CMMC評価において、組織は必要なプラクティスとプロセスへの準拠を証明する証拠を提示する必要があります。評価者は、以下の2つの主要な基準に基づいてこの証拠を評価します。
* 適切性 - 証拠はセキュリティ要件の意図を満たしていますか?
* 十分性 - 実践/プロセスが効果的に実装されていると合理的に結論付けるのに十分な証拠がありますか?
これらの原則は、コンプライアンスを評価するための構造化されたアプローチを提供する CMMC 評価プロセス ガイドに概説されています。
ステップごとの内訳:#1. 適切性 - 証拠は要件を完全に満たしていますか?
* 適切性とは、セキュリティ対策が要求どおりに実施されたことが証拠によって適切に実証されているかどうかを指します。
* 例: 組織が多要素認証 (MFA) を実施すると主張する場合、評価者はシステム構成、ログイン ポリシー、およびユーザー認証ログをチェックして、MFA が実際に使用されていることを確認します。
#2. 十分性 - 主張を裏付ける十分な証拠がありますか?
* 十分性とは、コンプライアンスを証明するのに十分な裏付けとなる証拠があることを意味します。
* 例: 組織が MFA ログイン画面のスクリーンショットを 1 つだけ提供した場合、それだけでは不十分な可能性があります。追加のログ、ポリシー、およびユーザー レコードがあれば、ケースを強化できます。
* (B) 適切性と徹底性#
* 徹底性は、CMMC 証拠評価において定義された指標ではありません。
* 焦点は、証拠が要件を満たしているかどうか (適切性)、および証拠が十分であるかどうか (十分性) にあります。
* (C) 十分性と徹底性#
* 徹底性は、CMMC コンプライアンス検証では認められた用語ではありません。
* 証拠は徹底的であるだけでなく、適切かつ十分でなければなりません。
* (D) 十分性と適切性#
* 適切性は CMMC 定義の基準ではありません。
* CMMC 評価で使用される正しい用語は、適切性 (要件を満たしているか) と十分性 (十分な証拠があるか) です。
他の回答の選択肢が間違っている理由:
* CMMC 評価プロセス ガイドでは、セキュリティ プラクティスへの準拠を確認するために、証拠は適切性と十分性に基づいて評価する必要があることが明示的に規定されています。
CMMCドキュメントからの最終検証:

CMMC 2.0 における「プラクティス」の定義を理解するCMMC 2.0 では、「プラクティス」という用語は、定義されたセキュリティ目標への準拠を達成するために組織が実装する必要がある特定のサイバーセキュリティ活動を指します。
CMMCドキュメントからの定義:
CMMC モデル概要によれば、プラクティスは次のように定義されます。
ステップごとの内訳：「定義された CMMC 目標を達成するために実行されるアクティビティ」。つまり、プラクティスとは、管理された非機密情報 (CUI) と連邦契約情報 (FCI) を保護するために必要なアクションと実装です。
CMMC 2.0 における実践方法:
CMMC 2.0 レベル 1 は、FAR 52.204-21 (対象となる請負業者の情報システムの基本的な保護) に準拠した 17 のプラクティスで構成されています。
CMMC 2.0 レベル 2 は、NIST SP 800-171 Rev. 2 に直接準拠した 110 のプラクティスで構成されています。
各プラクティスには、コンプライアンスを証明するために達成する必要のある目標があります。
公式 CMMC 2.0 リファレンス:
CMMC 2.0 モデルドキュメントでは、プラクティスを「セキュリティ目標を達成するために必要な基本的なサイバーセキュリティ活動」と定義しています。CMMC 評価プロセス (CAP) ガイドでは、評価者が評価中にこれらのプラクティスの実装を検証する方法を概説しています。
NIST SP 800-171A ガイドでは、各プラクティスが効果的に実装されるように、各プラクティスの評価目標が提供されています。
他の回答選択肢との比較:
A). ビジネストランザクション# 不正解。CMMC プラクティスは、財務または運用トランザクションではなく、サイバーセキュリティ活動に重点を置いています。
B). 経験や実践によって到達した状態# 誤り。実践は時間とともに進化しますが、経験に基づく状態ではなく、定義された活動です。
C). 定められた方法で行われる一連の変更# 誤り。プラクティスとは、単なる変更プロセスではなく、一連のセキュリティアクションを指します。
結論：ACMMCプラクティスとは、定義されたCMMC目標を達成するために実施される具体的なサイバーセキュリティ活動を指します。したがって、選択肢Dが正解となります。

CMMC 評価における主任評価者の主な参考資料CMMC 評価を実施する主任評価者は、公式の CMMC ガイダンス ドキュメントに基づいて、認定取得を目指す組織 (OSC) が必要なサイバーセキュリティ プラクティスを満たしているかどうかを評価する必要があります。
CMMC 評価ガイドでは、評価対象となる特定の CMMC レベルでの各プラクティスとプロセスの詳細な説明を提供します。
以下を定義します:#各プラクティスの評価目標。#コンプライアンスに必要な証拠。#プラクティスが満たされているか満たされていないかを判断するための採点基準。
最も関連性の高い参考資料: CMMC アセスメントガイド
A). 対象となる防衛情報に対する DoD の適切なセキュリティ チェックリスト # 誤り DoD の適切なセキュリティ チェックリストは DFARS 252.204-7012 コンプライアンスに関連していますが、CMMC 評価は CMMC 評価ガイドに従います。
B). CMMC モデル概要は評価方法と評価対象を提供するため # 誤り CMMC モデル概要は高レベルのガイダンスを提供しますが、具体的な評価基準は含まれていません。
C). レベル2評価のためのFAR条項52.204-21の保護要件 # 誤り FAR 52.204-21はCMMCレベル1（FCI保護）に関連していますが、CMMCレベル2はNIST SP 800-に準拠しています。
171検証にはCMMCアセスメントガイドが必要です。
D). 希望する認証レベル向けに公開された CMMC アセスメント ガイドの実践説明 # 正解 CMMC アセスメント ガイドは、OSC が認証に必要なセキュリティ実践を満たしているかどうかを判断するために使用される公式ドキュメントです。
正解が「D. 希望する認定レベル向けの公開済み CMMC アセスメント ガイド実践説明」なのはなぜですか?
CMMC評価プロセス（CAP）文書
リード評価者は公式スコアリングに CMMC 評価ガイドを使用する必要があることを指定します。
レベル 1 およびレベル 2 の CMMC 評価ガイド
各実践の詳細な説明、評価方法、採点基準を提供します。
認定サードパーティ評価組織 (C3PAO) 向けの CMMC-AB ガイダンスでは、CMMC 評価は一般的な DoD セキュリティ ポリシーではなく、評価ガイドに従う必要があることを確認します。
この回答を裏付けるCMMC 2.0の参考文献
最終回答 #D。希望する認定レベル向けに公開された CMMC アセスメント ガイドの実践説明。