CM ドメインにおける最小機能の原則の理解CMMC 2.0 の構成管理 (CM) ドメインは、制御された構成とシステム機能の制限を通じて組織のシステムのセキュリティと整合性を維持することに重点を置いています。
最小機能原則とは、システムの機能、サービス、アプリケーションを、本来の目的に必要なものだけに限定することを指します。この原則は、攻撃者が悪用する可能性のある不要なコンポーネントを最小限に抑えることで、攻撃対象領域を縮小します。
* CMMC プラクティス CM.L2-3.4.6 (最小限の機能の使用) では、次のように明示的に述べられています。「組織のシステムを必須の機能のみを提供するように構成することにより、最小限の機能の原則を採用します。」
* 目的は、システム上で不正または不要なアプリケーション、サービス、ポートが実行されるのを防ぐことです。
* 実装例:
* 必要ない場合は、リモート デスクトップ アクセスなどの不要なサービスを無効にします。
* 承認されたアプリケーションのみにソフトウェアのインストールを制限します。
* 未使用のネットワーク ポートとプロトコルをブロックします。
* A. 最小権限
* この原則 (アクセス制御に関連) により、ユーザーとプロセスは、ジョブを実行するために必要な最小限のアクセス レベルのみを持つようになります。
* CMMC PracticeAC.L2-3.1.5 (最小権限) に関連していますが、システム機能は定義されていません。
* B. 本質的な懸念
* CMMC、NIST、または関連フレームワークには、「Essential Concern」と呼ばれる公式に認められたサイバーセキュリティ原則はありません。
* D. 職務の分離
* この原則 (CMMCAC.L2-3.1.4 でカバー) により、重要な機能に対する無制限の制御を単一の個人が持つことがなくなり、詐欺や乱用のリスクが軽減されます。
* セキュリティ上は重要ですが、基本的なシステム機能を定義するものではありません。
* CMMC 2.0 レベル 2 評価ガイド - 構成管理 (CM) ドメイン
* CM.L2-3.4.6 では、不要な機能を削除してセキュリティを強化するために最小限の機能が義務付けられています。
* NIST SP 800-171（CMMCのベース） - 要件3.4.6
* 状態:「システムの機能を、組織のミッションまたはビジネス機能に必要な基本的な機能のみに制限します。」
* NIST SP 800-53 - コントロール CM-7 (最小機能)
* 必要な機能のみで動作するようにシステムを構成するための詳細な推奨事項を提供します。
正解の根拠：最小機能（C）他の選択肢が誤りである理由CMMCおよびNIST公式参考文献結論最小機能（C）の原則は、CMMC 2.0の構成管理（CM）領域における必須システム機能を定義するための基礎です。この原則を適用することで、組織は必要な機能、サービス、アプリケーションのみを有効化し、セキュリティリスクを軽減できます。

CMMCA における特殊資産の理解特殊資産は、従来の IT システムではないが、サイバーセキュリティやビジネス運用において役割を果たすシステム、デバイス、またはインフラストラクチャ コンポーネントとして定義されます。
特殊資産の種類 (CMMC ガイダンスによる):#運用技術 (OT) - 産業用制御システム、SCADA システム。
#セキュリティ オペレーション センター (SOC) - 専用のサイバーセキュリティ監視および対応センター。
#IoT デバイス - スマートセンサー、組み込みシステム。
#制限された IT システム - アクセスが高度に制御されたシステム。
A). SOC # 正解
セキュリティ オペレーション センター (SOC) は、脅威の監視、検出、および対応に使用される専門的なサイバーセキュリティ環境です。
これらは、多くの場合、標準の IT インフラストラクチャの外部で運用され、CMMC では特殊資産として分類されます。
B). ホスト型VPNサービス #.偽
VPN サービスは標準的な IT インフラストラクチャであり、特殊な資産とはみなされません。
C). サイバーセキュリティサービスを提供するコンサルタント #.偽
コンサルタントは人材であり、専門的な資産ではありません。専門的な資産とは、システム、デバイス、またはインフラストラクチャを指します。
D). 政府が所有またはリースしているすべての財産 #.偽
政府資産は、CMMCにおいて自動的に特殊資産とみなされるわけではありません。特殊資産とは、特定のITまたはサイバーセキュリティ関連のインフラストラクチャを指します。
正解が「SOCs」(A) なのはなぜですか?
CMMC 2.0 評価プロセス (CAP) ドキュメント
特殊資産を定義し、その例に SOC を含めます。
CMMC-ABガイドライン
SOC などのセキュリティ インフラストラクチャは、独自のサイバー セキュリティ機能を備えているため、特殊資産としてリストされます。
NIST SP 800-171 および CMMC 2.0 セキュリティドメイン
組織のサイバーセキュリティ体制の一環として、専用のセキュリティ監視環境を認識します。
この回答を裏付けるCMMC 2.0の参考文献
最終回答#A. SOC（セキュリティオペレーションセンター）

虚偽請求法 (FCA) と内部告発者保護について理解する虚偽請求法 (FCA)(31 U.S.
連邦政府を代表して訴訟を起こす権利 (S.C. §§ 3729-3733) は、企業が政府資金に関して不正な請求を行っていると信じる場合に、内部告発者 (「告発者」とも呼ばれる) が連邦政府を代表して訴訟を起こすことを認める米国連邦法です。
FCA には、次のような「qui tam」条項が含まれています。
#米国政府に代わって個人が訴訟を起こすことを可能にします。
#訴訟の結果、資金が回収された場合、内部告発者に金銭的な報酬を提供します。
#内部告発者を雇用主による報復から保護します。
CMMC とサイバーセキュリティ コンプライアンスの文脈では、FCA は、連邦政府の契約に取り組む際にサイバーセキュリティ コンプライアンスを示すことで企業に責任を負わせるために使用されてきました。
例えば：
企業が CMMC、NIST SP 800-171、または DFARS 252.204-7012 への準拠を偽って主張しながらもセキュリティ要件を満たしていない場合、FCA に基づいて責任を問われる可能性があります。
司法省（DOJ）は、サイバー詐欺対策の一環として、FCA を利用して防衛請負業者のサイバーセキュリティ違反を追及してきました。
したがって、正解は C. 虚偽請求法です。この法律は、内部告発者が連邦政府に代わって訴訟を起こすことを明示的に許可しているからです。
A). NIST SP 800-53#不正解。NIST SP 800-53 は連邦政府機関のセキュリティ管理を規定していますが、内部告発者に関する規定は含まれていません。
B). NIST SP 800-171#不正解。NIST SP 800-171 は CUI を保護するためのセキュリティ要件を概説していますが、内部告発訴訟のための法的メカニズムは規定されていません。
D). 職業倫理規範#誤り。CMMC職業倫理規範はC3PAOと評価者に適用されますが、内部告発訴訟の法的根拠は提供していません。
他の回答が間違っている理由
虚偽請求法 (31 USC §§ 3729-3733) - 内部告発者保護およびクイタム訴訟を規定します。
DOJ サイバー詐欺対策 - FCA を使用して政府契約におけるサイバーセキュリティのコンプライアンスを強化します。
DFARS 252.204-7012 および CMMC - サイバーセキュリティのコンプライアンスに関する正確な報告を要求します。虚偽の報告があった場合は FCA 違反につながる可能性があります。
CMMC 公式リファレンスしたがって、公式の法的ガイダンスによれば、オプション C (虚偽請求法) が正解です。