連邦契約情報（FCI）は、FAR 52.204-21において、契約に基づき政府から提供または政府のために生成される情報であり、公開を意図していない情報と定義されています。CMMC 2.0では、FCIを扱う組織は、FAR 52.204-21の基本的保護要件を実装し、FCIの処理、保管、および伝送における適切な保護を確保する必要があります。
与えられたオプションの分析この質問は、FCI を下請け業者に送信するために使用される電子メール システムに関するものです。
考えられる答えを分解してみましょう。
A). FCI# の管理が正しくありません
FCIの管理には、FCIの整理、保管、アクセスの維持といった活動が含まれます。電子メールの送信は管理の対象ではなく、送信行為です。
B). プロセスFCI#が正しくありません
処理とは、データの分析、変更、計算など、運用または分析目的でFCIを積極的に使用することを指します。単にメールを送信するだけでは、処理にはなりません。
C). FCI#を正しく送信する
送信とは、FCIをある主体から別の主体に送信する行為を指します。請負業者はFCIを電子メールで送信するため、これはデータの送信に該当します。
参照：NIST SP 800-171 Rev. 2、3.1.3 - 「認可されたメカニズムを使用してCUI（またはFCI）を送信することにより、CUI（またはFCI）を制御する。」 D）FCIの生成# 誤り FCIの生成とは、新しい契約関連情報を作成することを意味します。このシナリオでは、請負業者はFCIを作成しているのではなく、単に送信しているだけです。
正解を裏付ける公式参考資料CMMC 2.0 レベル 1 プラクティス (FAR 52.204-21 基本的な安全保護管理)
3.1.3：「許可されたメカニズムを使用してCUI（またはFCI）を送信することにより制御する。」これは、電子メールの送信がFCIの管理や処理ではなく、「送信」に該当することを確認します。
NIST SP 800-171 Rev. 2 (非連邦システムにおける CUI の保護)
要件 3.13.8:「送信時に CUI を保護するための暗号化方式を実装する」これは主に CUI に適用されますが、電子メールが情報送信形式であることを確認し、送信中に FCI も保護する必要があります。
結論請負業者は FCI を電子メールで送信するため、正解は C. FCI を送信するです。これは、送信されるデータのセキュリティ保護を重視する FAR 52.204-21 および NIST SP 800-171 に基づく CMMC 2.0 レベル 1 の実践と一致しています。

CMMC-AB 職業行動規範における合意の定義を理解するCMMC-AB 職業行動規範では、合意を 2 つの法人間の契約として定義しています。
これには以下が含まれます:
#CMMC 評価のための OSC と C3PAO 間の契約。
#サイバーセキュリティプロバイダーと防衛請負業者間のサービス契約。
#CMMC コンプライアンスに関連する正式かつ法的拘束力のある取り決め。
* A. ユニオン #.偽
* 労働組合は通常、労働者を代表する組織を指し、契約関係を説明するために使用されることはありません。
* B. 合意 #.偽
* 「合意」は合意を意味する場合もありますが、CMMC ドキュメントでは拘束力のある契約を表す標準的な法的用語ではありません。
* C. 同盟 #.偽
* 提携は戦略的なパートナーシップを指しますが、必ずしも法的拘束力のある契約を意味するものではありません。
* D. 合意 # 正解
* CMMC-AB 職業行動規範では、合意を 2 つの組織間の法的拘束力のある契約と定義しています。
正解が「D. 同意」なのはなぜですか？
* CMMC-AB 職業行動規範
* 「契約」を、2 者間の法的拘束力のある契約と定義します。
* CMMC-AB 認定トレーニングおよび評価プロバイダーガイドライン
* すべての契約は当事者間の正式な合意 (契約) によって規定される必要があります。
* DFARSおよびCMMC認証契約
* OSC と C3PAO の関係は法的契約を通じて正式に定められる必要があることを規定します。
この回答をサポートする CMMC 2.0 参照:

準備状況レビュー（フェーズ1）の目的は、OSCが正式な評価を進める準備ができているかどうかを確認することです。CAPでは、主任評価者は各診療所について、準備状況の予備的な判断を行うために十分な証拠を収集する必要があると規定されています。
公式コンテンツからの補足抜粋:
* CAP v2.0、準備状況レビュー（§2.14）：「主任評価者は、OSCの準備状況を判断するために、各実践について十分な量の証拠を収集する必要があります。」オプションAが正しい理由：
* 要件は十分な証拠であり、CAP では評価対象や評価方法の一定数を義務付けるものではありません。
* オプション B、C、および D では、準備状況レビューの要件に含まれない最小数または方法が誤って提案されています。
参考資料（公式 CMMC v2.0 コンテンツ）：
* CMMC 評価プロセス (CAP) v2.0、フェーズ 1 準備状況レビュー。

連邦契約情報 (FCI) と公開情報の理解連邦契約情報 (FCI) は、契約に基づいて米国政府により提供されるか、または米国政府向けに生成される非公開情報であり、公開を意図していません。
FCI の主な特徴:#FCI には、政府契約、プロジェクトの詳細、パフォーマンス データに関する詳細が含まれます。
#不正アクセスを防止するための基本的な保護対策を要求する FAR 52.204-21 に基づいて保護される必要があります。
#FCI を公開サイトに投稿することは、公開が制限されることを意図しているため、セキュリティ違反となります。
A). FCI # 正解
FCI は不正アクセスから保護される必要があり、誤ってオンラインで公開された場合は制限される必要があります。
B). 組織におけるリーダーシップの変更 # 不正解
リーダーシップの変更は通常は公開情報であり、政府関連の機密のセキュリティ認可に関係しない限り、制限は必要ありません。
C). 新規ビジネスサービスラインの立ち上げ #.偽
マーケティングおよびビジネスに関するお知らせは一般に公開されており、制限される情報ではありません。
D). 商業団体と締結した主要取引を特定する公開リリース # 誤り 商業契約およびビジネス取引は、政府契約に関係しない限り、FCI とは見なされません。
正解が「A. FCI（連邦契約情報）」なのはなぜですか？
FAR 52.204-21 (対象請負業者情報システムの基本的な保護) では、FCI を、公開から保護する必要がある機密ではない機密情報として定義しています。
CMMC 2.0 レベル 1 要件
不正な露出を防ぐために、請負業者は基本的なサイバーセキュリティ標準に従って FCI を保護する必要があります。
FCI保護に関する国防総省のガイダンス
公共のウェブサイトで FCI を公開することは、連邦のサイバーセキュリティ要件に違反すると述べています。
この回答をサポートする CMMC 2.0 参照。