全対策が義務付けられています。
* CMMC 2.0 レベル 2 (上級) のプラクティスは、アクセス制御、暗号化、監視を通じて CUI を保護することに重点を置いた NIST SP 800-171 に準拠しています。
* DFARS 252.204-7012 では、国防総省の請負業者が CUI を保護するためにサイバーセキュリティ保護策を実施することを義務付けています。
* A. シールド (誤り) - シールドは、CUI 保護に関連するサイバーセキュリティ用語ではありません。
* B. 統治（誤り） - 統治とは、直接的な保護ではなく、政策立案を指します。
* C. 修正 (誤り) - 修正は修復を意味しますが、主な責任は CUI を積極的に保護することです。
* 正解は D です。CUI 保護としてのセーフガードは、サイバーセキュリティのセーフガードの実装に重点を置いています。
参考文献:
国防総省命令 5200.48 (CUI プログラム)
DFARS 252.204-7012
CMMC 2.0 レベル 2 プラクティス (NIST SP 800-171)

サイバーセキュリティ成熟度モデル認証（CMMC）2.0において、改善レビュープロセスは、初期評価で特定された欠陥に対処する重要なフェーズです。認定第三者評価機関（C3PAO）を代表するリードアセッサーは、このプロセスにおいて極めて重要な役割を果たします。
改善レビューにおける主任評価者の役割:
* 修復努力の検証:
* 目的: 認証取得を目指す組織 (OSC) が初期評価中に特定されたすべての欠陥に効果的に対処し、修正したことを確認します。
* プロセス：主任評価者は、OSCから提供された証拠をレビューし、以前は満たされていなかった各プラクティスが現在必要な基準を満たしていることを確認します。これには、更新されたポリシー、手順、システム構成、その他の関連資料の調査が含まれます。
* デルタ評価修復パッケージの提出:
* 定義: デルタ評価は、以前に非準拠または欠陥があると判明したコンポーネントまたはプラクティスのみを評価することに重点を置いています。
* 責任: 修復の取り組みを検証した後、主任評価者は次の内容を含む修復パッケージを作成します。
* 初期評価で特定された欠陥の詳細な文書。
* OSC が実施した是正措置の証拠。
* 改善された実践の再評価から得られた結果。
* 内部品質レビュー：この改善パッケージは、C3PAOの内部品質レビュープロセスに提出されます。このレビューの目的は、認証決定を最終決定する前に、評価結果の正確性、完全性、および一貫性を確認することです。
回答Cを選択した理由:
* CMMC 評価プロセスとの整合性: 内部品質レビュー用のデルタ評価改善パッケージの提出は、CMMC 評価プロセスで概説されている標準手順です。
このステップにより、すべての修復項目が徹底的に評価および検証され、認証プロセスの整合性が維持されます。
誤ったオプションの説明:
* オプション A:「OSC が計画された修復活動を完了できるように支援する」
* 説明：主任評価者の役割は、OSCのコンプライアンスを評価および検証することであり、是正活動の実施または完了を支援することではありません。このような支援を行うことは、利益相反につながり、評価の客観性を損なう可能性があります。
* オプション B:「OSC の 2 つの連続した修復レビューを計画します。」
* 説明：標準的なプロセスでは、OSCが特定された欠陥に対処した後、1回の改善レビューを実施します。複数の改善レビューを連続して計画することは一般的ではなく、OSCによる適切な改善計画の欠如を示唆する可能性があります。
* オプション D:「POA&M に以前記載されていたプラクティスが、更新されたリスク評価で削除されていることを確認します。」
* 説明：欠陥への対処を確実にすることは不可欠ですが、改善レビューにおける主任評価者の主眼は、改善されたプラクティスの実施状況を検証することです。リスク評価の更新は、主任評価者ではなく、OSCの内部リスク管理チームの責任です。
参考文献:
CMMC 評価プロセス v2.0
サイバーAB
CMMC アセスメントガイド - レベル 2
防衛イノベーションユニット
これらのドキュメントには、評価者の役割と責任、改善レビュー プロセス、CMMC フレームワーク内で品質レビューのために評価結果を送信する手順に関する詳細なガイドラインが記載されています。

CMMC-AB 職業行動規範の理解サイバーセキュリティ成熟度モデル認定機関 (CMMC-AB) (現在は Cyber​​ AB と呼ばれています) は、認定評価者 (CA)、認定プロフェッショナル (CP)、C3PAO (認定サードパーティ評価組織) など、CMMC 評価に関与するすべての個人に対して職業行動規範 (CoPC) を制定しています。
CMMC-AB 職業行動規範に概説されている基本原則は次のとおりです。
責任
CMMC プロフェッショナルは、自分の行動に全責任を負い、評価が誠実かつ専門的に実施されるようにする必要があります。
彼らは、サイバー AB と国防総省によって定められたすべての倫理的および規制上の要件を遵守する必要があります。
機密保持
CMMC プロフェッショナルは、管理された非機密情報 (CUI) や連邦契約情報 (FCI) などの機密情報を保護する必要があります。
秘密保持契約（NDA）を遵守し、不適切な情報共有を避ける必要があります。
情報の完全性
CMMC 評価のすべてのレポート、調査結果、推奨事項は、正確で、公平かつ真実でなければなりません。
評価者は利益相反を避け、評価で提供されるすべてのデータが検証可能であり、虚偽表示がないことを確認する必要があります。
回答A（誤）：「分類」はCMMC-AB CoPCの主要原則ではありません。焦点はCUIとFCIの保護にあり、分類手順ではありません。
回答 B (不正解)：「客観性」は重要ですが、CMMC-AB 職業行動規範の 3 つの基本原則の 1 つとして明示的に記載されていません。
回答 C (不正解): 「分類」は CoPC の指針ではありません。
回答 D (正解): 職業倫理規範では、責任、機密性、および情報の完全性を明確に強調しています。
正解はDです。責任、機密性、および情報の完全性。
これらの原則により、すべての CMMC プロフェッショナルが倫理基準を維持し、認定プロセスの整合性を維持することが保証されます。
参考文献:
CMMC-AB 職業行動規範 (CoPC)
サイバーAB倫理ガイドライン
CMMC評価プロセス（CAP）ガイド