ACMMCレベル2評価は、C3PAO（認定第三者評価機関）によって実施され、認証を求める組織（OSC）がNIST SP 800-171で要求されるすべての管理策を満たしているかどうかを判断します。
結果を提出する前に、C3P​​AOは主任評価者とOSCとの間で最終ブリーフィングを実施し、調査結果を確認し、懸念事項を明確にする必要があります。
A) 評価提出料を支払う#不正解
評価結果の提出には、必須の手数料はかかりません。手数料は評価プロセスにかかるものであり、提出にはかかりません。
B) 結果の内部レビューを完了する#不正解
内部レビューは推奨されるものの、CMMC評価手続きにおいて提出前に必須の手順ではない。
C) CMMC-ABに提出予定であることを通知する.偽
C3PAOはCMMC eMASSシステムを通じてCMMC-ABに結果を提出しますが、事前の通知は必須の手続きではありません。
D) 主任評価者と OSC の間で最終ブリーフィングを調整する#正解 CMMC 評価プロセス (CAP) ガイドラインによると、主任評価者は結果を提出する前に OSC と最終ブリーフィングを実施する必要があります。
このブリーフィングは透明性を確保し、OSCに調査結果に関する洞察を与え、最終的な明確化を可能にする。
CMMC評価プロセス（CAP）v1.0
評価結果を提出する前に、主任評価者とOSC（オンタリオ州セキュリティセンター）の間で最終説明会を実施する必要があります。
CMMC-ABおよびC3PAOのプロセス要件
主任評価者は、CMMC-ABに提出する前に、最終的な調査結果をOSCに伝達しなければならない。
提示された選択肢の分析：正解を裏付ける公式資料　結論：正解は：
#D. 主任評価官とOSCの間で最終ブリーフィングを調整する。

サイバーセキュリティ成熟度モデル認証（CMMC）2.0フレームワークは、連邦契約情報（FCI）および管理対象非機密情報（CUI）との相互作用に基づいて資産を分類します。CMMCレベル1の自己評価では、資産はFCIを処理、保存、または送信するかどうかに基づいて分類されます。
* FCI資産 - これらの資産はFCIを処理、保存、または送信し、CMMCレベル1のセキュリティ要件（FAR 52.204-21の17のプラクティス）を満たす必要があります。
* CUI資産 - これらの資産は管理された非機密情報（CUI）を取り扱い、NIST SP 800-171に準拠したCMMCレベル2の要件の対象となります。
* 特殊資産 - IoTデバイス、運用技術（OT）、政府支給機器（GFE）、および試験装置が含まれます。これらは、それぞれ固有のサイバーセキュリティ要件があるため、多くの場合、個別に分類されます。
* 対象外資産 - FCIまたはCUIを処理、保存、または送信しない資産。これらはCMMCの慣行に準拠する必要はありません。
* 政府発行資産 - これらは、契約固有の目的のために政府から提供される資産であり、多くの場合、政府の方針に基づく遵守が求められます。
* この質問では、特定された資産がFCIを処理、保存、または送信しないことが明記されています。
* CMMC 2.0のガイドラインによると、FCIまたはCUIを扱う資産のみがセキュリティ管理の対象となります。
* OSCの施設内に物理的に存在するが、FCIまたはCUIと相互作用しない資産は、「対象外資産」のカテゴリに分類されます。
* これらの資産は、FCIまたはCUIのセキュリティに影響を与えないため、CMMC固有のサイバーセキュリティ制御を必要としません。
* CMMC スコープガイド (2021 年 11 月) - スコープ外の資産とは、OSC の環境内にあるが、FCI または CUI と相互作用しない資産と定義されています。
* CMMC 2.0 レベル 1 ガイド - FCI 資産に対するセキュリティ コントロールのみを要求しており、FCI を処理、保存、または送信しない資産は対象外です。
* CMMC評価プロセス（CAP）ガイド - OSC環境における資産の分類を特定し、コンプライアンス要件を決定します。
CMMC 2.0 に基づく資産カテゴリ: 正解が C. 範囲外資産である理由: 関連する CMMC 2.0 の参照: 最終的な正当化: 資産は FCI を処理、保存、または送信しないため、範囲外資産には該当しません。
「FCI資産」または「特殊資産」。政府発行の資産でもありません。したがって、CMMC 2.0 における正しい分類は「対象外資産（C）」です。

The requirement to exercise due care in protecting information gathered during an assessment aligns with the principle ofConfidentialityunder theCMMC Code of Professional Conduct (CoPC). This ensures that sensitive assessment data, findings, and any Controlled Unclassified Information (CUI) remain protected even after the engagement concludes.
Step-by-Step Breakdown:
Definition of Confidentiality in CMMC Context:
Confidentiality refers to protecting sensitive information from unauthorized disclosure.
In the context of a CMMC assessment, it includes safeguarding assessment artifacts, findings, and other sensitive data collected during the evaluation process.
CMMC Code of Professional Conduct (CoPC) References:
TheCMMC Code of Professional Conductstates that assessors and organizations must handle all collected information with discretion andensure its protection post-engagement.
Clause on"Maintaining Confidentiality"specifies that assessors must:
Not disclose sensitive information to unauthorized parties.
Secure data in storage and transmission.
Retain and dispose of data securely in accordance with federal regulations.
Alignment with NIST 800-171 & CMMC Practices:
CMMC Level 2 incorporates NIST SP 800-171 controls, which include:
Requirement 3.1.3:"Control CUI at rest and in transit" to ensure unauthorized individuals do not gain access.
Requirement 3.1.4:"Separate the duties of individuals to reduce risk" ensures that assessment findings are only shared with authorized personnel.
These requirements align with the duty toexercise due carein protecting assessment-related information.
Why the Other Options Are Incorrect:
(A) Availability:This refers to ensuring data is accessible when needed but does not directly relate to protecting gathered information post-assessment.
(C) Information Integrity:This focuses on preventing unauthorized modifications rather than restricting disclosure.
(D) Respect for Intellectual Property:While related to ethical handling of proprietary data, it does not directly cover post-engagement confidentiality requirements.
Final Validation from CMMC Documentation:
TheCMMC Code of Professional ConductandNIST SP 800-171control requirements confirm thatConfidentialityis the correct answer, as it directly pertains to protecting information post-assessment.
Thus, the correct answer isB. Confidentiality.

SC.L2-3.13.14 の理解 - VoIP テクノロジーの使用の制御と監視CMMC 2.0 レベル 2 の要件 SC.L2-3.13.14 は、NIST SP 800-171、セキュリティ要件から来ています。
3.13.14では、組織は自社のシステム境界内で使用されるVoIP（Voice over Internet Protocol）技術の使用を管理および監視しなければならないと規定しています。
システムがVoIP技術を使用していない場合、評価すべきものがないため、この制御は適用されません（N/A）。
選択肢Dが正解である理由
要件が「該当なし（N/A）」とマークされている場合、それはOSCが評価範囲内でその管理策の対象となる技術またはプロセスを使用していないことを意味します。
評価対象となるVoIPシステムが存在しないため、評価手順は不要です。
オプション A（既存の電話システムが対象範囲に含まれる）は、従来の（VoIP ではない）電話システムは SC の対象外であるため、誤りです。L2-3.13.14 - VoIP のみが対象範囲に含まれます。
オプションB（エラー、主任評価者に連絡してください）は誤りです。VoIPを使用しない場合、SC.L2-3.13.14をN/Aとマークすることは有効です。これはエラーではありません。
オプションC（VoIPは対象範囲内だが、FIPS認証済みの暗号化を使用しているため、評価する必要はない）は誤りです。VoIPがFIPS認証済みの暗号化を使用している場合でも、監視と使用制御が適切に行われていることを確認するために、制御を評価する必要があります。
CMMC公式ドキュメントの参照
CMMC 2.0 レベル2評価ガイド - SC.L2-3.13.14
NIST SP 800-171、セキュリティ要件3.13.14
CMMCスコープ設定ガイダンス - 適用対象外（N/A）のプラクティスの決定
最終確認
OSCのシステム境界内でVoIPが使用されていない場合、制御の評価は不要となるため、オプションDが正解となります。