レガシーマーキングとCUIに関する背景情報
旧来のマーキングとは、国防総省指令5200.48に基づく管理対象非機密情報（CUI）プログラムの実施前に使用されていた分類ラベルを指します。
従来の表示（「公務専用」（FOUO）や「機密だが非機密」（SBU）など）が付いた文書は、CUIの要件に合わせるために、表示の変更または編集について見直す必要があります。
旧式の標識はいつ更新する必要があるのか​​？
文書が内部的に保管される場合（回答A - 不正解）：国防総省の管理下にある文書は、外部に共有されない限り、直ちに再マーキングする必要はありません。
文書が機密扱いの場合（回答 B - 不正解）：この質問は機密情報ではなく、CUI に関するものです。機密レベルの文書は、国防総省マニュアル 5200.01 に基づく異なるマーキング規則に従います。
ドキュメントが外部に共有されている場合（回答C -​​ 正解）：
国防総省指令5200.48、第3.6項(a)によれば、組織は組織外に文書を共有する前に、過去の記録を精査しなければならない。
当該文書は、配布前にCUIプログラムに準拠して再マークされなければならない。
元の文書に CUI が含まれていない場合 (回答 D - 不正解): 元のソース文書の状態は、派生文書に CUI が含まれている場合に、派生文書を再マークする要件には影響しません。
結論
正解はCです。旧来のマークが付いた文書は、組織外で共有する際に、国防総省のCUIガイドラインに準拠するために、マークを付け直すか、編集する必要があります。
国防総省指令5200.48（機密解除された管理情報）
米国国立公文書館（NARA）によるCUIマーキングハンドブック、CUI環境向けCMMC 2.0スコープガイド

CMMC評価要件の理解
* CMMC評価では、セキュリティ対策への準拠を確認するために3つの評価方法を使用します。
* 調査 - 文書、ポリシー、ログ、または記録を確認する。
* インタビュー - 担当者と話をして、理解度と実行状況を確認する。
* テスト - 技術的または運用上の手段によって、その手順が実行されていることを確認すること。
提示されたシナリオにおける評価結果
* 練習は毎月実施されていると記録されているが、ログには四半期ごとの実施が示されている。
* インタビューでは月次で実施されているとされているが、文書ではこの主張を裏付けていない。
組織が実践に失敗する理由
* 回答 A (不正解): 作業は実行されているが、ドキュメントが不足しているため、失敗は実行不足だけが原因ではない。
* 回答 B（不正解）：記録された頻度がログの証拠と一致しないため、手順は完全に記録されたとおりに実行されていません。
* 回答C（正解）：CMMCでは、3つの評価方法（調査、インタビュー、テスト）すべてが一致している必要があります。ログに記載されている頻度と矛盾するため、この方法は準拠していません。
* 回答 D (不正解): インタビューでの回答だけでは不十分です。CMMCCAP ガイドおよび NIST SP 800-171 では、ログ (調査) と技術的検証 (テスト) による裏付けが必要です。
結論
* 正解はCです。組織が実務に合格するには、3つの評価方法すべてにわたる証拠を提出する必要があります。
:
CMMC評価プロセス（CAP）ガイド - Cyber​​ AB
NIST SP 800-171A - CUIのセキュリティ要件の評価
DoD CMMC 2.0 スコープ設定および評価ガイド

SI.L2-3.14.7（不正使用の特定）の評価目標は、次の2つの成果に焦点を当てています。(a) 組織がシステムの正規使用を定義していること、(b) 組織が不正使用が発生した際にそれを特定できること。したがって、最も有力な証拠は、組織がシステムを積極的に監視し、定義された正規使用の基準範囲外の活動を検知および認識できることを示す証拠です。
DoD CMMC評価ガイド - レベル2（v2.13）のSI.L2-3.14.7の「潜在的な評価方法と対象」では、継続的な監視戦略、システムおよび情報整合性ポリシー、システム監視ツールと技術に関する手順、技術的な監視機能（IDS/IPSなどのツール/技術）など、監視と検出に直接関連する成果物が強調されています。
（監査記録の監視、ネットワーク監視など）。
これらの成果物は、不正使用が実際に特定されていること（アラート、ログ、相関関係、レビュープロセス）と、許可された使用が定義されていること（何が許可されているかを確立するポリシー/標準）をまさに証明するものです。
「承認済み」は「承認されていない」と区別できるように表示されている。
対照的に、リスク評価／対応とインシデント対応は関連するプログラム要素ではありますが、組織が不正使用を継続的に検知していることを示す主要な証拠ではありません。評価ガイドは監視対象に重点を置いているため、システム監視が最良の証拠となります。

CMMC 2.0インシデント対応の実践方法を理解する
CMMC 2.0 レベル 2 のインシデント対応 (IR) ドメインは、インシデント対応能力を確立および維持するための要件を定義する NIST SP 800-171 のセクション 3.6 に準拠しています。
「A. IR.L2-3.6.1: インシデント対応」が正しい理由は？
提供された文書には、準備、検出、分析、封じ込め、復旧、およびユーザー対応活動を含むインシデント対応機能について説明されています。
IR.L2-3.6.1では、組織に対し、以下の事項を網羅するインシデント処理プロセスを確立することを具体的に要求しています。
準備
検出と分析
封じ込め
根絶と回復
事後対応
他の回答が間違っている理由とは？
B). IR.L2-3.6.2：インシデント報告（誤り）
インシデント報告は、外部機関（例：国防総省、DIBNet）へのインシデント報告に重点を置いており、提供されたドキュメントの説明とは異なります。
C). IR.L2-3.6.3: インシデント対応テスト（不正解）
インシデント対応テストは、対応プロセスが定期的にテストおよび評価されることを保証するものであり、提供されるドキュメントの主な焦点ではありません。
D)。 IR.L2-3.6.4: 流出事件 (誤)
インシデント漏洩とは、具体的にはCUIへの曝露、または許可されていないCUIの取り扱いに関するインシデントを指し、これはここで説明されているシナリオとは異なります。
結論
正解はAです。IR.L2-3.6.1：インシデント処理。文書にはインシデント対応能力の確立が明記されています。
参考文献：
CMMC 2.0 レベル2の実施基準（NIST SP 800-171、セクション3.6）
CMMC評価プロセス（CAP）ガイド