CMMC評価の計画と準備には、評価者と認証取得希望組織（OSC）との連携が不可欠であり、評価範囲、必要な証拠、およびロジスティクスを決定する必要があります。この計画プロセスは動的であり、新たな情報が得られるにつれて適応していく必要があります。
正解が「D」である理由は？
評価範囲および要件は変更される場合があります
評価担当者が証拠を収集し、環境を分析する過程で、資産、ネットワーク、セキュリティ管理に関する新たな詳細情報が得られた場合、評価計画の調整が必要になる可能性があります。
CMMC評価プロセス（CAP）ガイドでは、評価要件と範囲は、リアルタイムの調査結果を反映させるために継続的に見直し、更新する必要があることを強調しています。
評価者は適応的なアプローチを採用する
CMMC評価の過程で、組織は追加のFCIまたはCUI資産を発見する可能性があり、それによって評価対象となるセキュリティ対策が変更される場合があります。
評価者は、当初の不変の計画に厳密に従うのではなく、状況に応じて評価方法を見直すべきである。
他の選択肢を選ばない理由は？
A) 評価範囲の設定は簡単で心配無用です#不正解
スコープ設定は、OSCの情報システムと資産を慎重に評価する必要がある、重要かつ複雑なプロセスです。
CMMCスコープ設定ガイドでは、対象となる資産を特定することは非常に重要であり、相当な労力を要すると述べている。
B) 合意された当初の計画は変更できない.偽
初期評価計画は出発点に過ぎず、リアルタイムの調査結果に基づいて柔軟に対応できるものでなければならない。
CMMC CAPガイドは、評価プロセスにおける継続的な改善を重視しています。
C) OSCの担当者が証拠を提出する期限と大まかな目安が定められています。#誤り 期限はありますが、重要な焦点は、厳密な期限に間に合うように急ぐのではなく、必要なすべての証拠が正確に収集されていることを確認することです。
関連するCMMC 2.0の参考文献：
CMMC評価プロセス（CAP）ガイドでは、追加情報が収集されるにつれて、評価要件と計画を更新する必要があると規定されています。
CMMCスコープ設定ガイド（2021年11月）- 評価者は、プロセス全体を通して、スコープ内の資産と要件を継続的に精査する必要があることを説明しています。
最終的な正当化：
評価計画は動的なプロセスです。評価者は、新しい情報が現れたら要件と計画を継続的に見直し、更新する必要があります。Dが正解です。

* 米国国防総省（DoD）は、契約に関わる情報の機密性に基づいて、必要なCMMCレベルを決定します。
* 必要なCMMCレベルは、情報提供依頼書（RFI）および提案依頼書（RFP）に明記されています。
参照：
DFARS 252.204-7021（CMMC要件）
CMMC 2.0 プログラムドキュメント
ステップ2：他の選択肢が間違っている理由B. NARA（不正解）：
米国国立公文書館（NARA）はCUIプログラムの方針を監督するが、CMMCレベルを割り当てる権限はない。
C: NIST (不正解):
米国国立標準技術研究所（NIST）はサイバーセキュリティフレームワーク（例：NIST SP）を開発しています。
800-171）だが、契約書にCMMCレベルを明記していない。
D：国土安全保障省（誤り）：
国土安全保障省（DHS）は国家レベルでのサイバーセキュリティを担当していますが、CMMCは特に国防総省の請負業者に適用されます。
正解の最終確認：国防総省は、RFIおよびRFPにおいて必要なCMMCレベルを決定し、規定します。

CMMC評価プロセス（CAP）によれば、特にフェーズ4：結果報告の要件において、C3PAOは、すべての評価パッケージが最終化され国防総省（DoD）に提出される前に、厳格な品質レビューを受けることを保証しなければならない。
CQAPの役割：CMMC品質保証専門家（CQAP）は、C3PAO内の指定された役割であり、評価がCAPに従って実施されたこと、および収集された証拠（「アーティファクト」）が調査結果（達成/未達成）を裏付けていることを検証する責任を負います。
必須事項：最終推奨評価結果を作成する際、CQAPからの正式なレビュー文書がなければ、パッケージは完全または有効とはみなされません。この文書は、C3PAOの内部品質管理システム（QMS）が評価チームの作業を検証したことを示す「承認印」となります。
他の選択肢が間違っている理由：
オプションA：評価計画は計画段階で必須の文書ですが、品質検証と同様に最終結果生成の必須コンポーネントではなく、プロセスへのインプットです。
オプションB：日々のチェックポイントは、「評価の実施」フェーズ中にOSCに情報を提供するために使用される管理ツールです。これらは評価記録の一部ではありますが、最終結果パッケージの必須の技術的構成要素ではありません。
オプションC：契約は「計画と準備」フェーズで処理される法的/ビジネス上の要件であり、国防総省にアップロードされる技術評価結果には含まれません。
参考資料：
CMMC評価プロセス（CAP）v1.0：セクション4.2（評価レポートの最終化）およびセクション4.3（C3PAO品質レビュー）。
C3PAO認証要件：エコシステム全体における一貫性と完全性を確保するため、すべての評価結果をレビューする品質保証（QA）機能が必要であることを規定します。

FAR条項52.204-21の理解連邦調達規則（FAR）条項52.204-21は「対象となる請負業者情報システムの基本的な保護」と題されています。この条項は、連邦契約情報（FCI）を扱う連邦政府請負業者に対する最低限のサイバーセキュリティ要件を定めています。
FAR条項52.204-21の主な目的FAR 52.204-21の主な目的は、請負業者がFCIを処理、保存、または送信する情報システムに基本的なサイバーセキュリティ保護を適用することを保証することです。
これらの最低限の安全対策要件は、米国政府と取引を行う請負業者にとっての基本的なセキュリティ基準として機能する。
* FAR 52.204-21では、請負業者に特定のサイバーセキュリティツールをインストールすることを義務付けていません（オプションAは除外されます）。
* これは、完全なセキュリティに必要なすべてのサイバーセキュリティ対策ではなく、最低限の安全対策のみを概説しています（オプションBを排除）。
* この条項のみではCMMC認証は義務付けられていません（オプションDは除外されます）。
* その代わりに、FCIを保護するためにすべての連邦政府契約業者が従わなければならない基本的な「注意基準」を確立します（したがって、選択肢Cが正解です）。
「最低限のケア基準」が正しい理由は何ですか？回答の選択肢の内訳オプションの説明正しいですか？
A：この条項は、対象となるすべての請負業者に対し、当該条項に記載されているサイバーセキュリティシステムを設置するよう指示しています。
#誤り - この条項ではツールを指定したり、特定のサイバーセキュリティシステムを要求したりしていません。
B：これは、請負業者が対象となる請負業者情報システム（IS）を保護するために講じなければならないすべての安全対策について説明しています。
#誤り - これは最低限の要件のみを設定しており、可能なすべてのセキュリティ対策を設定しているわけではありません。
C：これは、請負業者が対象となる請負業者ISを確保するために取るべき最低限の注意基準を説明するものです。
#正しい - この条項は、基本的な安全対策を最低限のセキュリティ基準として定義しています。
D. 対象となる請負業者に対し、契約で定められた最低要件と同等のレベルのCMMC認証を取得するよう指示する。
#誤り - FAR 52.204-21はCMMC認証を義務付けていません。その要件はDFARSによるものです。
252.204-7012および7021。
FAR 52.204-21に基づく最低限のセキュリティ要件 この条項では、CMMCレベル1に準拠した15の基本的なセキュリティ管理策を定義しています。例としては、以下のものがあります。
#アクセス制御 - 許可されたユーザーのみにアクセスを制限します。
#識別と認証 - システムユーザーを認証します。
#メディア保護 - 廃棄前にメディアを消毒してください。
#システムおよび通信保護 - ネットワーク接続を監視および制御します。
* FAR 52.204-21 - FCI の基本的な安全対策要件を定めます。
* CMMC 2.0 レベル 1 - FAR 52.204-21 の管理策に直接準拠しています。
CMMC 2.0 および FAR 文書からの公式参照最終検証と結論正解は C です。これは、請負業者が対象となる請負業者 IS を保護するために取るべき最低限の注意基準を説明しています。これは、FCI のベースライン セキュリティ基準として FAR 52.204-21 の要件と一致します。

CMMC評価プロセス（CAP）およびCMMC 2.0ガイドラインに基づき、評価者は組織が要求されるセキュリティ対策とプロセスを満たしていることを検証するために、客観的な証拠を収集する必要があります。この証拠収集は、主に次の3つの評価方法によって行われます。
* 調査 - 文書、記録、システム構成、その他の成果物のレビュー。
* インタビュー - 担当者と話をして、プロセス、責任、およびセキュリティ管理に関する理解を確認する。
* テスト - システムの動作を観察し、技術的な検証を行い、リアルタイムで制御を実行して有効性を検証します。
* CMMC評価プロセス（CAP）では、評価者はコンプライアンスを判断するために、証拠収集方法（検査、インタビュー、テスト）を組み合わせて使用​​する必要があると規定されています。
* CMMC 2.0 レベル 2 (NIST SP 800-171 に準拠) では、評価者はポリシーと手順が存在するだけでなく、それらが実装され、効果的であることも検証する必要があります。
* （オプションAのインタビューのような）1つの方法だけに頼るのは不十分です。
* すべての実践または目標をテストする（オプションB）必要はありません。評価者は、どの目標をより詳細に調査する必要があるかを判断するために、範囲に関するガイダンスに従います。
* 「特定の」目標のみをテストする（オプションC）ことは、複数の方法から十分な証拠を収集するという要件に完全には合致しません。
* CMMC評価プロセス（CAP）ガイドのセクション3.5 - 評価方法では、試験、面接、テストの使用が効果的な評価の基礎であると明確に定義されています。
* CMMC 2.0 レベル 2 プラクティスおよび NIST SP 800-171 では、評価者がセキュリティ制御の存在、実装、および有効性を検証することが求められています。
* CMMC付録E：評価手順では、評価者はコンプライアンスを判断するために複数の証拠源を使用すべきであると規定されています。
オプション D が正解である理由 CMMC 2.0 および公式文書の参照 最終検証 CMMC 2.0 ガイドラインおよび公式文書への準拠を確保するため、評価者は検査、インタビュー、テストを使用して効果的に証拠を収集する必要があります。そのため、オプション D が正解となります。