CUI をマークする責任者は誰ですか? DoDI 5200.48 (管理された非機密情報 (CUI)) によれば、CUI をマークする責任は情報の許可された所有者にあります。
* 認定保有者の定義
* DoD 5200.48、セクション 3.4 によれば、許可された保有者とは、CUI へのアクセスを許可され、DoD CUI ポリシーに従って CUI を取り扱い、保護し、マークする責任を負う者を指します。
* 承認保有者とは、次の者です。
* ADoD職員
* 請負業者によるCUIの処理
* CUIにアクセスして管理する権限を持つ組織または個人
* CUIマーキングの責任に関する国防総省ガイダンス
* DoDI 5200.48、セクション4.2:
* CUI を作成または取り扱う個人は、DoD CUI レジストリ ガイドラインに従って適切なマーキングを適用する必要があります。
* DoDI 5200.48、セクション5.2:
* マーキングの責任は、情報公開担当者や国防総省の高官職などの特定の役職に限定されません。
* 代わりに、CUI を生成、処理、または配布する個人または団体が責任を負います。
* 他の回答の選択肢が間違っている理由:
* (A) DoD OUSD（国防次官室）
* OUSD はポリシー設定の役割を果たしますが、CUI を直接マークすることはありません。
* (C) 情報公開担当者:
* この役割は情報の公開に責任を負いますが、CUI のマーク付けはデータを管理する承認された所有者の義務です。
* (D) 大統領が認可した原分類機関（OCA）:
* OCA は国家安全保障情報 (機密、秘密、最高機密) を分類しますが、機密情報ではない CUI は分類しません。
ステップごとの詳細:DoDI 5200.48 からの最終検証:DoDI 5200.48 によれば、許可された保有者は CUI をマークする明確な責任を負っているため、これが正解となります。

CMMCレベル1の実践は、連邦契約情報（FCI）に関する基本的な保護要件に直接対応しており、これはFAR条項48 CFR 52.204-21に規定されています。これらの15の要件は、レベル1コンプライアンスの基盤を形成します。
公式コンテンツからの補足抜粋:
* 48 CFR 52.204-21: 「請負業者は、連邦契約情報 (FCI) を保護するために、次の 15 の基本的な保護要件を適用する必要があります。」
* CMMCモデルv2.0の概要:「レベル1はFARの15の基本的な安全保護要件に対応しています
52.204-21。
オプションCが正しい理由:
* FAR 52.204-21 はレベル 1 の実践のソースです。
* NIST SP 800-171 はレベル 1 ではなく、CUI およびレベル 2 に適用されます。
* NIST SP 800-171b は、NIST SP 800-172 (レベル 3 に使用) の前身です。
* DFARS 252.204-7012 は、レベル 1 FCI 要件ではなく、CUI の保護とインシデント報告をカバーしています。
参考資料（公式 CMMC v2.0 コンテンツ）：
* FAR 48 CFR 52.204-21、対象となる請負業者の情報システムの基本的な保護。
* CMMC モデル v2.0、レベル 1 の概要。

大統領令13556号により制定された管理非機密情報（CUI）プログラムは、連邦政府機関とその契約者全体において、保護または情報伝達管理を必要とする非機密情報の取り扱いとマーキングを標準化するものです。国立公文書記録管理局（NARA）は、CUIプログラムの実施を統括する執行機関として機能しています。
サイバーセキュリティ成熟度モデル認証（CMMC）2.0、特にレベル2においては、組織はNIST特別刊行物800-171に概説されているセキュリティ要件を遵守し、CUIを保護することが求められます。これには、すべての担当者がCUI情報を適切に認識し、適切に取り扱うことを保証するための、CUIへの適切なマーキングが含まれます。
NARA CUIマーキング入門は、CUIを含む文書や通信にマーキングを行うための正しい手順について包括的なガイダンスを提供します。このリソースは、担当者が適切なCUIマーキングを理解し、実装するのに役立つ詳細な手順と例を提供しているため、トレーニングに不可欠です。
営業チームに NARA CUI マーキング入門を勧めることで、営業ディレクターは、チームが CUI を含む電子メールやその他のドキュメントを適切にマークする方法に関する権威ある標準化されたトレーニングを受けられるようにし、連邦規制と CMMC 要件への準拠を維持します。

CMMC 評価プロセス (CAP) では、十分な証拠が次の条件を満たす必要があります。
* サンプル組織をカバーし、
* 評価の定義されたモデル範囲（ターゲットCMMCレベル）をカバーし、
* 証拠収集アプローチに対応します。
組織がISOなどの他の認証を取得している場合でも、証拠は常に必要です。外部認証はCMMCの証拠要件に代わるものではありません。したがって、「ISO認証を取得している場合は証拠は不要」という主張は正しくありません。
参考資料:
* CMMC評価プロセス（CAP）、v1.0