CMMC 2.0 レベル 1 の物理的保護 (PE) ドメインには、組織が訪問者を護衛し、その活動を監視することを義務付ける要件 PE.L1-3.10.3 が含まれています。
* CMMC 評価チームが OSC に到着します。
* 受付係は到着を確認しますが、資格情報を確認したり適切な場所まで案内したりしません。
* 訪問者の身元を確認せず、同行も行わない場合は、PE.L1-3.10.3 に違反します。
* A: PE.L1-3.10.3: 訪問者をエスコートし、訪問者の活動を監視する##正解
* この要件により、訪問者が監視なしで機密エリアにアクセスできないことが保証されます。
* 受付担当者は資格情報を確認し、評価チームを案内する必要がありました。
* B: PE.L1-3.10.5: 物理アクセスデバイスの制御と管理#.偽
* この要件は、キー、アクセス バッジ、およびセキュリティ デバイスの管理を指しますが、このシナリオでは問題になりません。
* C: PS.L2-3.9.1: CUI##を含む組織システムへのアクセスを許可する前に個人をスクリーニングする
* この制御は、物理的な訪問者のアクセスではなく、CUI システムへのアクセスを許可する前の人員スクリーニングに適用されます。
* D: PS.L2-3.9.2: 退職や異動などの人事措置中および人事措置後にCUIを含む組織システムが保護されていることを確認する#.偽
* この要件は、従業員の退職手続きと、システムへのアクセス権限の喪失を確実にすることに関するものです。訪問者のエスコートには関係ありません。
* CMMC 2.0 レベル 1 - PE.L1-3.10.3 (物理的保護)
* 組織は、FCI または CUI を含む施設への訪問者を護衛し、訪問者の活動を監視する必要があります。
* NIST SP 800-171 Rev. 2、コントロール 3.10.3
* 不正アクセスを防止するために、訪問者には常に付き添いと監視が必要であると規定しています。
シナリオの分析: 与えられた選択肢の分析: 正解を裏付ける公式参考文献: 結論: 受付係が資格情報の確認と訪問者の案内に失敗したため、PE に違反します。
L1-3.10.3.
正解: A. PE.L1-3.10.3: 訪問者をエスコートし、訪問者の活動を監視する

ステップ 1: CUI (管理された非機密情報) を定義します。CUI は、適用される法律、規制、政府全体のポリシーに従って保護または配布の制御を必要とするが、大統領令 13526 または原子力法に基づいて分類されていない情報です。
#ステップ 2: CUI に対する権限 - NARA の役割NARA (国立公文書記録管理局)、具体的には情報セキュリティ監視オフィス (ISOO) は、CUI プログラムの実装を担当する政府全体の執行機関です。
ソース：
32 CFR Part 2002 - 管理された非機密情報 (CUI)
大統領令13556号 - 管理された非機密情報
CUI レジストリ - https://www.archives.gov/cui
奈良：
CUIレジストリを管理します。
問題のマークと処理のガイダンス、
CUIのカテゴリーと法律または規制に基づく権限を定義します。
CUI ポリシーについて連邦政府機関および請負業者にトレーニングと情報提供を行います。
B). NIST# NIST (米国国立標準技術研究所) は技術標準を開発しています(例: SP 800-
171）ですが、CUIを定義したりマークしたりするものではありません。CUIが識別されると、そのセキュリティを確保するのに役立ちます。
C). CMMC-AB (現在は Cyber​​ AB)# Cyber​​ AB は CMMC エコシステムの認定機関であり、政府機関ではないため、CUI の分類やマーキングに関する権限はありません。
D). 国土安全保障省 (DHS)# DHS は CUI を内部的に処理および保護することはできますが、CUI プログラムの実行機関ではありません。
#他の選択肢が間違っている理由
NARA は、大統領令 13556 に基づき、CUI レジストリおよび関連ポリシーを通じて CUI を定義、分類、マークする責任を負う米国政府の公式機関です。

CMMC 2.0 の評価方法の理解CMMC 評価プロセス (CAP) ガイドによれば、評価者はセキュリティ プラクティスのコンプライアンスを判断するために 3 つの主要な評価方法を使用します。
* 検査 - ドキュメント、ポリシー、構成、およびシステム レコードを確認します。
* インタビュー - 担当者と話し合ってセキュリティ プロセスに関する洞察を収集します。
* テスト - システム機能とセキュリティ制御の技術検証を実行します。
* 評価チーム メンバーは、評価オブジェクト (システム構成、ユーザー アクセス制御設定、ポリシーなど) を検査し、OSC の証拠が AC.L1-3.1.1 (アクセス制御 - 承認されたユーザー) に十分かどうかを判断します。
* このアクティビティは、次のような成果物を確認する検査方法と直接連携します。
* アクセス制御リスト（ACL）
* システムユーザー認証ログ
* アカウント管理ポリシー
* ロールベースのアクセス制御設定
* 「観察する」（オプション B）は誤りです。「観察」は CMMC の正式な評価方法ではないため。
* 「テスト」(オプション A) は不正解です。評価は機能を積極的に実行するのではなく、証拠を確認することだからです。
* 「インタビュー」（オプション D）は、担当者に質問されるのではなく、文書のみが審査されるため、正しくありません。
* CMMC評価プロセス（CAP）ガイド、セクション3.5 - 評価方法
* CMMC レベル 2 評価ガイド - アクセス制御プラクティス (AC.L1-3.1.1) オプション C (調査) が正解である理由公式 CMMC ドキュメント参照最終検証このアクティビティには、アクセス制御対策を検証するためのドキュメントとレコードの確認が含まれるため、「調査」方法に該当し、オプション C が正解となります。