CMMC（サイバーセキュリティ成熟度モデル認証）2.0レベル1は、連邦契約情報（FCI）を保護するために設計されており、17の基本的サイバーセキュリティ対策で構成されています。これらの対策は、FCIを取り扱う請負業者に対する最低限のセキュリティ要件を規定するFAR 52.204-21（対象請負業者情報システムの基本的保護）から直接導き出されたものです。
CMMCレベル1の実践内容の内訳レベル1の17の実践内容は、基本的なサイバーセキュリティ衛生に焦点を当てており、以下の6つの領域に分類されます。
* アクセス制御（AC）- 4つの実践
* AC.L1-3.1.1: システムへのアクセスを許可されたユーザーのみに制限する
* AC.L1-3.1.2: ユーザーによるアクセスを承認されたトランザクションと機能に制限する
* AC.L1-3.1.20: 外部システムへの接続を検証および制御する
* AC.L1-3.1.22: 公開アクセス可能なシステムに掲載または処理される制御情報
* 識別と認証（IA）- 2つの実践
* IA.L1-3.5.1: システムユーザーの識別と認証
* IA.L1-3.5.2: ローカルアクセスおよびネットワークアクセスに多要素認証を使用する
* メディア保護（MP）- 1つの実践例
* MP.L1-3.8.3: 廃棄または再利用する前にメディアを消毒する
* 物理的保護（PE）- 4つの実践
* PE.L1-3.10.1: FCIを含むシステムへの物理的なアクセスを制限する
* PE.L1-3.10.3: 訪問者を案内し、訪問者の行動を監視する
* PE.L1-3.10.4: 物理アクセスの監査ログを維持する
* PE.L1-3.10.5: 物理アクセス機器の制御と管理
* システムおよび通信保護（SC）- 2つの実践
* SC.L1-3.13.1: システム境界における通信の監視と制御
* SC.L1-3.13.5: 公開アクセス可能なシステムコンポーネント用のサブネットワークを実装する
* システムおよび情報インテグリティ（SI）- 4つの実践
* SI.L1-3.14.1: システムの欠陥をタイムリーに特定、報告、修正する
* SI.L1-3.14.2: 指定された場所で悪意のあるコードから保護を提供する
* SI.L1-3.14.4: 悪意のあるコードに対する保護メカニズムを定期的に更新する
* SI.L1-3.14.5: システム コンポーネントのスキャンとリアルタイム ファイル スキャンを実行します。CMMC 2.0 ドキュメントからの公式参照CMMC レベル 1 の 17 のプラクティスは、CMMC 2.0 付録およびレベル 1 の評価ガイド、ならびに FAR 52.204-21 の要件に明示的に記載されています。
これらの対策は、FCI（外国の機密情報）を取り扱うすべての国防総省請負業者が実施しなければならない基本的な安全対策を表しています。
#CMMC 2.0 レベル1の概要:
* 焦点：FCIの基本的な保護
* 練習総数:17
* 出典: FAR 52.204-21
* 評価の種類：自己評価（年次）
最終検証と結論正解はBです。CMMC 2.0の公式文書とFAR 52.204-21の要件から確認された17の実践事項です。

CMMC評価プロセスのフェーズを理解するCMMC評価プロセス（CAP）は複数のフェーズで構成されており、各フェーズは評価の異なる側面に焦点を当てています。評価計画の策定は、事前評価フェーズであるフェーズ1で行われます。
* 契約書：OSC（認証を求める組織）と認定第三者評価機関（C3PAO）が評価契約を正式に締結します。
* 評価計画の策定：主任評価者と評価チームは、以下の内容を概説する評価計画を作成します。
* 評価の範囲
* CMMCレベル要件
* 評価方法
* スケジュールとロジスティクス
* 初期データ収集：システムドキュメント、ポリシー、および関連するセキュリティ制御のレビュー。
第1段階（事前評価段階）における主な活動
* A. フェーズ1 # 正解
* フェーズ1では、評価計画が策定されます。
* 評価開始前に、範囲、方法論、およびロジスティクスについて明確化することを保証します。
* B. フェーズ2 # 不正解
* フェーズ2は評価実施フェーズであり、評価者は証拠を検証し、関係者にインタビューすることで計画を実行します。
* C. フェーズ3 # 不正解
* フェーズ3は事後評価フェーズであり、調査結果を確定し報告書を提出する段階であり、計画を策定する段階ではありません。
* D. フェーズ（不完全な回答）# 不正解
* この質問では特定のフェーズが求められており、正解はフェーズ 1 です。
正解が「フェーズ1」（A）である理由は？
* CMMC評価プロセス（CAP）文書
* フェーズ1は、評価計画が策定される段階と定義します。
* CMMC認定機関（CMMC-AB）ガイドライン
* 計画策定および事前評価活動はフェーズ1で行われることを指定する。
* CMMC 2.0認証ワークフロー
* C3PAOとOSC間の初期協議の一環として、評価計画プロセスを概説する。
この回答を裏付けるCMMC 2.0の参考文献：

CMMC 2.0における「プラクティス」の定義を理解する
CMMC 2.0において、「プラクティス」という用語は、組織が定義されたセキュリティ目標への準拠を達成するために実施しなければならない具体的なサイバーセキュリティ活動を指します。
手順ごとの詳細：
CMMCドキュメントからの定義：
CMMCモデル概要によると、プラクティスは次のように定義されています。
「CMMCの定める目標を達成するために実施される活動、または複数の活動。」
これは、管理対象非機密情報（CUI）および連邦契約情報（FCI）を保護するために必要な行動と実施方法を実践することを意味します。
CMMC 2.0への各プラクティスの適合性：
CMMC 2.0 レベル 1 は 17 の実践項目で構成されており、FAR 52.204-21 (対象となる請負業者の情報システムの基本的な保護) に準拠しています。
CMMC 2.0 Level 2 consists of110 practices, aligned directly withNIST SP 800-171 Rev. 2.
Each practice has anobjectivethat must be met to demonstrate compliance.
Official CMMC 2.0 References:
TheCMMC 2.0 Model Documentationdefines practices as "the fundamental cybersecurity activities necessary to achieve security objectives." TheCMMC Assessment Process (CAP) Guideoutlines how assessors verify the implementation of these practices during an assessment.
TheNIST SP 800-171A Guideprovidesassessment objectivesfor each practice to ensure they are implemented effectively.
Comparison with Other Answer Choices:
A). A business transaction# Incorrect. CMMC practices focus on cybersecurity activities, not financial or operational transactions.
B). A condition arrived at by experience or exercise# Incorrect. While practices evolve over time, they are defined activities, not just experience-based conditions.
C). A series of changes taking place in a defined manner# Incorrect. A practice is a set of security actions, not just a process of change.
Conclusion:
ACMMC practicerefers to specificcybersecurity activities performed to meet defined CMMC objectives. This makesOption Dthe correct answer.

SI.L1-3.14.2 の理解: 悪意のあるコードからの保護の提供CMMC レベル 1 プラクティス SI.L1-
3.14.2は、NIST SP 800-171の要件3.14.2に基づいており、組織には以下のことが求められます。
悪意のあるコードに対する対策（例：ウイルス対策ソフト、エンドポイントセキュリティソフトウェア）を実施する。
適切な場所（ワークステーション、サーバー、ネットワーク入口など）すべてにおいて、確実にカバー範囲を確保してください。
保護メカニズムを常に最新の状態に保つ（例：定期的な署名更新、ポリシーの適用）。
「MET」評価の評価基準：診療所がMETであるかどうかを判断するために、主任評価者は以下の点を確認する必要があります。
#すべてのワークステーションとサーバーにウイルス対策ソフトウェアまたはエンドポイント保護ソフトウェアがインストールされています。
#このソリューションは一元管理されており、一貫したポリシー適用を保証します。
#署名の更新は最新の状態であり、システムは新たな脅威から保護されています。
#ログまたはレポートは、アクティブな監視と更新を示しています。
正解が「A. 十分であり、監査結果はMETと評価できる」である理由は？提供された証拠は、SI.L1-3.14.2に必要なすべての要件を満たしていることを確認しています。
#すべてのワークステーションとサーバーにウイルス対策ソフトがインストールされています#インストール要件を満たしています。
#集中管理コンソールが導入されています#一貫した執行を保証します。
#記録によると、ウイルス対策シグネチャは最新です#システム保護が最新であることを確認します。
証拠が要件を満たしているため、この慣行はMET（要件を満たしている）と評価されるべきである。
B) 不十分であり、監査結果は「不合格」と評価される可能性があります。# 誤り 提供された証拠は必要な要件をすべて満たしているため、この慣行は「不合格」と評価されるべきではありません。
C) 十分な証拠があり、主任評価者はさらに証拠を求めるべきである # 誤り 十分な証拠が既に存在する場合、追加の証拠は不要です。
D) 不十分であり、主任評価者はさらなる証拠を求めるべきである # 誤り 提供された証拠は管理要件を満たしており、十分である。
他の回答が間違っているのはなぜですか？
CMMC評価プロセス（CAP）文書
十分な証拠が提示された場合、その実践はMETとしてマークできることを規定する。
NIST SP 800-171（要件3.14.2）
アクティブなアップデートを備えたウイルス対策ソフトが満たす、標準的な形式コード保護を定義します。
CMMC 2.0 レベル1（基礎）要件
ウイルス対策ソフトのインストールやアップデートなどの基本的なサイバーセキュリティ対策はSI.L1-のコンプライアンスを満たすことを明確にする。
3.14.2.
この回答を裏付けるCMMC 2.0の参考文献
最終回答：A。十分であり、監査結果はMETと評価できます。