CMMC 2.0の評価においては、十分性基準は、評価チームが特定の要件への準拠に関する結論を裏付けるのに十分な証拠を収集したかどうかを判断するために使用されます。
十分性基準の定義：
十分性とは、評価中に収集された証拠の量と完全性を指します。
これにより、収集された証拠が、コンプライアンスの客観的かつ妥当な判断を裏付けるのに十分であることが保証されます。
CMMC 2.0において十分性が重要な理由：
評価者は、収集された証拠の量が、疑義や欠落なく調査結果を裏付けるのに十分であることを確認しなければならない。
これにより、組織がコンプライアンスを主張しながらも、それを証明するために必要な文書、技術的証拠、または手続き上の検証が不足している状況を防ぐことができます。
CMMC 2.0の公式参考資料：
CMMC評価プロセス（CAP）ガイドでは、評価結果を検証する上での重要な要素として十分性を定義しています。
CMMC 2.0 レベル2 スコープ設定ガイダンスによると、評価者は成果物、文書、インタビュー、システム構成をレビューする際に、十分性基準を適用しなければならない。
国防総省のCMMC評価ガイド（NIST SP 800-171Aに準拠）は、コンプライアンスに関する決定は、十分な量の検証可能な証拠によって裏付けられなければならないことを強調している。
他の基準との比較：
妥当性基準# 証拠の量ではなく質に焦点を当てます。
客観性基準# 証拠が偏りがなく公平であることを保証するが、必ずしも完全であるとは限らない。
主観性基準# 評価は客観的で事実に基づいた証拠に基づかなければならないため、CMMCには適用されません。
手順ごとの詳細：結論：CMMC 2.0 の評価において準拠を確認するには、評価チームは判断を裏付ける十分な証拠が利用可能であることを確認する必要があります。したがって、「十分性基準」（選択肢 C）が正解となります。

Step 1: Review CMMC 2.0 Reforms (Level 1 - Foundational)As part ofCMMC 2.0, the DoD announced changes toreduce burden and costsfor companies that only handleFederal Contract Information (FCI):
DoD Statement (CMMC 2.0 Overview):
"Level 1 (Foundational) will only require an annual self-assessment, affirming implementation of the 17 FAR
52.204-21 controls."
#Step 2: Intent of "Reduced Assessment Costs"The move to allowself-assessments at Level 1was explicitly designed toeliminate the costof hiring third-party assessors for organizations that only handle FCI.
Level 1 self-assessments are:
Conductedinternally by the OSC,
Affirmed annuallyby a senior company official,
Submitted via SPRS(Supplier Performance Risk System).
B). Opt out of CMMC Assessments# Incorrect. Organizations must still perform aself-assessmentannually - they cannot opt out entirely.
C). Have assessment costs reimbursed by the DoD# No such reimbursement mechanism exists.
D). Pay no more than $500.00...# No such fixed cost is set or guaranteed in CMMC documentation.
#Why the Other Options Are Incorrect
UnderCMMC 2.0, all companies atLevel 1 (Foundational)are permitted toconduct self-assessmentsannually to demonstrate compliance, supporting the DoD's goal ofreducing assessment costsfor low-risk contractors.

CMMCにおけるトレーニング要件の理解担当者が割り当てられた情報セキュリティ関連の職務と責任を遂行するためのトレーニングを受けることを保証するという要件は、CMMCレベル10で初めて登場します。
2NIST SP 800-171 管理 AT.L2-3.2.1 の一部として。
トレーニング要件に関する重要な詳細：#AT.L2-3.2.1：「担当者が割り当てられた情報セキュリティ関連の職務と責任を遂行できるよう、トレーニングを実施すること。」
#この管理策はNIST SP 800-171に基づいており、CMMCレベル2（高度）に適用されます。
#これにより、機密指定されていない管理情報（CUI）を取り扱う従業員が、サイバーセキュリティに関する責任を理解していることが保証されます。
* A. レベル1 # 不正解
* CMMCレベル1には、このトレーニング要件は含まれていません。レベル1は、連邦契約情報（FCI）の基本的な保護に重点を置いていますが、正式なサイバーセキュリティトレーニングは要求していません。
* B. レベル2 # 正解
* トレーニング要件（AT.L2-3.2.1）は、NIST SP 800-171に準拠したCMMCレベル2で初めて登場します。
* C. レベル3 # 不正解
* トレーニング要件は既に​​レベル2に存在します。レベル3はレベル2をベースに、追加のリスク管理と高度なサイバーセキュリティ対策を導入していますが、トレーニングはレベル2で導入されます。
* D. 全レベル # 不正解
* CMMCレベル1にはこの要件は含まれていません。この要件はレベル2で初めて導入されます。
正解が「B. レベル2」である理由は？
* NIST SP 800-171（要件3.2.1）
* CUIを取り扱う人員に対する必須の研修要件を定義する。
* CMMCレベル2評価ガイド
* AT.L2-3.2.1 をレベル 2 の必須実践項目としてリストしています。
* CMMC 2.0 モデルの概要
* CMMCレベル2がNIST SP 800-171に準拠していることを確認します。NIST SP 800-171には、セキュリティトレーニングの要件が含まれています。
この回答を裏付けるCMMC 2.0の参考文献：

DFARS条項252.204-7012の理解国防連邦調達規則補足（DFARS）条項252.204-7012は、機密指定されていない管理情報（CUI）を含むすべての国防総省契約および入札で要求される必須のサイバーセキュリティ条項です。
DFARS 252.204-7012# の主な要件は、CUI を扱う請負業者向けに NIST SP 800-171 セキュリティ管理を実装することです。
#サイバーインシデント発生後72時間以内に国防総省サイバー犯罪センター（DC3）に報告する必要があります。
#国防総省の情報システムを保護するための適切なセキュリティ対策を義務付ける。
#COTS品のみを調達する契約を除く、すべての国防総省契約に適用されます。
オプションA（正解）：CUIが関係する場合、DFARS 252.204-7012はすべての国防総省の契約および入札に含めなければなりません。
選択肢B（誤り）：FARパート12の手続きは商用物品の調達に適用されますが、DFARS 7012は調達手続きに関係なく適用されます。
選択肢C（誤り）：市販品（COTS）のみを対象とした契約はDFARSの適用対象外です。
7012。
選択肢D（誤り）：改造せずに販売されるCOTS品にはDFARS 7012を含める必要はありません。
DFARS条項252.204-7012（保護対象防衛情報およびサイバーインシデント報告の保護）NIST SP 800-171 - DFARS 7012に基づく請負業者に義務付けられているサイバーセキュリティ基準。
「すべての国防総省の入札および契約」が正しい理由とは？国防総省およびDFARS文書からの公式参照最終検証と結論