サイバーセキュリティ成熟度モデル認証（CMMC）評価においては、構造化された効果的な評価プロセスを確保するために、関係者の役割と責任が明確に定義されています。「該当スタッフ」とは、認証取得を目指す組織（OSC）内で、評価に関連する特定の知識または専門性を有する人員を指します。これらの担当者は、重要な情報を提供し、セキュリティ対策の実施を実証し、評価チームが組織のサイバーセキュリティ体制を理解する上で重要な役割を果たします。
このシナリオでは、主要なシステム管理者を務める従業員が組織のシステムの管理と保守を担当します。システム構成、セキュリティ管理、運用手順を包括的に理解していることから、この従業員は「該当スタッフ」に分類されるのが適切です。詳細な情報を提供し、コンプライアンス対策を実証し、評価チームからの技術的な質問に対応できるため、評価における彼らの関与は非常に重要です。
その他のオプションは次のように説明できます。
* アナライザー：通常は、データやセキュリティインシデントを分析する担当者を指します。多くの場合、セキュリティオペレーションセンターの一員として活動します。この役割は、CMMC評価の文脈では明確に定義されていません。
* 検査官：一般的には、内部監査やコンプライアンスチェックの一環として、システムやプロセスを検査または査察する担当者を指します。この用語は、CMMC評価フレームワークにおける標準的な呼称ではありません。
* デモンストレーション スタッフ: これはシステムまたはプロセスのデモンストレーションを担当する人員を意味する場合もありますが、CMMC 評価プロセス内では認められた役割ではありません。
したがって、主要なシステム管理者は、その役割と責任により、
「該当するスタッフ」カテゴリは、CMMC 評価の成功を促進する上で重要な役割を果たします。

1. CMMC評価における所見の検証について理解する所見の検証はCMMC評価プロセスの重要な部分であり、評価チームによる観察と予備的な結論が正確かつ公平であり、完全な証拠に基づいていることを保証します。このプロセスはデイリーチェックポイント中に反復的に実行され、認証取得を目指す組織（OSC）の全体的なコンプライアンス状況を判断する上で不可欠です。
2. 評価プロセスにおける予備的知見の役割予備的知見は最終的なものではなく、透明性、正確性、公平性を確保するためのメカニズムです。これらの知見には、いくつかの重要な目的があります。
OSC の入力と説明を許可: OSC には、評価チームによって特定された欠陥に対処するための追加の証拠を確認し、提供する機会があります。
誤解を防ぐ: OSC にコメントを許可することで、評価チームは OSC の CMMC プラクティスの実装に関する理解を深めたり修正したりできます。
公正かつ情報に基づいた評価をサポート: MET または NOT MET の判定を確定させる前に、評価チームは関連するすべての証拠を考慮していることを確認します。
共同評価プロセスを促進: この検証活動により、評価者と OSC 間のオープンなコミュニケーションが促進され、紛争や誤解が減少します。
予備調査の主な目的は、最終決定が下される前に OSC がコメントし、追加の証拠を提供できるようにすることです。
これは、毎日のチェックポイントと最終的な概要の議論を通じて調査結果の反復的な検証を強調する CMMC 評価プロセス ガイダンスと一致しています。
調査結果の検証により、OSC の応答と補足証拠が考慮され、評価プロセスがより正確かつ公平になります。
3. 回答選択肢「A」が正しい理由4. その他の回答選択肢が間違っている理由選択肢が除外される理由 B)。これにより、OSC が評価で MET と評価されるか NOT MET と評価されるかが決まります。
誤り：予備調査結果は最終的な評価を直接決定するものではありません。評価チームは、最終決定を下す前に収集されたすべての証拠を検討します。
C). 評価チームの調査結果が正しく、変更できないことを確認します。
誤り：予備段階では、調査結果は最終的なものではありません。OSCは、新たな証拠や明確な証拠を提示することで、調査結果に異議を唱える機会があります。
D). 評価チームの CMMC プラクティスとコントロールの理解を裏付けます。
部分的には正しいが、最適な回答ではありません。検証は理解を深めるのに役立ちますが、その主な機能は OSC 入力を許可してオプション A を最も正確な選択にすることです。
CMMC評価プロセス（CAP）ドキュメント：
セクション5.3 - 調査結果の検証：「OSCは、予備評価結果を明確化または補足するために、追加の証拠やコメントを提供する機会が与えられます。」セクション5.4 - 毎日のチェックポイント：「評価チームは予備評価結果をOSCと協議し、組織が懸念事項にリアルタイムで対処できるようにします。」CMMC 2.0レベル2スコープ設定および評価ガイド：
最終決定が下される前に、評価プロセスに OSC との継続的な対話が含まれていることを確認します。
5. この回答を裏付ける公式CMMC参考文献6. 結論予備調査結果はCMMC評価における重要な検証ステップであり、組織が追加の証拠を提示し、潜在的な誤解を解消する機会を確保します。この反復的なプロセスにより、CMMC要件への準拠を判断する際の正確性と公平性が向上します。したがって、正解は次のとおりです。
A) OSC がコメントしたり追加の証拠を提供したりできるようになります。

CMMC 評価におけるポリシー検証の理解CMMC 評価では、次の点に基づいてポリシーを評価する必要があります。
誰がそれを承認し施行する権限を持っているのか
最新かつ効果的に実装されているかどうか
ポリシーの有効性は、署名者だけに依存するのではなく、組織がポリシーの作成、承認、および施行の権限をどのように割り当てるかによって決まります。
一部の組織では特定の人物に権限を割り当てているため、リーダーシップが変更されると新しい署名者が必要になる場合があります。
その他の場合、権限を役職/タイトル (CISO、IT ディレクターなど) に割り当てます。この場合、役割がポリシーの適用の責任を負っている限り、新しい署名は必要ないことがあります。
評価チームは、組織のポリシー管理プロセスをレビューして、リーダーシップの交代後もポリシーが有効であるかどうかを判断する必要があります。
ポリシー検証における重要な考慮事項:したがって、組織のポリシーが個人に結び付けられているのか、それとも役職に結び付けられているのかを確認するには追加の調査が必要であるため、正解は B です。
A) 署名者はポリシーを実施・施行する権限を有しており、署名者が会社を退職したため、ポリシーは無効となります。#不正解。これは権限が常に特定の人物に結びついていると想定していますが、必ずしもそうとは限りません。組織によっては、権限を個人ではなく役職に委任する場合もあります。
C) 署名者はポリシーの有効性または無効を判定しません。この評価の目的においては、ポリシーが最新であり、作業を実施する個人によって実施されていることを確認するだけで十分です。
#不正解です。実装は重要ですが、ポリシーの背後にある権限もCMMCの文書要件に従って検証する必要があります。
D) 実施および施行の権限は、個人ではなく役職にあります。その役職の権限と責任がそのドメインの実施から除外されていない限り、そのポリシーは依然として有効です。
#誤り。これは権限が常に役職に割り当てられるという前提に基づいていますが、これは必ずしも真実ではありません。これを裏付けるには、さらなる研究が必要です。
他の回答が間違っている理由
CMMC 評価プロセス (CAP) ドキュメント - 権限の検証とポリシーの適用の重要性について概説します。
NIST SP 800-171 (3.12.1 - セキュリティ ポリシーと手順) - 適切な担当者がポリシーを維持および施行することを要求します。
CMMC 公式リファレンスしたがって、公式の CMMC ポリシー検証ガイダンスによれば、オプション B (会社のポリシーに関するさらなる調査が必要) が正解です。

C3PAO 要件の理解Certified Third-Party Assessment Organization (C3PAO) は、管理された非機密情報 (CUI) を扱う組織に対して CMMC レベル 2 評価を実施することを CMMC 認定機関 (CMMC-AB) によって承認された組織です。
C3PAO が評価を実施するための主な要件:#評価を実施する前に CMMC-AB による承認を受ける必要があります。
#CMMC-AB および DoD のサイバーセキュリティとプロセス要件を満たす必要があります。
#検査機関はISO/IEC17020規格に準拠する必要があります。
#サイバーセキュリティ検証を含む厳格な審査プロセスに合格する必要があります。
A)。認可された C3PAO は、DoD の一部の要件と ISO/IEC 17020 のすべての要件を満たす必要があります。# 誤った C3PAO は、評価を実行する前に CMMC-AB 認可要件に準拠する必要があります。
これらは ISO/IEC 17020 に準拠する必要がありますが、必ずしもすべての要件を事前に満たす必要はありません。
B). 認定された C3PAO は、すべての DoD 要件と一部の ISO/IEC 17020 要件を満たす必要があります。# 誤り C3PAO は DoD によって認定されておらず、CMMC-AB によって評価の実行が承認されています。
認定は、CMMC-AB および ISO/IEC 17020 要件に完全に準拠しています。
C). C3PAO は、評価を実施する前に DoD による認定を受ける必要があります。# 誤り DoD は C3PAO を直接認定しません。CMMC-AB が認可と監督の責任を負います。
D). C3PAO は、評価を実施する前に CMMC-AB による承認を受ける必要があります。# 正解: CMMC-AB は C3PAO に承認を与え、特定の要件を満たした後にのみ評価を実行できるようにします。
正解が「D」（C3PAO は評価を実施する前に CMMC-AB による承認を受ける必要がある）なのはなぜですか?
CMMC-AB 認定サードパーティ評価組織 (C3PAO) ガイドラインでは、C3PAO は評価を実施する前に CMMC-AB の承認を受ける必要があると規定されています。
CMMC 2.0 評価プロセス (CAP) ドキュメント
CMMC-AB によって承認された C3PAO のみが公式の CMMC 評価を実施できることを指定します。
C3PAO の ISO/IEC 17020 コンプライアンス
認定を受けるために満たさなければならない C3PAO の検査機関要件を定義します。
この回答をサポートする CMMC 2.0 参照。

フェーズ3（事後評価）では、評価者の責任は、C3PAOのポリシーと保管要件に従って評価資料をアーカイブまたは廃棄することです。この時点では、最終的な調査結果と結果は既に提供されているため、残されたステップは評価資料の適切な取り扱いを確保することだけです。
公式コンテンツからの補足抜粋:
* CAP v2.0、評価後活動（§3.17）：「評価者は、C3PAOの保管および破棄ポリシーに従って、評価成果物をアーカイブまたは廃棄しなければならない。」オプションDが正しい理由：
* 練習の合否結果とレベルの推奨事項の決定は、フェーズ 2 と 3 の早い段階で行われます。
* 評価者に残された最後のステップは、アーティファクトを適切にアーカイブまたは破棄することです。
参考資料（公式 CMMC v2.0 コンテンツ）：
* CMMC 評価プロセス (CAP) v2.0、フェーズ 3: 事後評価 (§3.17)。