虚偽請求法（米国法典第31編第3729条～第3733条）は、連邦政府との契約を受注または維持するために、法令遵守状況を故意に偽って申告した企業に責任を課すものです。罰則には、政府の損失額の3倍の賠償金に加え、請求ごとに追加の罰金が科せられます。
公式コンテンツからの補足抜粋：
* 虚偽請求法：「故意に政府に虚偽の請求を行った者は、政府の損害額の3倍に加えて罰金を科される。」
* 司法省サイバー詐欺対策イニシアチブ（2021年）：FCAはサイバーセキュリティ要件への準拠を偽った事例にも適用されることを確認した。
選択肢Dが正解である理由：
適用される法律は虚偽請求法であり、「サイバー請求法」（そのような法律は存在しない）ではありません。
* FCAは損害賠償額の3倍に加えて罰金を規定しており、これはオプションDと完全に一致する。
参考文献（CMMC v2.0 公式ガバナンスおよびソース文書）：
* 虚偽請求法（米国法典第31編第3729条～第3733条）。
* 司法省のサイバー詐欺対策イニシアチブ（2021年）は、CMMC関連のコンプライアンスに関する虚偽表示に適用された。

CMMC 2.0 の評価プロセスでは、評価最終推奨事項概要の後、主任評価者と評価チームのメンバーは、認証を求める組織 (OSC) の更新された行動計画とマイルストーン (POA&M) および付随する証拠または予定されている収集物の正確性と妥当性を 180 日以内に確認する必要があります。
* CMMC評価プロセス（CAP）では、組織は最初の評価後、特定された欠陥に対処するために最大180日間の猶予が与えられると規定されています。
* この期間中、OSCは遵守を証明するための追加証拠を添えてPOA&Mを更新することができます。
関連するCMMC 2.0の参照資料：
* A. 90日 # 不正解
* CMMC CAPでは、POA&Mの更新に90日間の制限は設けられていません。代わりに、180日間が標準的な期間となっています。
* B. 180日 # 正解
* CMMC評価プロセスのガイドラインに従い、主任評価者とチームは180日以内に更新内容を確認する必要があります。
* C. 270日 #.偽
* CMMCの公式文書には、270日間のレビュー期間に関する記述はありません。
* D. 360日 # 不正解
コンプライアンスを維持するためには、このプロセスは360日よりもはるかに早く完了する必要があります。
正解が180日（B）である理由は？
* CMMC評価プロセス（CAP）文書
* OSCがPOA&Mを更新し、審査のための証拠を提出するための180日間の期間を定義します。
* CMMC 2.0 公式ガイドライン
* 組織は再評価の前に、不備を是正するために最大180日間の猶予が与えられることを規定している。
この回答を裏付けるCMMC 2.0の参考文献：

Understanding the "Examine" Assessment Method in CMMC 2.0CMMC 2.0 usesthree assessment methodsto evaluate security compliance:
* Examine- Reviewing, inspecting, observing, studying, or analyzing assessment objects (e.g., policies, system documentation).
* Interview- Speaking with personnel to verify knowledge and responsibilities.
* テスト - システム構成を確認するための技術的な検証を実行します。
* CMMC評価プロセス（CAP）では、評価対象（ポリシー、手順、構成、ログなど）をレビューまたは分析するために使用される方法として、検査を定義しています。
関連するCMMC 2.0の参照資料：
* A. テスト番号 不正解
* 「テスト」とは、セキュリティを検証するために機能を実行することを指します（例：ライブシステムテストを通じてアクセス制御を検証する）。
* B. 評価 # 不正解
*「評価する」は広範な用語です。CMMCでは、文書をレビューする方法として「検査する」を明確に定義しています。
* C. 検査 # 正解
* 「調査」とは、ポリシー、手順、構成、またはログを確認するための正式な用語です。
* D. インタビュー # 不正解
*「インタビュー」とは、文書分析ではなく、担当者との口頭での話し合いを指します。
正解が「調べる」（C）である理由は？
* CMMC評価プロセス（CAP）文書
* 「調査する」とは、評価対象（ポリシー、手順、ログ、文書など）を分析することと定義します。
* NIST SP 800-171A
* セキュリティ制御と構成を確認する方法として「検査」を指定します。
この回答を裏付けるCMMC 2.0の参考文献：

ステップ1：CMMCにおける国防総省の役割を理解する
米国国防総省（DoD）は、連邦契約情報（FCI）または管理対象非機密情報（CUI）を取り扱う組織に対し、CMMC 2.0に基づき必要なサイバーセキュリティ成熟度レベルを判断するための評価を受けることを義務付けている機関です。
この要件は、FCIまたはCUIを取り扱う請負業者にCMMC認証を義務付けるDFARS 252.204-7021条項に由来する。
参照：
国防総省CMMC 2.0プログラムの概要
DFARS 252.204-7021（CMMC要件）
ステップ2：国防総省のサイバーセキュリティ成熟度レベル
国防総省は、契約に関わる情報の機密性に基づいて、契約に必要なサイバーセキュリティ成熟度レベルを決定します。
CMMCレベル1 - FCI（基本的なサイバー衛生）を扱う組織に必須。
CMMCレベル2 - CUIを取り扱う組織に必須（NIST SP 800-171に準拠）。
CMMCレベル3 - 価値の高いCUIを取り扱い、高度な持続的脅威（APT）に直面している組織に必須（NIST SP 800-172のサブセットに準拠）。
参照：
CMMC 2.0 モデルドキュメント
セキュリティ管理に関するNIST SP 800-171および800-172
ステップ3：他の選択肢が間違っている理由
B) CISA（不正解）：
サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は国家のサイバーセキュリティを担当しているが、CMMC評価を義務付けてはいない。
C). NIST（誤り）：
米国国立標準技術研究所（NIST）はセキュリティフレームワーク（例：NIST SP）を提供しています。
800-171) だが、CMMC 準拠を強制するものではない。
D). CMMC-AB（不正解）：
Cyber​​ AB（旧CMMC-AB）は、C3PAOの認定とCMMCエコシステムの監督を担当していますが、どの組織が評価を必要とするかを決定する権限はありません。
正解の最終確認：
国防総省は、FCI（外国感染物）またはCUI（機密情報）を取り扱う組織に対し、CMMC（コンピュータ化保守認証）への準拠を義務付けている。
CMMCの要件は、国防総省の契約におけるDFARS条項を通じて強制される。
したがって、正解はA.国防総省です。