FAR 条項 52.204-21 の理解連邦調達規則 (FAR) 条項 52.204-21 のタイトルは、「対象となる請負業者の情報システムの基本的な保護」です。この条項は、連邦契約情報 (FCI) を扱う連邦政府の請負業者に対する最低限のサイバーセキュリティ要件を規定しています。
FAR 条項 52.204-21 の主な目的 FAR 52.204-21 の主な目的は、請負業者が FCI を処理、保存、または送信する情報システムに基本的なサイバーセキュリティ保護を適用するようにすることです。
これらの最低限の保護要件は、米国政府と取引を行う請負業者にとっての基本的なセキュリティ標準として機能します。
* FAR 52.204-21 では、請負業者が特定のサイバーセキュリティ ツールをインストールすることを義務付けていません (オプション A は排除されます)。
* 完全なセキュリティに必要なすべてのサイバーセキュリティ制御ではなく、最小限の安全対策のみを概説しています (オプション B は除外されます)。
* CMMC 認証はこの条項だけでは義務付けられません (オプション D は除外されます)。
* 代わりに、FCI を保護するためにすべての連邦政府請負業者が従わなければならない基本的な「注意基準」を確立します (オプション C が正しい)。
「最低限の注意基準」が正しいのはなぜですか? 回答の選択肢の内訳オプションの説明は正しいですか?
A: この条項は、対象となるすべての請負業者に、その条項に記載されているサイバーセキュリティ システムをインストールするよう指示しています。
#誤り - この条項ではツールが指定されておらず、特定のサイバーセキュリティ システムも要求されていません。
B: 対象となる請負業者の IS を保護するために請負業者が講じる必要のあるすべての安全対策について説明します。
#誤り - 可能なすべてのセキュリティ対策ではなく、最小限の要件のみを設定します。
C: 対象となる請負業者の IS を確保するために請負業者が講じなければならない最低限の注意基準について説明します。
#正解 - この条項では、基本的な安全対策を最低限のセキュリティ基準として定義しています。
D 対象となる請負業者に対し、契約の最低要件と同等のレベルで CMMC 認定を取得するよう指示します。
#誤り - FAR 52.204-21はCMMC認証を義務付けていません。その要件はDFARSから来ています。
252.204-7012 および 7021。
FAR 52.204-21 に基づく最低限の安全保護要件この条項では、CMMC レベル 1 に準拠する 15 の基本的なセキュリティ管理が定義されています。例としては次のようなものがあります。
#アクセス制御 - 許可されたユーザーのみにアクセスを制限します。
#識別と認証 - システムユーザーを認証します。
#メディア保護 - 廃棄する前にメディアを消毒します。
#システムと通信の保護 - ネットワーク接続を監視および制御します。
* FAR 52.204-21 - FCI の基本的な保護要件を規定します。
* CMMC 2.0 レベル 1 - FAR 52.204-21 制御と直接整合します。
CMMC 2.0およびFARドキュメントからの公式リファレンス最終検証と結論正解はCです。これは、対象となる請負業者の情報セキュリティを確保するために請負業者が講じなければならない最低限の注意基準を規定しています。これは、FCIのベースラインセキュリティ基準であるFAR 52.204-21の要件と一致しています。

この質問は、レベル 2 評価中に CMMCA 評価チームがプラクティスを MET として評価するために必要な最小限の証拠要件に関するものです。
CMMC レベル 2 評価は、NIST SP 800-171 に準拠し、特に証拠収集とスコアリング方法論に関して、CMMC 評価プロセス (CAP) ガイド v1.0 に記載されている手順に従う必要があります。
#ステップ 1: CMMC アセスメント プロセス (CAP) ガイド v1.0 を参照してください。CAP v1.0 - セクション 3.5.4: 証拠の評価と実践の採点「MET 判定を下すには、評価チームは、成果物の検査、インタビュー (確認)、またはテスト (実証) を通じて、少なくとも 2 種類の客観的証拠を収集し、裏付ける必要があります。」つまり、以下の証拠のうち少なくとも 2 種類が必要です。
調査（文書/成果物）
面接（担当者からの確認）、
テスト（実装のデモンストレーション）。
#ステップ 2: MET スコアの対象となる実践の公式の最低基準を明確にする CAP では次のように明確に述べられています。
「EIT（検査、面接、テスト）の3要素から少なくとも2種類の証拠が収集され、評価された場合にのみ、実践はMETスコアを獲得できます。」証拠の種類は、2つの異なるカテゴリから取得する必要があります。例：
アーティファクト（調査）+インタビュー確認（インタビュー）、
デモンストレーション（テスト）+面接（インタビュー）、
等。
この相互検証により、制御が実装され、文書化され、担当者に理解されていることが保証されます。これは、効果的なサイバーセキュリティの実装を評価するための中核原則です。
#他の選択肢が誤りである理由A. すべてのコントロールについて、3種類の証拠すべてが文書化されている#誤り：3種類すべて（EIT）を収集することで評価は強化されますが、最低要件は2種類のみです。実践がMETスコアを獲得するために、3種類すべてを収集する必要はありません。
B). 3種類のエビデンスのうち1種類を検証し、受け入れる#不正解: これはCAPで定められた最低2種類のエビデンス要件を満たしていません。単一のエビデンスだけでは、実践をMETとして評価するには不十分です。
C). 次のいずれかを完了する：2つの遺物を調査する、1つの実演を観察する、または1つの確認を受ける。#誤：2つの遺物を調査したとしても、これは証拠の種類（調査）の1つにすぎません。CAPでは、同じ種類の2つの例ではなく、2つの種類が必要です。
#D が正解である理由D。以下の 2 つを完了してください: 1 つのアーティファクトを検査する、1 つのコントロールの適切なデモンストレーションを観察する、または OSC 担当者から 1 つの確認を受ける。
# これは、実践が MET であるかどうかを判断するために 2 種類の異なる客観的証拠を収集するという CAP の要件を直接反映しています。
BLUF (Bottom Line Up Front): CMMC レベル 2 プラクティスを MET として評価するには、評価チームは、検査、インタビュー、テスト (EIT) カテゴリから少なくとも 2 つの異なる種類の証拠を収集する必要があります。
この要件は、CMMC アセスメント プロセス (CAP) v1.0 に明確に記載されています。

CMMC レベル 1 は基本的なサイバー衛生に焦点を当てており、NIST SP 800-171 Rev. から派生した 17 のプラクティスが含まれます。
2ただし、連邦契約情報 (FCI) の保護のみが対象であり、管理された非機密情報 (CUI) の保護は対象ではありません。
NIST SP 800-171 に完全に準拠するレベル 2 とは異なり、レベル 1 ではサードパーティの認証は必要なく、組織による自己評価が可能です。
レベル 1 自己評価でカバーされるドメインCMMC レベル 1 プラクティスは、次の 3 つの特定のドメインに分類されます。
* アクセス制御 (AC) - 許可されたユーザーのみが FCI にアクセスできるようにします。
* 物理的保護 (PE) - FCI を格納するシステムおよび施設への物理的なアクセスを保護します。
* 識別と認証 (IA) - FCI を含むシステムにアクセスするユーザーの ID を確認します。
これらのドメインは、FCI を不正アクセスから保護するために必要な基本的なセキュリティ制御に重点を置いています。
* CMMCモデルv2.0では、レベル1にはNIST SP 800にマッピングされた17のプラクティスのみが含まれているとされています。
アクセス制御 (AC)、物理的保護 (PE)、識別および認証 (IA) に固有の 171 の要件。
* CMMC アセスメント ガイド レベル 1 では、リスク管理 (RM) とメディア保護 (MP) は、CUI (レベル 2) の処理に必要なより高度なセキュリティ対策に関係するため、レベル 1 には含まれていないことが確認されています。
* A. アクセス制御 (AC)、リスク管理 (RM)、およびメディア保護 (MP)# 不正解です。リスク管理 (RM) とメディア保護 (MP) はレベル 2 のドメインです。
* B. リスク管理 (RM)、アクセス制御 (AC)、および物理的保護 (PE)# 不正解。リスク管理 (RM) はレベル 1 の一部ではありません。
* C. アクセス制御 (AC)、物理的保護 (PE)、識別と認証 (IA)#正解。
これらは、CMMC レベル 1 自己評価でカバーされる 3 つの領域です。
* D. リスク管理 (RM)、メディア保護 (MP)、識別と認証 (IA)# 不正解です。リスク管理 (RM) とメディア保護 (MP) はレベル 2 のドメインです。
公式 CMMC 2.0 ドキュメント参照回答の選択肢の内訳結論正解は C です。アクセス制御 (AC)、物理的保護 (PE)、識別と認証 (IA) は、CMMC 2.0 ドキュメントと NIST SP 800-171 マッピングによると、CMMC レベル 1 自己評価に含まれる唯一の 3 つのドメインです。
* CMMC 2.0 モデルの概要 - DoD 公式ドキュメント
* CMMC アセスメントガイド、レベル 1
* NIST SP 800-171 Rev. 2 (FCI の基本セキュリティ要件)
さらに読むための参考文献