CMMC 評価プロセスにおける最終的な解釈機関CMMC レベル 2 評価では、認証を求める組織 (OSC)、認定サードパーティ評価組織 (C3PAO)、評価チーム メンバー、CMMC 認定機関 (CMMC-AB) など、複数の組織がプロセスに関与します。
* C3PAOと評価チームの役割:
* 認定サードパーティ評価組織 (C3PAO) は、NIST SP 800-171 セキュリティ要件に基づいて評価を実施し、初期の推奨結果を作成する責任を負います。
* 評価チームのメンバー (主任評価者およびサポートスタッフ) が評価を実施し、推奨事項を C3PAO に提出します。
* 最終解釈機関 - CMMC-AB:
* CMMC 認定機関 (CMMC-AB) は、評価の一貫性と正確性を確保する責任を負います。
* 調査結果に関して異議や説明が必要な場合は、CMMC-AB が最終的な解釈とガイダンスを提供します。
* これにより、さまざまな C3PAO 間での認証決定の一貫性が確保されます。
* CMMC-ABが正解である理由:
* CMMC-AB は、評価の品質保証プロセスに対する最終的な権限を持ちます。
* OSC または C3PAO からの改善要求、異議申し立て、紛争を審査し、最終決定を下します。
* CMMC-AB は、評価が CMMC 2.0 ポリシーおよび DFARS 252.204-7021 要件に準拠していることを確認するための監視を継続します。
* A. C3PAO - C3PAOは評価を実施し、結果を提出しますが、最終的な解釈権限は持ちません。結果はCMMC-AB品質保証プロセスを通過する必要があります。
* C. OSC スポンサー - OSC (認証を求める組織) は調査結果を解釈できません。特定された欠陥に対応し、CMMC-AB チャネルを通じて評価に異議を申し立てることしかできません。
* D. 評価チームメンバー - 評価チームは調査結果を推奨しますが、最終的な解釈は行いません。その役割は、評価の実施、証拠の収集、C3PAOへの報告書の提出に限定されます。
参考資料:CMMCアセスメントプロセスガイド（CAP v2.0）-Cyber​​ AB
DFARS 252.204-7021（CMMC要件に関する国防総省規制）
CMMC 2.0 モデルの概要（国防総省 CIO サイト）
#最終回答: B. CMMC-AB

サイバーセキュリティ成熟度モデル認証（CMMC）レベル2評価においては、確立されたセキュリティ要件への準拠を確保するために、具体的な実践方法を評価する必要があります。そのような実践方法の一つがAC.L2-3.1.19であり、モバイルデバイスおよびモバイルコンピューティングプラットフォームにおける管理対象非機密情報（CUI）の暗号化を義務付けています。
ステップバイステップの説明:
* 要件の概要:
* 実践指針AC.L2-3.1.19では、組織に対し「モバイルデバイスおよびモバイルコンピューティングプラットフォーム上のCUIを暗号化する」ことが求められています。これにより、モバイルデバイス経由でアクセス、保存、または送信されるすべてのCUIが暗号化によって保護され、データ漏洩や不正アクセスに関連するリスクが軽減されます。
* 提供された証拠の評価:
* 評価中、認証取得を目指す組織（OSC）は、サーバー、ワークステーション、ネットワークデバイスを含むインベントリリストを提供しました。注目すべきは、このリストにはモバイルデバイスやモバイルコンピューティングプラットフォームに関する記述が全くないことです。
* 省略の影響:
* インベントリにモバイルデバイスが含まれていないことは、OSCがCUIを処理、保存、または送信するすべての資産を把握していない可能性があることを示唆しています。モバイルデバイスを含む包括的なインベントリがなければ、OSCがこれらのプラットフォーム上のCUIに必要な暗号化対策を実施しているかどうかを確認することは困難です。
* 評価の決定:
* 不完全なインベントリのため、AC.L2-3.1.19 の実践における最終的な採点を行うには証拠が不十分です。OSC は、CUI の暗号化要件への準拠を証明するために、モバイルデバイスやコンピューティングプラットフォームを含むすべての関連デバイスを網羅した詳細なインベントリを提供する必要があります。
参考文献:
CMMC モデル概要バージョン 2.13 では、実践 AC.L2-3.1.19 の要件が概説されています。
完全かつ正確なインベントリを確保することは、組織内のすべての関連資産にわたるセキュリティ制御の実装を評価するための基礎となるため、評価プロセスにおける重要なステップです。