米国国立公文書館（NARA）は、米国連邦政府における機密指定されていない管理情報（CUI）プログラムを監督する権威ある機関です。NARAは、CUIのすべてのカテゴリー、サブカテゴリー、および関連する表示に関する決定的な情報源であるCUIレジストリを管理しています。このレジストリは、CUIの識別と取り扱いに関する包括的なガイダンスを提供し、連邦政府機関とその請負業者全体で標準化された慣行を保証します。
その他の選択肢は以下のとおりです。
* CMMC-AB：サイバーセキュリティ成熟度モデル認証認定機関は、CMMCプログラムの監督責任を負いますが、CUI分類の管理は行いません。
* 国防総省請負業者向け FAQ: これは国防総省の請負業者にガイダンスを提供する可能性がありますが、CUI データ分類に関する権威ある情報源ではありません。
* OSCのプライバシーポリシー：認証を求める組織の内部ポリシーは、その組織自身のデータ処理慣行に関するものであり、CUIの分類に関して権威を持つものではありません。
したがって、CUIデータ分類に関する信頼できる情報については、NARAのCUIレジストリが適切な情報源となります。

サイバーセキュリティ成熟度モデル認証（CMMC）2.0は、主に米国国立標準技術研究所（NIST）の2つの主要な特別刊行物に基づいています。
NIST SP 800-171 - 「非連邦システムおよび組織における管理対象非機密情報（CUI）の保護」 NIST SP 800-172 - 「管理対象非機密情報を保護するための強化されたセキュリティ要件：NIST特別刊行物800-171の補足」 参照と内訳：
NIST SP 800-171
この文書はCMMC 2.0の中核となる基盤であり、連邦政府以外のシステムにおける機密指定されていない管理情報（CUI）を保護するためのセキュリティ要件を定めています。
NIST SP 800-171 Rev. 2の110のセキュリティ管理項目は、CMMCレベル2に直接対応しています。
NIST SP 800-172
この補足資料には、高度な持続的脅威（APT）に直面する高価値のCUI（機密情報）を扱う組織向けの強化されたセキュリティ要件が含まれています。
これらの強化された要件は、CMMC 2.0モデルにおけるレベル3に適用されます。
誤った選択肢を排除する：
B). DFARS、FIPS 100、およびNIST SP 800-171#不正解
DFARS 252.204-7012ではNIST SP 800-171への準拠が義務付けられているが、FIPS 100は関連するサイバーセキュリティ標準としては存在しない。
C). DFARS、NIST、カーネギーメロン大学#不正解
CMMCはDFARSおよびNISTに準拠していますが、カーネギーメロン大学によって開発されたものではなく、また同大学が直接影響を与えたものでもありません。
D). DFARS、FIPS 100、NIST SP 800-171、およびカーネギーメロン大学#誤り。FIPS 100は関係ありませんし、カーネギーメロン大学はCMMCフレームワークの定義エンティティではありません。
回答を裏付ける公式CMMC 2.0参照資料：
CMMC 2.0 スコープガイド（2023年）は、CMMCレベル2がNIST SP 800-171に完全に基づいていることを確認しています。
CMMC 2.0 レベル 3 ドラフト文書では、強化されたセキュリティ要件に関して、NIST SP 800-172 を明示的に参照しています。
国防総省暫定規則（DFARS 252.204-7021）は、組織がCUI保護に関してNIST SP 800-171を満たすことを義務付けています。
最終結論：
CMMC 2.0モデルはNIST SP 800-171とNIST SP 800-172のみに基づいて作成されているため、回答Aが唯一の正解です。

CMMCレベル2最終報告書の要件を理解する
CMMCレベル2評価の場合、最終CMMC評価結果報告書には以下を含める必要があります。
各診療所の評価結果
各診療所の最終評価（達成または未達成）
「未達成」と評価された各項目について、詳細な根拠を示す。
「B. 各失敗事例に対する文書化された根拠」が正しい理由は？
CMMC評価プロセス（CAP）ガイドでは、ある基準が満たされていないと判断された場合、評価者はその基準を満たしていない理由を説明する根拠を提示しなければならないと規定されている。
この根拠は、OSCが是正が必要な事項を理解し、該当する場合は、その不備が行動計画およびマイルストーン（POA&M）によって対処可能かどうかを判断するのに役立ちます。
最終報告書は公式記録として機能し、結果報告書の一部として提出されなければなりません。
他の回答が間違っている理由とは？
A) 各実践または管理に対する肯定（誤り）
報告書には各診療行為に対する「完了／未完了」の評価が含まれていますが、承認は必須項目ではありません。
C) 各失敗例に対する改善案（誤り）
評価者は改善のための提言は行わず、調査結果と根拠のみを記録する。
提案を行うことは、CMMC-ABの専門職倫理規定に基づき、利益相反を生じさせることになります。
D) 相互主義モデルによるギャップやデルタは、満たされたと記録される（誤り）組織が相互主義（例：FedRAMP、共同監視自主評価）を活用している場合でも、ギャップは文書化されなければならず、「満たされた」と自動的にマークされることはありません。結論 正解はBです。これは、最終CMMC評価結果レポートの必須要件であるため、失敗した各プラクティスの根拠を文書化する必要があります。
参考文献：
CMMC評価プロセス（CAP）ガイド
DFARS 252.204-7021

この質問は、CMMC評価チームがレベル2評価において、ある診療所をMETと評価するために必要な最低限の証拠要件に関するものです。
CMMCレベル2の評価は、NIST SP 800-171に準拠し、特に証拠収集と採点方法に関して、CMMC評価プロセス（CAP）ガイドv1.0に概説されている手順に従う必要があります。
#ステップ 1: CMMC 評価プロセス (CAP) ガイド v1.0 を参照します。CAP v1.0 - セクション 3.5.4: 証拠の評価とスコアリング 実践「MET 判定を行うには、評価チームは、成果物の検査、インタビュー (確認)、またはテスト (実証) のいずれかを通じて、少なくとも 2 種類の客観的証拠を収集し、裏付けなければなりません。」これは、以下の証拠のうち少なくとも 2 種類が必要であることを意味します。
* 調査（文書/成果物）、
* 面接（担当者からの確認）
* テスト（実装のデモンストレーション）。
#ステップ2：評価される実践の公式最低基準を明確にするCAPは明確に次のように述べています。
「診療行為がMETと評価されるのは、EIT（診察、面接、検査）の3つの要素から少なくとも2種類の証拠が適切に収集され、評価された場合に限られる。」
* 証拠の種類は、例えば以下の2つの異なるカテゴリーから取得する必要があります。
* 遺物（調査）＋インタビューでの肯定（インタビュー）、
* 実演（テスト）＋面接（インタビュー）
* その他
この相互検証により、制御策が確実に実施され、文書化され、担当者に理解されていることが保証されます。これは、効果的なサイバーセキュリティの実装を評価する上での中核となる原則です。
#他の選択肢が間違っている理由A. すべてのコントロールについて、3 種類の証拠すべてが文書化されている#間違い: 3 種類すべて (EIT) を収集することで評価は強化されますが、最低限必要なのは 2 種類だけです。実践が MET と評価されるために、3 種類すべてを収集する必要はありません。
B: 3 種類の証拠のうちの 1 つから証拠を検討し、受け入れる#不正解:これは CAP が定める最低 2 種類の証拠の要件を満たしていません。単一の情報源からの証拠では、実践を MET と評価するには不十分です。
C: 次のいずれかを完了してください。2 つの遺物を調べる、1 つの実演を観察する、または 1 つの確認を受け取る#誤り: 2 つの遺物を調べても、これは証拠の種類 (調べる) の 1 つだけです。CAP では 2 種類の証拠が必要であり、同じ種類の証拠が 2 つ必要ではありません。
#Dが正解である理由D. 次の2つを完了する：1つのアーティファクトを検査する、1つのコントロールの満足のいくデモンストレーションを観察する、またはOSC職員から1つの確認を受ける。
# これは、診療がMETであるかどうかを判断するために、2種類の異なる客観的証拠を収集するというCAPの要件を直接反映しています。
要点：CMMCレベル2の実践をMETと評価するには、評価チームは、検査、インタビュー、テスト（EIT）のカテゴリから少なくとも2種類の異なる証拠を収集する必要があります。
この要件は、CMMC評価プロセス（CAP）v1.0に明確に記載されています。

このシナリオでは、十分な物理的セキュリティ対策（具体的には、施錠されたキャビネットや引き出しがない）が欠如している環境において、機密指定されていない管理情報（CUI）を保護することが主な懸念事項となります。
CMMC評価プロセス（CAP）およびNIST SP 800-171（特に物理的保護（PE）ファミリー）によれば、CUIは常に不正アクセスから保護されなければならない。
評価者の責任：CMMCプロフェッショナル（CCPおよびCCA）は、CMMC専門職行動規範およびC3PAOの内部セキュリティプロトコルに従い、認証を求める組織（OSC）から提供されるCUIが安全に取り扱われることを保証する義務があります。
物理的保護（PE.L2-3.10.1 および PE.L2-3.10.2）：これらの手順では、組織がシステムおよび機器への物理的アクセスを許可されたユーザーに限定し、物理的な施設を保護することが求められます。
「ホテルスペース」では、CUIを夜間安全に保管するための施錠可能な容器（キャビネットなど）が提供されていないため、CUIを施錠されていない引き出し（オプションC）や机の上（オプションB）に放置することは、CUIの取り扱いに関する要件に違反し、セキュリティ上のリスクとなります。
オプションAが最適な「次のステップ」である理由：現場に安全な保管場所がない場合、評価者は機密情報（CUI）を確実に管理する必要があります。評価者が管理下に置くことができる安全な場所（評価者のホテルの部屋や本人など）に文書を持ち込むことが、夜間に顧客サイトで清掃員やその他の許可されていない人員による不正アクセスを防ぐ唯一の有効な方法です。
他の選択肢が間違っている理由：
オプションBとC：どちらも、安全性の低い共有環境において、CUIを不正アクセスから保護することができません。
選択肢D：個人用携帯電話でCUIの写真を撮ることは、重大なセキュリティ違反（情報漏洩）です。なぜなら、個人用デバイスは通常、CUIを保存または処理することが許可されていないからです。
参考資料：
CMMC評価プロセス（CAP）v1.0：「CUIおよび専有情報に対する評価者の責任」に関するセクション。NIST SP 800-171 Rev 2：物理的保護（PE）ファミリー（3.10.1、3.10.2）。
国防総省指令5200.48「管理対象非機密情報（CUI）」では、CUIは権限のある個人の直接の管理下にない場合、少なくとも1つの物理的な障壁によって保護されなければならないと規定されています。