CMMC 2.0 レベル 2 アセスメントにおける報告プロセスの理解 認定第三者評価機関 (C3PAO) が実施する CMMC レベル 2 アセスメントは、証拠の収集、コンプライアンスの評価、および認証取得組織 (OSC) への結果報告について、構造化されたアプローチに従います。報告プロセスは、CMMC アセスメント プロセス (CAP) ガイドに概説されており、結果の伝達方法が規定されています。
* 毎日のチェックポイント：
* 評価期間中、評価チームはOSCと毎日チェックポイント会議を開催し、進捗状況、観察事項、および予備的な調査結果について最新情報を提供する。
* これらのチェックポイントは透明性を確保し、OSCが軽微な問題が発生した場合に対処できるようにするものです。
* 最終結果の発表:
最終評価結果は通常、毎日の最終チェックポイントで共有されるか、または別途スケジュールされた所見と推奨事項のレビュー会議で共有されます。
* これにより、公式報告書が提出される前に、OSC（オンタリオ州検察庁）が評価結果の構造化された完全な要約を受け取ることが保証されます。
* CMMC評価プロセス（CAP）ガイドのセクション4.5では、評価結果は最終日次チェックポイントまたは別途スケジュールされた最終レビューのいずれかで提示されるべきであると明確に述べられています。
* これは、透明性を維持し、最終報告書の提出前にOSCが評価結果を明確に把握できるようにするためのベストプラクティスに沿ったものです。
* オプションA（毎日終了時）は誤りです。評価者は最新情報を提供しますが、毎日「最終結果」を提供するわけではありません。
* オプション B (毎日と別途の最終レビュー) は誤解を招く表現です。CAP ガイドでは、評価者は毎日の最終チェックポイントまたは別途の所見レビューのいずれかを選択でき、両方を選択することはできません。
* オプションD（C3PAOの承認後）は誤りです。C3PAOは、調査結果がOSCに伝達される前に承認を行うことはありません。評価チームが最初に直接結果を提示します。
* CMMC評価プロセス（CAP）ガイド、セクション4.5：報告と結果の伝達
* CMMC 2.0 レベル2評価プロセスの概要
* CMMC評価最終報告書ガイドライン
評価コミュニケーション構造オプションCが正しい理由公式CMMCドキュメント参照最終検証公式CMMC 2.0ドキュメントに基づくと、最終評価結果は、毎日の最終チェックポイントまたは別途スケジュールされたレビューセッションでOSCに提示される必要があり、オプションCが正解となります。

CMMC 2.0フレームワークは、CUIを処理、保存、または送信する非連邦システムに適用されます。
スコープ設定によって、どのシステムコンポーネントがCMMCの基準に準拠する必要があるかが決定されます。
システムがCUI（機密情報）を処理、保存、または送信する場合、あるいはこれらのシステムのセキュリティを提供する場合は、評価範囲に含める必要があります。
CMMCは請負業者に適用され、連邦政府のシステムには適用されない。
CMMCは、国防総省（DoD）の請負業者向けに設計されており、連邦政府のシステム向けではありません。
連邦政府のシステムは既にNIST SP 800-53およびその他の規制によって管理されている。
対象範囲には、CUIを処理するシステムと、それらを保護するシステムの両方が含まれます。
CUIを処理、保存、または送信するシステムは対象範囲に含まれる。
CUIシステムを保護するシステム（ファイアウォール、監視ツール、セキュリティ機器など）も対象範囲に含まれます。
A) CUIを処理、保存、または送信する連邦システム。#不正解
CMMCは連邦政府システムには適用されません。
B) CUIを処理、保存、または送信する非連邦システム。#部分的に正しいが不完全。CUI資産を保護するセキュリティシステムは除外されているが、それらも対象に含まれる。
C) CUIを処理、保存、または送信する連邦システム、またはシステムコンポーネントを保護する連邦システム。
＃正しくない
CMMCは連邦政府以外のシステムにのみ適用されます。
CMMCスコープガイド（2021年11月）- CMMCがCUIを処理する非連邦システムにも適用されることを確認します。
NIST SP 800-171 Rev. 2 - CUIを扱う非連邦システムのセキュリティ要件を規定します。
DFARS 252.204-7012 - 国防総省の請負業者に対し、CUIを扱う非連邦システムでNIST SP 800-171を実施することを義務付けています。
CMMC 2.0 のスコープの理解正解が「D. CUI を処理、保存、または送信する非連邦システム、またはシステム コンポーネントを保護するシステム」である理由?他のオプションではない理由?関連する CMMC 2.0 の参照:最終的な正当化:CMMC は、CUI を処理する非連邦システム、またはそれらのシステムを保護する非連邦システムに適用されるため、正解は D. CUI を処理、保存、または送信する非連邦システム、またはシステム コンポーネントを保護するシステムです。

CMMC 2.0における構成管理（CM）の役割を理解する
CMMC 2.0の構成管理（CM）ドメインは、脆弱性を引き起こす可能性のある不正な変更や不要な変更を防止するために、システムが安全に構成および維持されることを保証します。CMにおける重要な要件の1つは、セキュリティリスクを軽減するために、重要でないプログラムの使用を制限、無効化、または防止することです。
関連するCMMC 2.0の実践例：
CM.L2-3.4.1 - 組織システムで使用される情報技術製品のセキュリティ構成設定を確立し、適用する。
この慣行では、組織はシステム構成を管理し、攻撃対象領域を縮小するために、不要なプログラム、機能、ポート、およびサービスを削除または制限することが求められます。
目標は、システム上で必要かつ承認されたソフトウェアのみが実行されるようにすることで、サイバー脅威への曝露を最小限に抑えることです。
正解がCM（D）である理由は？
A). アクセス制御（AC）# 不正解
アクセス制御（AC）は、プログラムの制限ではなく、システムやデータに対するユーザーの権限とアクセスを管理することに重点を置いています。
B). メディア保護 (MP) # 不正解
メディア保護（MP）は、ソフトウェアやシステム構成ではなく、リムーバブルメディア（USBメモリ、ハードドライブなど）の保護と制御を扱います。
C). 資産管理（AM）# 不正解
資産管理（AM）とは、IT資産を識別し追跡することであり、ソフトウェアの設定や制限を行うことではない。
D). 構成管理 (CM) # 正解
CMは、不要なプログラム、ポート、サービス、および機能を制限することによってシステム構成を保護することを明確に規定しているため、これが正解です。
この回答を裏付けるCMMC 2.0の参考文献：
CMMC 2.0 実践 CM.L2-3.4.1（セキュリティ構成管理）
システムを保護するために、組織はセキュリティ構成設定を遵守し、不要なプログラムを削除することが求められる。
NIST SP 800-171 要件 3.4.1
セキュリティリスクを防止するため、安全な構成設定をサポートし、不正なアプリケーションを制限します。
CMMC 2.0 レベル2要件
この慣行はレベル2（上級）の要件であり、機密指定されていない管理情報（CUI）を取り扱う組織はこれに従わなければなりません。

メディア保護（MP）領域の理解
CMMC 2.0のメディア保護（MP）ドメインは、管理対象非機密情報（CUI）を含む物理的またはデジタルメディアを扱うために必要なセキュリティ要件に焦点を当てています。
このドメインには以下の制御が含まれます。
CUI（機密情報）を保存するデジタルメディアおよび物理メディアを保護する。
廃棄または再利用前に、メディアを消毒および破壊する。
CUIメディアへのアクセスを許可された担当者のみに制限する。
正解が「A. メディア保護（MP）」である理由は？
MPドメインは、暗号化、アクセス制御、保管、廃棄など、CUIメディアの取り扱いに関する要件に直接対応します。
CMMC 2.0レベル2は、CUIを含むメディアを管理するためのMPコントロールを含むNIST SP 800-171に準拠しています。
他の選択肢を選ばない理由は？
B). 物理的保護（PE）#不正解
PEは、物理的なセキュリティ（例：施設へのアクセス、訪問者ログ、物理的な障壁）に焦点を当てており、メディア上のCUIの取り扱いには焦点を当てていません。
C). システムおよび情報インテグリティ（SI）#不正解
システム監視、脆弱性管理、インシデント対応に関するアイデアであり、メディア保護に関するアイデアではありません。
D). システムおよび通信保護（SC）#不正解
SCはネットワークセキュリティ、暗号化、安全な通信を扱いますが、メディア処理には特化していません。
関連するCMMC 2.0の参考文献：
CMMC レベル 2 プラクティス MP.3.125 - CUI を含むメディアの適切な取り扱いを確保することにより、CUI を保護します。
NIST SP 800-171 (MPファミリー) - CUIを含むデジタルおよび物理メディアの取り扱いに関するセキュリティ要件を規定する。
CMMCスコープガイド（2021年11月）- MPコントロールがCUIを保存、処理、または送信するすべてのメディアに適用されることを確認します。
最終的な正当化：
メディア保護（MP）はCUIを含む資産の取り扱いを直接扱うため、正解はAです。
メディア保護（MP）。

Understanding the "Verify Evidence and Record Gaps" Activity in a CMMC Assessment During aCMMC Level 2 Assessment, theAssessment Teamfollows a structured methodology toverify evidenceand determine whether theOrganization Seeking Certification (OSC)has met all required practices.
One of the key activities in this process is"Verify Evidence and Record Gaps", which ensures that the assessment findings accurately reflect any missing or inadequate compliance evidence.
Step-by-Step Breakdown:
#1. Primary Intent: Identifying Gaps Between Required and Collected Evidence TheAssessment Teamcompares the evidence provided by the OSC against theCMMC practice requirements.
If evidence ismissing, insufficient, or inconsistent, assessors mustdocument the gapand describe what is lacking.
This ensures that compliance deficiencies are clearly identified, allowing the OSC to understand what must be corrected.
#2. How This Process Works in a CMMC Assessment
Assessorsreview collected documentation, system configurations, policies, and interview responses.
They verify that the evidencematches the expected implementationof a practice.
If gaps exist, they arerecordedfor discussion and potential remediation before assessment completion.
#3. Why the Other Answer Choices Are Incorrect:
(A) Map test and demonstration responses to CMMC practices.#
Incorrect:While mapping evidence to CMMC practices is part of the assessment, theprimary intentof the
"Verify Evidence and Record Gaps" step is toidentify deficiencies, not just mapping responses.
(B) Conduct interviews to test process implementation knowledge.#
Incorrect:Interviews are a method used during evidence collection, but they arenot the primary focusof the verification and gap analysis step.
(C) Determine the one-to-one relationship between a practice and an assessment object.# Incorrect:The assessment teamreviews multiple sources of evidencefor each practice, and some practices require multiple assessment objects. The goal isnot a strict one-to-one mappingbut rathera holistic validation of compliance.
Final Validation from CMMC Documentation:
CMMC評価プロセスガイドでは、「証拠の検証とギャップの記録」は、評価者が期待される証拠と提出された証拠を比較し、不一致を文書化するステップであると規定されています。これにより、評価結果と是正計画の透明性が確保されます。
したがって、正解は次のとおりです。
D) 評価チームが要求した内容と収集した証拠との間の相違点を特定し、説明する。