監査および説明責任 (AU) ドメインは、NIST SP 800- の 14 のセキュリティ要件ファミリーの 1 つです。
171 Rev. 2 は、CMMC 2.0 レベル 2 で完全に採用されています。
* A. レベル1#不正解
* CMMCレベル1には、FAR 52.204-21の基本的な17の安全対策要件のみが含まれており、監査および説明責任（AU）の実践は含まれていません。
* B. レベル2#正解
* AUドメインはレベル2で必須であり、これはNIST SP 800-171に準拠しています。
* CMMC 2.0 レベル 2 には 110 のセキュリティ管理項目が含まれており、その中で AU 関連の管理項目はログ記録、監視、および説明責任に重点を置いています。
* C. レベル1と2#不正解
レベル1では、監査および説明責任に関する慣行は義務付けられていません。
* D. レベル1と3#不正解
* CMMC 2.0にはレベル1、2、3しかなく、AUはレベル2に含まれているため、レベル3はこの回答には関係ありません。
* NIST SP 800-171 Rev. 2（監査および説明責任 - ファミリー3.3）
* AUドメインは、監査ログの生成、保持、および説明責任に焦点を当てたセキュリティ制御3.3.1～3.3.8で構成されています。
* CMMC 2.0 レベル2の実践（NIST SP 800-171に準拠）
* AU（監査および説明責任）の実践はレベル2でのみ必須です。
提示された選択肢の分析：正解を裏付ける公式資料：結論：AUドメインはCMMC 2.0レベル2にのみ適用されるため、正解は次のようになります。
#B. レベル2。

ステップ1：CMMC評価範囲の決定を理解する
In a CMMC Level 2 assessment, the Organization Seeking Certification (OSC) is responsible for identifying the assessment scope based on the CMMC Scoping Guidance provided by the Cyber AB (Cyber Accreditation Body) and DoD.
The OSC must determine which assets and systems handle Controlled Unclassified Information (CUI) and categorize them accordingly.
Reference:
CMMC Scoping Guidance for Level 2, which outlines asset categorization and scoping considerations.
Step 2: Role of the C3PAO in Scope Validation
Once the OSC has determined its CMMC assessment scope, a CMMC Third-Party Assessment Organization (C3PAO) is responsible for validating the scope during the assessment planning phase.
The C3PAO reviews the OSC's scope to ensure it aligns with DoD's scoping guidance, ensuring that all relevant assets, networks, and policies required for CMMC Level 2 certification are correctly identified.
If there are discrepancies, the C3PAO works with the OSC to adjust the scope before proceeding with the assessment.
Reference:
CMMC Assessment Process (CAP) Guide, which describes the scope validation responsibilities of a C3PAO.
Step 3: Why Other Answer Choices Are Incorrect
Choice A (Incorrect): A CCP (Certified CMMC Professional) does not have the authority to validate the scope. Their role is to guide and consult, but final validation is the C3PAO's responsibility.
Choice C (Incorrect): The CMMC Lead Assessor (part of the C3PAO team) does not determine the scope; instead, the OSC does.
Choice D (Incorrect): The C3PAO validates the scope but does not determine it-this is the OSC's responsibility.
Final Confirmation of Correct Answer:
OSC determines the CMMC Assessment Scope.
C3PAO validates the CMMC Assessment Scope.
Thus, the correct answer is B. "The OSC determines the CMMC Assessment Scope, and the C3PAO validates the CMMC Assessment Scope."

SI.L1-3.14.2 の理解: 悪意のあるコードからの保護の提供CMMC レベル 1 プラクティス SI.L1-
3.14.2は、NIST SP 800-171の要件3.14.2に基づいており、組織には以下のことが求められます。
・悪意のあるコードに対する保護対策を実施する（例：ウイルス対策ソフト、エンドポイントセキュリティソフトウェア）。
* すべての適切な場所（ワークステーション、サーバー、ネットワークエントリポイントなど）でカバレッジが確保されていることを確認してください。
* 保護メカニズムを最新の状態に保つ（例：定期的な署名の更新、ポリシーの適用）。
「MET」評価の評価基準：診療所がMETであるかどうかを判断するために、主任評価者は以下の点を確認する必要があります。
#すべてのワークステーションとサーバーにウイルス対策ソフトウェアまたはエンドポイント保護ソフトウェアがインストールされています。
#このソリューションは一元管理されており、一貫したポリシー適用を保証します。
#署名の更新は最新の状態であり、システムは新たな脅威から保護されています。
#ログまたはレポートは、アクティブな監視と更新を示しています。
正解が「A. 十分であり、監査結果はMETと評価できる」である理由は？提供された証拠は、SI.L1-3.14.2に必要なすべての要件を満たしていることを確認しています。
#すべてのワークステーションとサーバーにウイルス対策ソフトがインストールされています#インストール要件を満たしています。
#集中管理コンソールが導入されています#一貫した執行を保証します。
#記録によると、ウイルス対策シグネチャは最新です#システム保護が最新であることを確認します。
証拠が要件を満たしているため、この慣行はMET（要件を満たしている）と評価されるべきである。
* B. 不十分であり、監査結果は「未達成」と評価される。# 不正解
提出された証拠は必要な要件をすべて満たしているため、当該慣行は「要件を満たしていない」と評価されるべきではありません。
* C. それで十分であり、主任評価者はさらなる証拠を求めるべきである # 不正解
十分な証拠が既に存在する場合は、追加の証拠は不要です。
* D. 不十分であり、主任評価者はさらなる証拠を求めるべきである # 不正解
提出された証拠は管理要件を満たしており、十分である。
他の回答が間違っているのはなぜですか？
* CMMC評価プロセス（CAP）文書
* 十分な証拠が提示された場合、その実践はMETとしてマークできることを指定します。
* NIST SP 800-171（要件3.14.2）
* アクティブなアップデートを備えたウイルス対策ソフトが満たす、標準的な形式的コード保護を定義します。
* CMMC 2.0 レベル 1 (基礎) 要件
* ウイルス対策ソフトのインストールやアップデートなどの基本的なサイバーセキュリティ対策がSI.L1-3.14.2の準拠を満たしていることを明確にします。
この回答を裏付けるCMMC 2.0の参考文献：
最終回答：#A. 十分であり、監査結果はMETと評価できます。

CMMCモデルおよび評価ガイド、特に行動計画とマイルストーン（POA&M）および是正期間に関する規則によれば、認証を求める組織（OSC）は、評価に完全に不合格となることなく、「未達成」の特定の慣行を是正して「達成」ステータスを達成するための限定的な機会が与えられます。
CMMCエコシステムプロトコルに基づいた内訳は以下のとおりです。
180日間のPOAとMルール：CMMCレベル2では、優先度の高い項目（通常、採点方法論で5ポイントの値）でない限り、特定の業務にPOAとMを使用することが許可されています。OSCが
「未達成」と判断された慣行については、改善命令（POA & M）の対象となる場合、是正のために最大180日間の猶予が与えられます。
是正期間（評価完了）：評価プロセス自体には、「是正期間」（特定のC3PAO方法論とCMMC評価プロセスに応じて1～90日間の期間と呼ばれることが多い）があり、OSCは最終報告書が提出される前に評価者によって特定された軽微な問題を修正することができます。
適格基準: 質問では、「未達成」のプラクティスが 15 項目あるとされています。これは多い数ですが、CMMC ルールでは、プラクティスの数だけに基づいて OSC を自動的に不適格とするのではなく、プラクティスの種類 (重み) と結果として得られるスコアに基づいて判断します。条件付き「達成」 (POA および M 経由) の資格を得るには、OSC は最低スコア (多くの場合、合計ポイントの 80%) を達成する必要があり、「未達成」のプラクティスは CMMC ルールで必須の「達成」 (POA および M が認められない) として指定されているものであってはなりません。
「C」が正解である理由：15項目の「未達成」項目の具体的な重みや合計スコアが不明なため、それらが是正される（A）か、対象外である（B）かを断定することはできません。しかし、CMMC評価フレームワークの下では、OSCがスコアの閾値を満たし、かつ具体的な項目がそれを許容する場合、是正フェーズに進むか、またはPOA & Mを利用してギャップを埋めることができる可能性があります。
参考資料：
CMMC評価プロセス（CAP）：評価の各段階（「是正期間」を含む）を定義します。
32 CFR Part 170 (CMMCプログラム規則): POA & Msの具体的な要件、180日間の期限、および条件付き認証の資格を得るために必要なスコアリングパラメータの概要を示します。