In the context of CMMC 2.0 assessments, thesufficiency criteriaare used to determine whether the assessment team has gathered enough evidence to support their conclusions about compliance with a given requirement.
* Definition of Sufficiency Criteria:
* Sufficiency refers to thequantityandcompletenessof the evidence collected during an assessment.
* This ensures that the evidence collected isenough to support an objective and valid determinationof compliance.
* Why Sufficiency Matters in CMMC 2.0:
* Assessors must ensure that the amount of evidence collected isadequate to substantiate findingswithout doubt or gaps.
* This prevents situations where an organization might claim compliance but lacks thenecessary documentation, technical evidence, or procedural validationto prove it.
* Official CMMC 2.0 References:
* TheCMMC Assessment Process (CAP) Guidedefines sufficiency as a key factor in validating assessment findings.
* According toCMMC 2.0 Level 2 Scoping Guidance, assessors must apply sufficiency criteria when reviewingartifacts, documentation, interviews, and system configurations.
* TheDoD CMMC Assessment Guide(aligned with NIST SP 800-171A) emphasizes that compliance decisions must besupported by a sufficient amount of verifiable evidence.
* Comparison with Other Criteria:
* Adequacy Criteria# Focuses onqualityof the evidence, not the quantity.
* Objectivity Criteria# Ensures evidence isunbiased and impartial, not necessarily complete.
* Subjectivity Criteria# Not applicable in CMMC since assessments must beobjective and based on factual evidence.
Step-by-Step Breakdown:Conclusion:To verify compliance in CMMC 2.0 assessments, the assessment team must ensuresufficientevidence is available to support a determination. This makes"Sufficiency Criteria" (Option C)the correct answer.

CMMC評価方法の理解サイバーセキュリティ成熟度モデル認証（CMMC）2.0は、NIST SP 800-171A評価方法論に準拠しており、これには3つの主要な評価方法が含まれます。
* 調査 - ポリシー、手順、システム構成、およびドキュメントを確認します。
* インタビュー - 担当者と面談し、セキュリティ対策に関する理解度と実行状況を確認する。
* テスト - セキュリティ制御が期待どおりに機能するかどうかを判断するために、実際の技術的または運用上のテストを実施する。
*「テスト」とは、実際に指定された条件と期待される動作を比較する方法です。
* これは、システムが要求どおりに動作するかどうかを確認するために、手順、構成、または自動化ツールを実行することを含みます。
例えば、ポリシーで多要素認証（MFA）を強制する必要があると規定されている場合、テストではMFAなしでログインを試みて、期待どおりにアクセスがブロックされるかどうかを確認します。
* NIST SP 800-171A ガイド（CUIの評価手順）では、テストを次のような評価方法として定義しています。
* セキュリティ制御が機能していることを積極的に検証する
* 現実世界の攻撃シナリオをシミュレートします
* 文書ではなくシステムアクションを通じてコン​​プライアンスをチェックする
* B. 検査する（不正解）
* 調査とは、ポリシー、手順、または構成を確認することのみを指し、システムの動作を積極的にテストするものではありません。
* C. コンパイル（誤り）
* 「コンパイル」は、CMMC 2.0 または NIST SP 800-171A の評価方法ではありません。
* D. インタビュー（不正解）
インタビューは従業員から意見を収集するために用いられるが、実際の状況と期待される行動を比較するものではない。
正解はAです。テストは、想定されるセキュリティ条件に対してシステムのパフォーマンスを積極的に検証するためです。
参考文献：
NIST SP 800-171A、「CUIのセキュリティ要件の評価」
CMMC 2.0評価プロセス（CAP）ガイド
国防総省CMMCスコープ設定および評価ガイドライン