CMMC評価要件の理解
CMMC 評価では、セキュリティ プラクティスへの準拠を確認するために次の 3 つの評価方法が使用されます。
検査 - ドキュメント、ポリシー、ログ、または記録を確認します。
面接 - 担当者と話し合って理解と実行を確認します。
テスト - 技術的または運用的な手段を通じて実践が実行されていることを確認します。
与えられたシナリオにおける評価結果
練習は毎月行われていることが記録されていますが、ログには四半期ごとの実行が示されています。
インタビューでは月次の実行が示唆されているが、文書はこの主張を裏付けていない。
組織が実践に失敗する理由
回答 A (不正解): 作業は実行されていますが、ドキュメントが不足しているため、失敗は単に実行不足によるものではありません。
回答 B (不正解): 文書化された頻度がログの証拠と一致していないため、この慣行は完全に文書化されたとおりには行われていません。
回答C（正解）：CMMCでは、3つの評価方法（検査、面接、テスト）すべてが整合していることが求められます。ログが規定の頻度と矛盾しているため、この実践はコンプライアンス違反となります。
回答D（不正解）: 面接での回答だけでは不十分です。CMMCCAPガイドとNIST SP 800-
171ログによる確認（検査）と技術検証（テスト）が必要です。
結論
正解は C です。実践に合格するには、組織は 3 つの評価方法すべてにわたって証拠を提供する必要があります。
CMMC評価プロセス（CAP）ガイド - Cyber​​ AB
NIST SP 800-171A - CUI のセキュリティ要件の評価
DoD CMMC 2.0 スコープ設定および評価ガイド

CMMC 評価プロセスにおける最終的な解釈機関CMMC レベル 2 評価では、認証を求める組織 (OSC)、認定サードパーティ評価組織 (C3PAO)、評価チーム メンバー、CMMC 認定機関 (CMMC-AB) など、複数の組織がプロセスに関与します。
C3PAO と評価チームの役割:
認定サードパーティ評価組織 (C3PAO) は、NIST SP 800-171 セキュリティ要件に基づいて評価を実施し、初期の推奨結果を作成する責任を負います。
評価チームのメンバー (主任評価者およびサポート スタッフ) が評価を実施し、推奨事項を C3PAO に提出します。
最終解釈機関 - CMMC-AB:
CMMC 認定機関 (CMMC-AB) は、評価の一貫性と正確性を確保する責任を負います。
調査結果に関して異議や説明が必要な場合は、CMMC-AB が最終的な解釈とガイダンスを提供します。
これにより、さまざまな C3PAO 間での認証決定の一貫性が確保されます。
CMMC-ABが正しい答えである理由
CMMC-AB は、評価の品質保証プロセスに対する最終的な権限を持ちます。
OSC または C3PAO からの改善要求、異議申し立て、紛争を審査し、最終決定を下します。
CMMC-ABは、評価がCMMC 2.0ポリシーとDFARSに準拠していることを確認するために監視を維持します。
252.204-7021 の要件。
A). C3PAO - C3PAOは評価を実施し、結果を提出しますが、最終的な解釈権限は持ちません。結果はCMMC-AB品質保証プロセスを通過する必要があります。
C). OSC スポンサー - OSC (認証を求める組織) は調査結果を解釈できません。特定された欠陥に対応し、CMMC-AB チャネルを通じて評価に異議を申し立てることしかできません。
D）評価チームメンバー - 評価チームは調査結果を推奨しますが、最終的な解釈は行いません。その役割は、評価の実施、証拠の収集、C3PAOへの報告書の提出に限定されます。
参考資料:CMMCアセスメントプロセスガイド（CAP v2.0）-Cyber​​ AB
DFARS 252.204-7021（CMMC要件に関する国防総省規制）
CMMC 2.0 モデルの概要（国防総省 CIO サイト）
#最終回答 B. CMMC-AB

CMMC レベル 2 最終レポートの要件を理解するCMMC レベル 2 評価の場合、最終 CMMC 評価結果レポートには次の内容が含まれている必要があります。
各実践の評価結果
各実践の最終評価（METまたはNOT MET）
満たされていないと評価された各実践の詳細な根拠
CMMC 評価プロセス (CAP) ガイドでは、プラクティスが「不合格」とマークされた場合、評価者は不合格となった理由を説明する根拠を示す必要があると規定されています。
この根拠は、OSC が改善が必要な点を理解し、該当する場合は、その欠陥がアクション計画とマイルストーン (POA&M) を通じて解決できるかどうかを判断するのに役立ちます。
最終レポートは公式記録として機能し、結果パッケージの一部として提出する必要があります。
A). 各実践またはコントロールに対する肯定（不正解）
レポートには各プラクティスの MET/NOT MET 評価が含まれますが、確認は必須の要素ではありません。
C). 失敗した練習ごとに改善を提案する（不正解）
評価者は改善のための推奨事項は提供せず、調査結果とその理由を文書化するだけです。
提案を行うと、CMMC-AB 職業行動規範に従って利益相反が生じます。
D) 相互関係モデルに起因するギャップまたはデルタは、達成済みとして記録されます（不正解）。組織が相互関係モデル（FedRAMP、共同監視自主評価など）を活用している場合、ギャップは文書化する必要があります。自動的に「達成済み」とマークされるわけではありません。正解はBです。不合格となった各プラクティスの根拠を文書化します。これは、最終CMMC評価結果レポートの必須要件です。
参考文献:
CMMC評価プロセス（CAP）ガイド
DFARS 252.204-7021