1. CMMCレベル1におけるFCIの基本的な保護要件の理解
* 連邦契約情報 (FCI) は、一般公開を意図していない契約に基づいて政府によって提供される、または政府向けに生成される情報として定義されます。
* CMMC レベル 1 は、FAR 52.204-21 (対象となる請負業者の情報システムの基本的な保護) に記載されている 15 のセキュリティ要件に準拠して、FCI の基本的な保護を確実にするように設計されています。
* FCI のみを扱う請負業者は、FAR 52.204-21 に定められた安全保護要件に直接準拠する CMMC レベル 1 を満たす必要があります。
2. FAR 52.204-21とCMMCレベル1コンプライアンスにおけるその役割
* FAR 52.204-21 は、FCI を保護するために請負業者が実装する必要がある基本的なサイバーセキュリティ制御を規定します。
* 15 の基本的な保護要件には以下が含まれます。
* 情報へのアクセスを許可されたユーザーに制限する。
* システムへのアクセスを許可する前にユーザーを識別し、認証します。
* 送信された FCI を不正な開示から保護します。
* 外部システムへの接続の監視と制御。
* 境界保護とサイバーセキュリティ対策の適用。
* 廃棄前にメディアを消毒します。
* 脆弱性を減らすためにセキュリティ構成を更新します。
* 物理的なセキュリティ保護を提供します。
* FCI を処理するシステムへの物理的なアクセスを制御します。
* 該当する場合は多要素認証 (MFA) を適用します。
* ソフトウェアおよびハードウェアの脆弱性を修正します。
* リムーバブルメディアの使用を制限します。
* システム監査ログの作成と保持。
* リスクベースのセキュリティ評価を実行します。
* インシデント対応計画の策定。
これら 15 のプラクティスは、CMMC レベル 1 自己評価の基礎を形成し、請負業者が FCI の処理に関して最低限のサイバーセキュリティの期待を満たすことを保証します。
3. 他の選択肢が間違っている理由
* B. 22 CFR 120-130:
* これは、FCI の保護要件ではなく、防衛関連の物品およびサービスの輸出を規制する国際武器取引規則 (ITAR) を指します。
* C. DFARS 252.204-7011:
* この条項は代替の項目構造に関するものであり、サイバーセキュリティや FCI の保護には関係しません。
* D. DFARS 252.204-7021:
* この条項はCMMCの要件を強制するものの、基本的な安全保護管理策を定義するものではありません。CMMCへの準拠を要求していますが、基礎的な要件（レベル1のFAR 52.204-21に由来）を規定していません。
4. 公式CMMC 2.0リファレンス＆スタディガイドの整合
* CMMC 2.0モデルのドキュメントでは、レベル1はFARの15のプラクティスに焦点を当てていることを確認しています。
52.204-21.
* 国防総省のレベル 1 公式 CMMC 評価ガイドでは、レベル 1 自己評価に合格するには FAR 52.204-21 を満たすことが要件であると明記されています。
* CMMC 2.0 スコープ ガイドでは、FCI のみを取り扱い、レベル 1 認証を求める請負業者は、FAR 52.204-21 セキュリティ コントロールのみを実装する必要があることが明記されています。
最終確認: 正解は A. FAR 52.204-21 です。これは、FCI の基本的な保護を直接規定し、CMMC 2.0 のレベル 1 自己評価の基本要件です。

1. CMMC評価における所見の検証について理解する所見の検証はCMMC評価プロセスの重要な部分であり、評価チームによる観察と予備的な結論が正確かつ公平であり、完全な証拠に基づいていることを保証します。このプロセスはデイリーチェックポイント中に反復的に実行され、認証取得を目指す組織（OSC）の全体的なコンプライアンス状況を判断する上で不可欠です。
2. 評価プロセスにおける予備的知見の役割予備的知見は最終的なものではなく、透明性、正確性、公平性を確保するためのメカニズムです。これらの知見には、いくつかの重要な目的があります。
* OSC の入力と説明が可能: OSC には、評価チームによって特定された欠陥に対処するための追加の証拠を確認し、提供する機会があります。
* 誤解を防ぐ: OSC にコメントを許可することで、評価チームは OSC の CMMC プラクティスの実装に関する理解を深めたり修正したりできます。
* 公正かつ情報に基づいた評価をサポート: MET または NOT MET の判定を確定する前に、評価チームは関連するすべての証拠を考慮していることを確認します。
* 共同評価プロセスを促進: この検証活動により、評価者と OSC 間のオープンなコミュニケーションが促進され、紛争や誤解が減少します。
* 予備調査の主な目的は、最終決定が下される前に OSC がコメントし、追加の証拠を提供できるようにすることです。
* これは、毎日のチェックポイントと最終的な概要の議論を通じて調査結果の反復的な検証を強調する CMMC 評価プロセス ガイダンスと一致しています。
* 調査結果の検証により、OSC の応答と補足証拠が考慮され、評価プロセスがより正確かつ公平になります。
3. 回答選択肢「A」が正しい理由4. その他の回答選択肢が間違っている理由選択肢 B が除外される理由: OSC が評価で MET と評価されるか NOT MET と評価されるかを決定します。
誤り：予備調査結果は最終的な評価を直接決定するものではありません。評価チームは、最終決定を下す前に収集されたすべての証拠を検討します。
C: 評価チームの調査結果が正しく、変更できないことを確認します。
誤り：予備段階では、調査結果は最終的なものではありません。OSCは、新たな証拠や明確な証拠を提示することで、調査結果に異議を唱える機会があります。
D: 評価チームの CMMC プラクティスとコントロールに対する理解を裏付けます。
部分的に正しいが、最適な回答ではありません: 検証は理解を深めるのに役立ちますが、その主な機能は OSC 入力を許可してオプション A を最も正確な選択にすることです。
* CMMC評価プロセス（CAP）文書:
* セクション 5.3 - 結果の検証:「OSC には、予備的な評価結果を明確化または補足するための追加の証拠とコメントを提供する機会が与えられます。」
* セクション 5.4 - 毎日のチェックポイント: 「評価チームは OSC と予備的な調査結果について話し合い、組織が懸念事項にリアルタイムで対処できるようにします。」
* CMMC 2.0 レベル 2 スコープ設定および評価ガイド:
* 最終決定が下される前に、評価プロセスに OSC との継続的な対話が含まれていることを確認します。
5. この回答を裏付ける公式CMMC参考文献6. 結論予備調査結果はCMMC評価における重要な検証ステップであり、組織が追加の証拠を提示し、潜在的な誤解を解消する機会を確保します。この反復的なプロセスにより、CMMC要件への準拠を判断する際の正確性と公平性が向上します。したがって、正解は次のとおりです。
A: OSC がコメントしたり追加の証拠を提供したりできるようになります。

公式CUIレジストリについて理解する管理非機密情報（CUI）レジストリは、すべての連邦機関のCUIカテゴリーとインデックスに関する信頼できる情報源です。国立公文書記録管理局（NARA）によって管理されており、以下の情報を提供します。
#CUI カテゴリとサブカテゴリの包括的なリスト。
#CUI を処理、保存、共有できるユーザーの詳細。
#CUI マーキングおよび安全保護要件に関するガイダンス。
* 公式 CUI レジストリは、すべての CUI カテゴリとそれらを使用する機関をリストする唯一の連邦リソースです。
* 32 CFR セクション 2002 (オプション A) では CUI ポリシーが定義されていますが、CUI カテゴリの完全なリストは提供されていません。
* 大統領令 13556 (オプション C) により CUI プログラムが確立されましたが、アクティブなカテゴリのリストは維持されていません。
* 「公式 CMMC レジストリ」(オプション D) は存在しません。CMMC はセキュリティ フレームワークであり、CUI 分類システムではありません。
「公式 CUI レジストリ」が正しい理由 回答の選択肢の内訳 オプションの説明 正しいですか?
A: 32 CFR セクション 2002
#誤り - CUI プログラム ルールを定義していますが、カテゴリをリストしていません。
B: 公式CUIレジストリ
#正解 - レジストリには CUI カテゴリの完全なリストが含まれています。
C: 大統領令13556
#誤り - CUI プログラムを確立しましたが、カテゴリ リストが維持されていません。
D: 公式CMMCレジストリ
#誤り - そのようなレジストリは存在しません。CMMC はサイバーセキュリティ フレームワークであり、CUI 分類システムではありません。
* 国立公文書館 (NARA) CUI レジストリ - すべての連邦機関の CUI カテゴリの信頼できる情報源。
* 32 CFR 2002 - CUI ポリシー ガイダンスを提供しますが、分類については各機関に公式 CUI レジストリを参照するよう指示します。
CMMC 2.0 および連邦政府文書からの公式リファレンス最終検証と結論正解は B です。公式 CUI レジストリ。これは、すべての連邦政府機関の CUI インデックスとカテゴリをリストする唯一の公式ソースです。

CMMC評価におけるアファーメーションの理解アファーメーションとは、CMMC評価中に収集される証拠の一種であり、必要なプラクティスへの準拠を確認するためのものです。アファーメーションは通常、以下のものから収集されます。
#インタビュー - セキュリティ対策を実施する担当者との会話。
#デモンストレーション - 実際の実践を観察します。
#電子メールとメッセージング - コンプライアンスへの取り組みを確認する書面によるコミュニケーション。
#プレゼンテーション - セキュリティ実装を説明するドキュメントまたは概要。
#スクリーンショット - システム構成とセキュリティ対策の視覚的な証拠。
* CMMC アセスメント プロセス (CAP) ガイドでは、評価者は電子メール、メッセージ、プレゼンテーションなどのさまざまなコミュニケーション方法を通じてアセスメントを収集できると規定されています。
* スクリーンショットは、コンプライアンスを確認するための客観的な証拠として有効な追加の形式です。
* オプション A と B は、電子メールとメッセージングが明示的に許可された確認形式であるため、正しくありません。
* オプション C は、有効な証拠とみなされるスクリーンショットについて言及されていないため、不完全です。
「はい、評価者によって収集された確認はすべて適切であり、スクリーンショットも同様です」が正しいのはなぜですか?
回答の選択肢の内訳
説明
正しい？
A: いいえ、電子メールは適切な断言ではありません。
#誤り - 電子メールは有効な確認方法です。
B: いいえ、メッセージは適切な断言ではありません。
#誤ったメッセージは肯定の収集に許可されます。
C: はい、評価者が収集した肯定的な意見はすべて適切です。
#誤り - スクリーンショットも有効な証拠とみなされる必要があります。
D: はい、評価者が収集したアファーメーションはすべて適切であり、スクリーンショットも同様です。
#正解 - スクリーンショットも有効な確認形式です。
* CMMC 評価プロセス ガイド (CAP) - 書面によるコミュニケーションによる確認を含む、許容される証拠収集方法を定義します。
CMMC 2.0ドキュメントからの公式リファレンス最終検証と結論正解はDです。はい、評価者が収集したアファーメーションはすべて適切であり、スクリーンショットも同様です。これは、アファーメーション収集に関するCMMC 2.0評価手順に準拠しています。

IA.L2-3.5.3 の理解: 多要素認証 (MFA) 要件NIST SP 800-171 (要件 3.5.3) から派生した IA.L2-3.5.3 プラクティスでは、次のものにアクセスするときに、特権ユーザーと標準ユーザーの両方に多要素認証 (MFA) を実装する必要があります。
#組織のエンドポイント（ラップトップ、デスクトップ、モバイル デバイスなど）。
#ネットワーク リソース (VPN、内部システムなど)。
#制御された非機密情報 (CUI) を含むクラウド サービス。
「MET」評価の主な要件IA.L2-3.5.3 を満たすには、組織は次の要件を満たす必要があります。
すべての特権ユーザー (システム管理者など) に MFA を要求します。
エンドポイントおよびネットワーク リソースにアクセスする標準ユーザーには MFA を要求します。
関連するすべてのシステムに MFA を実装します。
OSC の現在の実装では標準ユーザーには MFA が必要ないため、このプラクティスは完全には実装されておらず、「NOT MET」と評価される必要があります。
A). プロセスは正常に実行されています # 不正解
MFAは特権ユーザーにのみ適用されますが、標準ユーザーにも必須です。このプロセスは完全に実装されていません。
B). これは新規取得なので範囲外です。#.偽
新しく取得した企業は、CUI またはネットワーク アクセスを処理する場合、引き続き MFA 要件を満たす必要があります。
C) 新たな買収は特殊資産とみなされる #.偽
特殊な資産 (IoT、レガシー システムなど) には代替のセキュリティ制御が適用される場合がありますが、標準ユーザーとエンドポイントは引き続き MFA に準拠する必要があります。
D). 目標が実装されていないため、実践は達成されません。# エンドポイントとネットワーク リソースにアクセスする特権ユーザーと標準ユーザーの両方に対して、正しい MFA を有効にする必要があります。
標準ユーザーは除外されているため、このプラクティスは満たされていません。
正解が「D」（目標が実施されなかったため実践は達成されなかった）なのはなぜですか？
CMMC 2.0 レベル 2 (上級) 要件
CUI およびネットワーク リソースにアクセスするすべてのユーザーに MFA を適用する必要があることを指定します。
NIST SP 800-171 (要件 3.5.3 - MFA 実装)
特権ユーザーと標準ユーザーを含むすべてのユーザー タイプに対して MFA が必要です。
CMMC評価プロセス（CAP）文書
基準を満たしているとみなされるには、実践が完全に実施されている必要があることを示します。部分的に実施されている場合は、基準を満たしていないことを意味します。
この回答をサポートする CMMC 2.0 参照。