CMMC 評価における高レベルのスコープ設定の理解高レベルのスコープ設定では、認定サードパーティ評価組織 (C3PAO) が、CMMC レベル 1 またはレベル 2 評価の範囲内の人材、プロセス、およびテクノロジを決定します。
サポート組織/ユニットとは、管理された非機密情報 (CUI) または連邦契約情報 (FCI) を処理し、CMMC セキュリティ プラクティスを適用する責任を負う特定のグループ、部門、またはチームを指します。
これらのユニットは契約の実行に直接関与しており、CMMC 評価の範囲に含まれます。
キーワード: 支援組織/ユニット
A). ホストユニット番号が正しくありません
この用語は、CMMC 評価スコープでは使用されません。
B). 支店番号が正しくありません
ブランチ オフィスは範囲内である場合も範囲外である場合もあります。範囲は、物理的な場所ではなく、ユニットが CUI または FCI を処理するかどうかに基づいて決定されます。
C). 調整ユニット番号が正しくありません
CMMC には「調整ユニット」を表す公式用語はありません。
D). 支援組織/ユニット # 正解
この用語は、契約のセキュリティ制御を適用し、CMMC 評価範囲内にあるエンティティを正確に表します。
正解が「D. サポート組織/ユニット」なのはなぜですか?
レベル1およびレベル2の評価のためのCMMCスコープ設定ガイダンス
サイバーセキュリティ制御の実装を担当する範囲内のエンティティとしてサポート組織/ユニットを定義します。
CMMC評価プロセス（CAP）文書
C3PAO がセキュリティ コンプライアンスの責任を負うユニットを特定し、文書化する必要があることを指定します。
DoD CMMC 2.0 スコープ設定に関するガイダンス
評価チームは、評価の範囲内に含まれる人材、プロセス、テクノロジーを定義する必要があります。
この回答をサポートする CMMC 2.0 参照。

主任評価者は、評価プロセス中に収集されたすべての評価記録、メモ、および情報の保護と維持に責任を負います。これには、監査や紛争解決に必要となる可能性のある作業書類や補足文書も含まれます。
公式コンテンツからの補足抜粋:
* CAP v2.0、評価後の責任（§3.17）：「主任評価者は、すべての評価成果物、メモ、および情報がC3PAOポリシーに従ってアーカイブまたは廃棄されることを確実にしなければならない。」オプションAが正しい理由：
* CAP では、評価のメモと情報はポリシーに従って保存または廃棄する必要があることが規定されています。
* オプションB、C、DはCAPで必須ではない項目です。「レター」と「品質管理レポート」は、主任評価者が保管する必要がある資料には含まれていません。
参考資料（公式 CMMC v2.0 コンテンツ）：
* CMMC 評価プロセス (CAP) v2.0、フェーズ 3 事後評価 (§3.17)。

CMMCアセスメントプロセス（CAP）に基づき、アセスメントを計画する際には、主任アセッサーは認定取得を目指す組織（OSC）と連携し、実務活動について明確な説明と理解を示すことができる面接対象者を選定する必要があります。これは、CMMCに関する役職、資格、または正式な専門知識のみに基づいて人員を選定するのではなく、評価対象のプロセスと実務に直接関与し、知識を有する個人を面接対象とすることを意図しています。
これにより、評価が証拠に基づいており、OSC 内で実際に実践がどのように行われているかに基づいていることが保証されます。
参考資料:
* CMMC評価プロセス（CAP）、v1.0

CMMCレベル2の評価方法CMMCレベル2の評価は、NIST SP 800-171の要件への準拠の検証に重点を置いています。CMMC評価プロセス（CAP）文書では、このレベルの評価には以下が含まれると規定されています。
* 検査 - 文書、メカニズム、およびアクティビティを確認します。
* インタビュー - 実装を検証するために担当者と話します。
* テスト - セキュリティ制御の動作を観察および検証します。
「検査」には何が含まれますか?CMMC 評価方法によると、検査には次の内容の確認が含まれます。
#ドキュメント（ポリシー、手順、セキュリティ計画）
#メカニズム（セキュリティ管理、認証システム）
#活動内容（バックアップ運用、ネットワーク監視、セキュリティトレーニング）
検査には文書、メカニズム、活動の検討が含まれるため、正解は A です。
* B. システム内で使用される特定のハードウェア、ソフトウェア、またはファームウェアのセーフガード。#不正解。セーフガードは検査対象となりますが、CMMCでは検査対象をハードウェア、ソフトウェア、またはファームウェアに限定していません。定義はより広範です。
* C. ポリシー、手順、セキュリティ計画、侵入テスト、およびセキュリティ要件。#不正解です。
これらの項目の一部は検査されますが、CMMC レベル 2 評価では侵入テストは必要ありません。
* D. システムバックアップ操作の観察、緊急時対応計画の実施、ネットワークトラフィックの監視。#不正解。これらの活動は、試験だけでなく、テストや面接の対象となります。
他の回答が間違っている理由
* CMMC 評価プロセス (CAP) ドキュメント - 「検査」をドキュメント、メカニズム、およびアクティビティのレビューとして定義します。
CMMC 公式リファレンスしたがって、オプション A (ドキュメント、メカニズム、またはアクティビティ) は、CMMC レベル 2 の評価方法と一致しているため、正解です。