CMMC評価における主任評価者のための重要な参考資料CMMC評価を実施する主任評価者は、認証を求める組織（OSC）が要求されるサイバーセキュリティ対策を満たしているかどうかを評価するために、公式のCMMCガイダンス文書に依拠する必要があります。
CMMC評価ガイドでは、評価対象となる特定のCMMCレベルにおける各実践事項とプロセスについて詳細な説明を提供します。
これは、次のことを定義します。#各実践の評価目標。#コンプライアンスに必要な証拠。#実践が満たされているか否かを判断するための採点基準。
最も関連性の高い参考資料：CMMC評価ガイド
A). 対象防衛情報に対する国防総省の適切なセキュリティチェックリスト # 誤り 国防総省の適切なセキュリティチェックリストは DFARS 252.204-7012 の準拠に関連していますが、CMMC の評価は CMMC 評価ガイドに従います。
B). CMMC モデルの概要は、評価方法とオブジェクトを提供するので # 誤り CMMC モデルの概要は、高レベルのガイダンスを提供しますが、具体的な評価基準は含まれていません。
C). レベル 2 評価に対する FAR 条項 52.204-21 の保護要件 # 誤り FAR 52.204-21 は CMMC レベル 1 (FCI 保護) に関連していますが、CMMC レベル 2 は NIST SP 800- に従います。
171 また、検証には CMMC 評価ガイドが必要です。
D). 希望する認証レベルに対する CMMC 評価ガイドの実践説明が公開されている # 正解 CMMC 評価ガイドは、OSC が認証に必要なセキュリティ プラクティスを満たしているかどうかを判断するために使用される公式文書です。
正解が「D. 希望する認証レベルに対応した、公開されているCMMC評価ガイドの実践説明」である理由は？
CMMC評価プロセス（CAP）文書
主任評価者は、公式な採点のためにCMMC評価ガイドを使用しなければならないことを規定する。
CMMCレベル1およびレベル2評価ガイド
各実践について、詳細な説明、評価方法、および採点基準を提供します。
CMMC-AB認定第三者評価機関（C3PAO）向けガイダンスでは、CMMC評価は一般的な国防総省のセキュリティポリシーではなく、評価ガイドに従う必要があることが確認されています。
この回答を裏付けるCMMC 2.0の参考文献
最終解答：D. 希望する認証レベルに対応する、公開されているCMMC評価ガイドの実践説明。

連邦契約情報（FCI）の理解連邦契約情報（FCI）は、48 CFR 52.204-21（対象となる契約業者情報システムの基本的保護）で定義されています。FCIとは、以下の情報を指します。
※一般公開を目的としたものではありません。
* 政府との契約に基づき、政府によって提供されるか、政府のために生成される。
政府向けに製品またはサービスを開発または提供するために必要な場合。
* 公開されている政府情報（公共ウェブサイトの情報など）は除外します。
* 単純な取引情報（例：支払処理に必要な情報）は除外します。
CMMC 2.0 のコンテキストでは、FCI を処理、保存、または送信する組織は、FAR 52.204-21 に概説されている 17 の基本的な保護対策を実施する必要がある CMMC レベル 1 (基礎) を満たす必要があります。
* A. CDI（防衛情報管理）#.偽
* この用語は DFARS 252.204-7012 で使用されていましたが、CMMC の議論では CUI (管理された非機密情報) に置き換えられました。
* B. CTI（サイバー脅威インテリジェンス）# 不正解
* これは、契約データではなく、サイバー脅威、戦術、および指標に関する情報を指します。
* C. CUI（管理対象非機密情報）#.偽
* CUIは、追加の保護が必要な機密情報ですが、FCIとは別のカテゴリーです。
* D. FCI（連邦契約情報）#正解
* FCIの定義は、質問で示された説明と完全に一致しています。
正解がFCI（D）である理由は？
* FAR 52.204-21（対象となる請負業者の情報システムの基本的保護）
* FCIおよび必要な安全対策を定義する。
* FCI保護のための17のサイバーセキュリティ対策を確立する。
* CMMC 2.0フレームワーク
* レベル1（基礎）は、FCIを取り扱う請負業者に必須です。
* FAR 52.204-21に概説されている基本的な保護要件への準拠を保証します。
* NIST SP 800-171 および DFARS 252.204-7012
* FCIはNIST SP 800-171への準拠を要求しませんが、CUIは要求します。
この回答を裏付けるCMMC 2.0の参考文献：

IA.L2-3.5.3の理解：多要素認証（MFA）要件NIST SP 800-171（要件3.5.3）に基づくIA.L2-3.5.3プラクティスでは、特権ユーザーと標準ユーザーの両方が以下のものにアクセスする際に、多要素認証（MFA）を実装する必要があります。
#組織のエンドポイント（例：ノートパソコン、デスクトップパソコン、モバイルデバイス）。
#ネットワークリソース（例：VPN、内部システム）。
#管理対象非機密情報（CUI）を含むクラウドサービス。
「MET」評価の主要要件IA.L2-3.5.3を満たすためには、組織は以下の要件を満たす必要があります。
すべての特権ユーザー（システム管理者など）に多要素認証（MFA）を必須とする。
エンドポイントおよびネットワークリソースにアクセスする標準ユーザーには、多要素認証（MFA）を必須とする。
関連するすべてのシステムに多要素認証（MFA）を導入する。
OSCの現在の実装では標準ユーザーはMFAを必要としないため、この慣行は完全に実装されておらず、「未達成」と評価する必要があります。
A) プロセスは正しく実行されています #.偽
MFAは特権ユーザーにのみ適用されますが、一般ユーザーにも必須です。このプロセスはまだ完全には実装されていません。
B) これは新規買収であるため、対象外です。#.偽
新規買収案件は、CUI（機密情報）またはネットワークアクセスを扱う場合、引き続きMFA（多要素認証）の要件を満たす必要があります。
C) 新規取得は特殊資産とみなされる #.偽
特殊な資産（IoT、レガシーシステムなど）には代替のセキュリティ制御が適用される場合があるが、標準ユーザーおよびエンドポイントは引き続き多要素認証（MFA）に準拠する必要がある。
D). 目標が実装されていないため、実践は達成されていません。# エンドポイントとネットワーク リソースにアクセスする特権ユーザーと標準ユーザーの両方に対して、正しい MFA を有効にする必要があります。
標準ユーザーが除外されているため、この要件は満たされていません。
正解が「D」（目標が実施されなかったため、実践は達成されていない）である理由は？
CMMC 2.0 レベル2（上級）要件
CUIおよびネットワークリソースにアクセスするすべてのユーザーにMFAを適用する必要があることを指定します。
NIST SP 800-171（要件3.5.3 - MFAの実装）
特権ユーザーおよび一般ユーザーを含む、すべてのユーザータイプに対して多要素認証（MFA）を必須とします。
CMMC評価プロセス（CAP）文書
METとみなされるためには、実践が完全に実施されている必要があると規定している。部分的な実施は、METではないことを意味する。
この回答を裏付けるCMMC 2.0の参考文献。