CAP では、評価中に収集された証拠は、適切性 (証拠が要件と一致しているか) と十分性 (自信を持って判断するのに十分な証拠があるか) の両方について評価されることが明確にされています。
公式コンテンツからの補足抜粋:
* CAP v2.0、証拠収集ガイダンス：「証拠は、評価者の判断を裏付けるのに十分な情報が得られるように、適切性と十分性について評価されなければならない。」オプションAが正しい理由：
* 証拠は、適切性と十分性の 2 つの品質のみに基づいて評価されます。
*「徹底性」と「適切性」は、証拠評価における公式の CAP 用語ではありません。
参考資料（公式 CMMC v2.0 コンテンツ）：
* CMMC アセスメント プロセス (CAP) v2.0、証拠評価セクション。

CMMCレベル1には、FAR 52.204-21から派生した17のプラクティスが含まれています。そのうち、メディア保護（MP）プラクティスでは、FCIを含むメディアを廃棄または再利用のために解放する前に、不正アクセスを防止するためにサニタリー処理または破壊することを組織に義務付けています。
* この要件により、連邦契約情報 (FCI) を含むすべてのストレージ デバイス、ハード ドライブ、USB、または物理ドキュメントが適切に廃棄または消去され、データ漏洩が防止されます。
* この実践のために収集された証拠は、組織が適切なメディアのサニタイズまたは破棄の手順を確立し、それに従っていることを示す必要があります。
正解が「B. 適切」である理由は何ですか?CMMC 評価プロセス (CAP) ガイドでは、評価が完了したとみなされるためには、提出されたすべての証拠が主任評価者によって受け入れられる前に適切性の基準を満たしている必要があると規定されています。
* CMMCにおける「適切な」証拠の定義:* CMMC ガイドラインの要求どおりに
実践が実行されたことが十分に実証されている場合、証拠は適切です。
* リード評価者は、提出されたドキュメントが CMMC 2.0 レベル 1 の要件を満たしているかどうかを評価します。
* 証拠が FCI を含むメディアの消毒または破壊を正確かつ完全に実証している場合、それは適切性の基準を満たしています。
* 他のオプションを選択しないのはなぜですか?
* A. 公式 - 証拠は公式の情報源から得られる場合もありますが、CMMC では証拠が「公式」である必要はなく、コンプライアンスを確認するのに十分であることのみを求めています。
* C. 準拠 - 準拠は評価の最終結果ですが、準拠が決定される前に、まず評価に十分な証拠が必要です。
* D. 主観的 - CMMC 証拠は客観的であり、意見や解釈ではなく、検証可能な文書、ポリシー、ログ、手順に基づく必要があります。
* CMMC 2.0 スコープ ガイド (2021 年 11 月) - レベル 1 のメディア保護 (MP) は、FCI を処理、保存、または送信する資産にのみ適用されることを規定しています。
* CMMC 評価プロセス (CAP) ガイド - 必要なセキュリティ プラクティスの実装を完全に明確にサポートするドキュメントとして適切な証拠を定義します。
* FAR 52.204-21 - FCI を含むメディアの消毒と破壊を含むレベル 1 要件のソース。
関連するCMMC 2.0参考文献：最終的な根拠：CCPの「証拠はプラクティスのパフォーマンスを完全に反映している」という記述は、CMMCにおける「適切な証拠」の定義と一致しています。「適切性」は最終的なコンプライアンス判断を行う前に用いられる主要な基準であるため、正解はBです。「適切」です。