When preparing forCMMC compliance, organizations must ensure that theirnetwork configurations align with required cybersecurity controls. Ifnetwork administratorsdisagree on certain configurations, the mostobjective and accurateway to resolve the disagreement is by referencingofficial CMMC guidanceandNIST SP 800-171 requirements, which form the foundation of CMMC Level 2.
Step-by-Step Breakdown:
CMMC Assessment Guides as the Primary Reference
TheCMMC Assessment Guides (Level 1 & Level 2)provide clearinterpretationsof security practices.
Theyexplain how each practice should be implemented and assessedduring certification.
NIST SP 800-171 as the Compliance Baseline
CMMC Level 2is based directly onNIST SP 800-171, which outlines the110 security controlsrequired for protectingControlled Unclassified Information (CUI).
Network configurations must complywith NIST-defined security requirements, including:
Access Control (AC) - Ensuring least privilege principles.
Audit and Accountability (AU) - Logging and monitoring network activity.
System and Communications Protection (SC) - Secure network design and encryption.
Why the Other Answer Choices Are Incorrect:
(A) Consult with the CEO of the company:
ACEO is not necessarily a cybersecurity expertand may not be familiar with CMMC technical requirements.
Technical compliance decisions should be based onCMMC and NISTframeworks, not executive opinions.
(C) Go with the network administrator's ideas with the least stringent controls:
Choosingless stringent controls increases security riskand could lead toCMMC non-compliance.
(D) Go with the network administrator's ideas with the most stringent controls:
While security is important,more stringent controlsmay introduceoperational inefficienciesorunnecessary coststhat are not required for compliance.
The correct approach is to implement what is required by CMMC and NIST SP 800-171, no more and no less.
Final Validation from CMMC Documentation:
TheCMMC Assessment GuidesandNIST SP 800-171 Rev. 2areofficial sourcesthat provide the most reliable guidance on compliance.
CMMC Level 2 is entirely based on NIST SP 800-171, making it the definitive source for resolving security disagreements.
Thus, the correct answer is:
B). Consult the CMMC Assessment Guides and NIST SP 800-171.

CMMC評価において誰がテストを実施する必要があるかを理解するCMMCレベル2評価では、評価者は運用活動とセキュリティ対策を観察してコンプライアンスを検証する必要があります。このプロセスには以下が含まれます。
#評価の一環として、セキュリティ管理と手順をテストします。
#標準作業手順の観察により、管理が適切に実施されていることを確認します。
#現実的な評価条件を確保するため、日常的に業務を行っている運用担当者（OSC従業員）を活用する。
* 現場担当者（OSC従業員）が実際の作業を行い、評価者はそれを観察しなければならない。
* CMMC認定プロフェッショナル（CCP）または主任評価者が、テストプロセスを監督し、文書化します。
誰が検査を実施するのか？
* A. CCPが観察する通常その業務を行うOSC職員 # 正解
* CMMC評価では、実際のユーザー（OSC職員）が通常の業務を遂行する様子を評価者が観察し、セキュリティ対策を検証する必要があります。
* B. 軍関係者とCCPおよび/または主任評価者が、文書化された手順の妥当性をテストする # 不正解
* 軍関係者は、請負業者のセキュリティ管理体制のテストを行う責任を負わない。
* 評価者は観察と評価を行うが、自ら試験を実施することはない。
* C. 当該契約の請負業者に配属された軍関係者が、CUIの機密性を確保する。
＃ 正しくない
* 軍関係者は検査を実施しません。
* 請負業者（OSC）は、セキュリティ管理策の実施および実証に責任を負います。
* D. 通常その業務を行わないOSC職員が、文書化された手順の正確性を評価する #.偽
* 業務内容に精通していない担当者をテストに起用してはならない。
* 評価は現実世界の状況を反映していなければならないため、実際にその業務を行う従業員がそのプロセスを実演する必要がある。
正解が「A」（CCPが監視する業務を通常行うOSC職員）である理由は？
* CMMC評価プロセス（CAP）文書
* コンプライアンスを判断するためには、評価において実際の業務活動を観察する必要があることを規定する。
* CMMC-AB評価方法論
* 現実的な運用環境でのセキュリティ管理のテストが必要であり、つまり、実際のOSC職員がタスクを実行する必要がある。
* NIST SP 800-171A（NIST SP 800-171の評価手順）
* インタビューおよび観察は、当該業務を日常的に行っている担当者に対して実施すべきであることを明記する。

企業が自社のインフラストラクチャの管理に第三者のITプロバイダーを利用する場合、これらの組織はCMMCのスコープガイドラインにおいて外部サービスプロバイダー（ESP）として分類されます。
ステップごとの解説：#1. ESPとは何ですか？
* 外部サービスプロバイダー（ESP）とは、以下のサービスを提供する第三者組織です。
* ITサービス、クラウドホスティング、およびマネージドセキュリティソリューションを提供します。
* 請負業者に代わって、FCIまたはCUIを処理、保管、または送信する。
* FCIまたはCUIを取り扱う場合は、OSCと同じセキュリティ要件を満たす必要があります。
* 企業がITインフラストラクチャの管理をホスティングプロバイダーに依存している場合、そのプロバイダーはCMMCスコープガイドラインにおけるESP（エンタープライズサービスプロバイダー）に該当します。
#2. 他の選択肢が間違っている理由：
* (B) 人数
* 誤り：ESPは組織であり、個人ではありません。
* (C) 施設#
* 誤り:施設とは、オフィスビルやデータセンターなどの物理的な場所を指し、第三者サービスプロバイダーを指すものではありません。
* (D) テクノロジー#
* 誤り: ESP は技術サービスを提供しますが、CMMC におけるサードパーティ IT プロバイダーの正しい用語は「技術」ではなく ESP です。
* CMMCレベル1スコープガイドでは、外部サービスプロバイダー（ESP）を、ITインフラストラクチャおよびセキュリティサービスを管理する第三者組織と定義しています。
CMMCドキュメントからの最終検証：したがって、正解は次のとおりです。
#A. ESP（外部サービスプロバイダー）