AC.L1-3.1.22には、「公開アクセス可能なシステムに掲載または処理される情報を管理する」と規定されています。この管理策では、組織はFCI（連邦契約情報）が公開されたり、管理されていない方法でアクセス可能になったりしないようにする必要があります。
FCIは、機密情報やCUIでなくても、不正な開示から保護されなければならない。
参照：
NIST SP 800-171、要件3.1.22
CMMCレベル1実践AC.L1-3.1.22
ステップ 2: プレスリリースで FCI を保護することが重要な理由 企業が FCI を含むプレスリリースを発表する場合、その情報が意図せず機密性の高い契約関連データを公開しないようにする必要があります。
FCIには、国防総省が契約に基づいて提供または作成した情報が含まれますが、これらの情報は一般公開を目的としていません。
組織は、意図しない暴露を防ぐための管理策を実施しなければならない。
ステップ3：他の選択肢が間違っている理由A. 情報が正しい（間違い）：
正確性も重要ですが、CMMCの要件は、単に正確性を確保するだけでなく、機密情報を保護することに重点を置いています。
B) CEOがそのメッセージを承認した（誤り）：
CEOの承認は、FCIの保護に対応していないため、CMMC準拠を満たしません。
D) 情報がFCIのみである限り、公開できる（誤り）：
FCIは保護されるべきものであり、国防総省による特別な許可がない限り、公に開示してはならない。
正解の最終確認：会社はFCIを保護し、公式プレスリリースにおいて不正な情報開示が行われないようにしなければならない。
したがって、正解はCです。会社はFCIの放出を保護しなければなりません。

Understanding the CMMC Assessment ProcessTheCMMC Assessment Process (CAP)consists offour phases, each with specific tasks and objectives.
フェーズ1：評価の計画と準備 - 評価の計画、スケジュール設定、および準備。
フェーズ2：評価の実施 - 証拠の収集と検証、インタビューの実施、およびコンプライアンスの評価。
フェーズ3：推奨評価結果の報告 - 調査結果を文書化し、結果を報告する。
フェーズ4：未解決の評価問題の是正 - 組織が欠陥に対処できるようにする。
「フェーズ2：評価の実施」が正しい理由とは？フェーズ2：評価の実施では、評価チームは以下の主要な活動を実施します。
#コンプライアンス検証に必要な証拠を特定する。
#アーティファクト（セキュリティポリシー、構成、ログなど）の取得とレビュー。
#CMMCの実施要件に対する証拠の十分性を検証する。
#主要担当者へのインタビューとサイバーセキュリティの実装状況の観察。
質問には「証拠を特定し、目録を入手し、検証する」と具体的に記載されているため、このタスクはフェーズ2：評価の実施に直接該当します。
回答選択肢の内訳
説明
正しい？
A) フェーズ1：評価の計画と準備
#誤り - このフェーズは、証拠収集ではなく、スケジュール、ロジスティクス、計画に焦点を当てています。
B) フェーズ2：評価の実施
#正解 - この段階では、証拠の収集、検証、およびレビューを行います。
C) フェーズ3：推奨評価結果の報告
#誤り - このフェーズでは結果を文書化しますが、証拠は収集しません。
D) フェーズ4：未解決の評価問題の是正
#誤り - このフェーズは、証拠収集ではなく、是正措置に焦点を当てています。
CMMC評価プロセスガイド（CAP）-フェーズ2：評価の実施には、証拠の収集と検証などのタスクが明確に含まれています。
CMMC 2.0 ドキュメントからの公式参照最終検証と結論正解は B. フェーズ 2: 評価の実施です。このフェーズには、CMMC 準拠を判断するために重要な証拠の特定、取得、検証が含まれます。

サイバーセキュリティ成熟度モデル認証（CMMC）評価プロセスにおいては、認証取得を目指す組織（OSC）に関連する様々な主体の役割を、計画段階で理解することが極めて重要です。認定第三者評価機関（C3PAO）のスタッフがCMMCレベル2評価のためにこれらの主体を審査する際には、内部構成要素と外部参加者を明確に区別することが不可欠です。
段階的な説明：
* 本部組織の定義：
* 本部組織とは、国防総省（DoD）との契約に基づきサービスを提供する法人全体を指します。この組織は、CMMC要件への準拠を確保する責任を負います。
* 外部エンティティの識別:
外部組織とは、本部組織の一部ではないものの、本部組織の業務を支援する人、プロセス、および技術を指します。これらの組織は、国防総省契約に関連する機密指定されていない管理情報（CUI）または連邦契約情報（FCI）の取り扱いに関与しているため、評価プロセスに参加します。
* 支援組織／部署の役割：
CMMC評価プロセスの文書によると、支援組織は「本部組織の外部にあり、ホストユニットを支援する人員、手順、および技術」と定義されています。これらの外部組織はホストユニットの運用に不可欠ですが、本部組織の直接的な組織構造には含まれません。
* 評価への影響：
* サポート組織／ユニットはホストユニットのサポートにおいて重要な役割を果たしますが、エンタープライズ評価が実施されない限り、個別のCMMCレベル認証は取得できません。このような場合、評価は本部組織とそのサポート組織の両方を対象とし、関連するすべての組織における包括的なコンプライアンスを確保します。
参考文献：
CMMC評価プロセスの文書では、支援組織とは、ホストユニットを支援する外部組織と定義されています。
サイバーラブ
C3PAOは、支援組織／ユニットの役割を正確に特定し理解することで、評価計画段階で関連するすべての組織が考慮されることを保証し、CMMCレベル2評価の完全性と包括性を維持します。

CM ドメインにおける最小機能の原則の理解CMMC 2.0 の構成管理 (CM) ドメインは、制御された構成とシステム機能の制限を通じて、組織のシステムのセキュリティと整合性を維持することに重点を置いています。
最小機能の原則とは、システムの機能、サービス、アプリケーションを、本来の目的に必要なものだけに限定することを指します。この原則は、攻撃者に悪用される可能性のある不要なコンポーネントを最小限に抑えることで、攻撃対象領域を縮小します。
CMMCプラクティスCM.L2-3.4.6（最小限の機能の使用）では、「組織のシステムを構成して必要最低限​​の機能のみを提供するようにすることで、最小限の機能の原則を採用する」と明記されています。その目的は、システム上で不正または不要なアプリケーション、サービス、ポートが実行されないようにすることです。
実装例：
必要のないサービス（リモートデスクトップアクセスなど）は無効にする。
ソフトウェアのインストールを承認済みのアプリケーションに限定する。
未使用のネットワークポートとプロトコルをブロックする。
A) 最も特権の少ない人々
この原則（アクセス制御に関連するもの）は、ユーザーとプロセスが業務を遂行するために必要な最小限のアクセス権限のみを持つことを保証するものです。
これは CMMC プラクティス AC.L2-3.1.5 (最小権限) に関連していますが、システム機能を定義するものではありません。
B) 重要な懸念事項
CMMC、NIST、または関連するフレームワークには、「重要な懸念事項」と呼ばれる公式に認められたサイバーセキュリティ原則は存在しない。
D) 職務の分離
この原則（CMMCAC.L2-3.1.4で規定）は、いかなる個人も重要な機能を無制限に管理できないようにすることで、不正行為や濫用のリスクを低減します。
セキュリティ上は重要だが、システムの必須機能を定義するものではない。
CMMC 2.0 レベル 2 評価ガイド - 構成管理 (CM) ドメイン CM.L2-3.4.6 は、不要な機能を削除してセキュリティを強化するために最小限の機能を義務付けています。
NIST SP 800-171（CMMCの基となる規格） - 要件3.4.6
「システムの機能は、組織の使命または業務機能に必要な基本的な機能のみに制限する」と規定されています。NIST SP 800-53 - コントロール CM-7 (最小機能) では、必要な機能のみで動作するようにシステムを構成するための詳細な推奨事項が提供されています。
正解である最小機能の原則（C）の根拠他の選択肢が不正解である理由公式のCMMCおよびNISTの参照結論最小機能の原則（C）は、CMMC 2.0の構成管理（CM）ドメインにおける必須システム機能を定義するための基礎となります。この原則を適用することで、組織は必要な機能、サービス、およびアプリケーションのみが有効になるようにし、セキュリティリスクを軽減します。

正解はCです。CMMCエコシステムでは、利益相反を実際の利益相反と認識上の利益相反の両方として扱っているからです。CMMC専門職倫理規定では、CMMCエコシステムのメンバーに対し、実際の利益相反または認識上の利益相反につながる可能性のある活動、慣行、取引への参加を避けるよう求めています。また、利益相反の禁止事項を遵守し、過去の役職や関係が客観性を損なう可能性があるレベル2認証プロセスへの参加をCMMCエコシステムのメンバーに制限しています。
利益相反とは、専門家の判断、独立性、または公平性が、他の利害関係、関係、義務、または過去の活動によって影響を受ける可能性がある、または合理的に見て影響を受ける可能性がある場合に存在します。CMMCでは、評価の信頼性がコンサルティング機能と認証評価機能の独立性に依存するため、これは特に重要です。たとえば、以前にOSCのサイバーセキュリティプログラムの設計、実装、または修復を支援した評価者またはC3PAOは、後に同じOSCを評価する際に、実際または認識上の利益相反を抱える可能性があります。オプションAは、透明性の欠如が利益相反問題の一因となる可能性はあるものの、定義ではないため誤りです。オプションBは、すべての法的違反が利益相反となるわけではないため、広範すぎます。オプションDは、利益相反ではなく、開示の問題を説明しています。したがって、最良の答えはC、認識上のまたは実際の利益相反です。