NIST SP 800-88 Rev. 1とメディアサニタイゼーションの理解
NIST特別刊行物（SP）800-88改訂版1「メディアサニタイズに関するガイドライン」は、不正アクセスやデータ復旧を防止するために、さまざまな種類のストレージメディアからデータを安全に廃棄するためのガイダンスを提供します。
NIST SP 800-88 Rev. 1におけるデータ廃棄の3つのカテゴリ
クリア
論理的な手法を用いてメディアからデータを削除するため、標準的なシステム機能では復元が困難になる。
例：ハードドライブ上のすべてのデータをバイナリのゼロまたはイチで上書きする。
適用対象: 磁気メディア、ソリッドステートドライブ (SSD)、および不揮発性メモリ。メディアが同じセキュリティ環境内で再利用される場合。
パージ
高度な技術を用いて、フォレンジックツールを使ってもデータ復旧を不可能にする。
例：磁気ハードドライブの消磁、または暗号化消去（暗号化キーの削除）。
適用対象: 組織の管理下から離れるメディア、または「クリア」よりも高いレベルの保証を必要とするメディア。
破壊する
物理的にメディアを損傷させ、データ復旧を不可能にする。
例：ストレージデバイスの細断、焼却、粉砕、または分解。
適用対象：永久に消去する必要のある、極めて機密性の高いデータ。
「A. クリア、パージ、デストロイ」が正しい理由は？
B) クリア、編集、破棄（誤り） - 「編集」は文書の消去に使用される用語であり、データの破棄に使用される用語ではありません。
C). クリア、上書き、パージ（誤り）- 「上書き」は「クリア」内のメソッドですが、NIST SP 800-88 ではトップレベルのカテゴリではありません。
D) クリア、上書き、破棄 (不正解) - 「上書き」は「クリア」のサブメソッドですが、「パージ」が欠落しているため、これは不正解です。
結論
正解はAです。クリア、パージ、破棄。これらはNIST SP 800-88リビジョン1におけるデータ廃棄の公式な3つのカテゴリです。
参考文献：
NIST SP 800-88 Rev. 1 - 培地サニタイゼーションに関するガイドライン
CMMC 2.0 メディア廃棄に関するセキュリティ対策（NISTガイダンスに準拠）

DFARSおよびCMMCの要件に基づき、主契約者は下請け業者が必要なCMMCレベルを満たしていることを確認する責任を負います。国防総省、サイバー空軍、国防次官補（調達・調達担当）のいずれも、下請け業者の認証を直接管理していません。
公式コンテンツからの補足抜粋：
* DFARS 252.204-7021: 「請負業者は、下請け業者が取り扱う情報に対して適切なCMMCレベルの認証を取得していることを確認しなければならない。」 オプションDが正しい理由:
コンプライアンス責任は、請負業者のサプライチェーン全体にわたって及ぶ。
* CMMC-AB（サイバーAB）は評価者を認定するが、下請け業者を監視するわけではない。
* OUSD A&Sは契約レベルでの方針策定は行うが、執行は行わない。
* 国防総省機関は、契約／授与の監督レベルでのみ法令遵守を要求している。
参考文献（CMMC v2.0公式コンテンツ）：
*DFARS 252.204-7021。
* CMMCモデルv2.0のガバナンスガイダンス。

企業が自社のインフラストラクチャの管理に第三者のITプロバイダーを利用する場合、これらの組織はCMMCのスコープガイドラインにおいて外部サービスプロバイダー（ESP）として分類されます。
ステップごとの解説：#1. ESPとは何ですか？
外部サービスプロバイダー（ESP）とは、以下のような第三者組織のことです。
ITサービス、クラウドホスティング、およびマネージドセキュリティソリューションを提供します。
請負業者に代わって、FCIまたはCUIを処理、保管、または送信する。
FCIまたはCUIを取り扱う場合は、OSCと同じセキュリティ要件を満たす必要があります。
企業がITインフラストラクチャの管理をホスティングプロバイダーに依存している場合、そのプロバイダーはCMMCのスコープガイドラインにおけるESP（エンタープライズサービスプロバイダー）に該当します。
#2. 他の選択肢が間違っている理由：
（B）人々#
誤り：ESPは組織であり、個人ではありません。
（C）施設#
誤り：施設とは、オフィスビルやデータセンターなどの物理的な場所を指し、第三者サービスプロバイダーを指すものではありません。
（D）テクノロジー#
誤り：ESPはテクノロジーサービスを提供しますが、CMMCにおけるサードパーティITプロバイダーの正しい用語は「テクノロジー」ではなくESPです。CMMCレベル1スコープガイドでは、外部サービスプロバイダー（ESP）をITインフラストラクチャとセキュリティサービスを管理するサードパーティ組織と定義しています。
CMMCドキュメントからの最終検証：したがって、正解は次のとおりです。
#A. ESP（外部サービスプロバイダー）

Step 1: Define Roles - CCP and CCA
CCP (Certified CMMC Professional):
Entry-level certification in the CMMC ecosystem.
Supports assessment activities under the supervision of a CCA.
May assist in consulting roles outside of formal assessments.
CCA (Certified CMMC Assessor):
Certified tolead assessmentsunder the CMMC model.
Requiredfor conductingLevel 2 formal assessments.
Can be part of a C3PAO assessment team or lead it.
Source: CMMC Assessment Process (CAP) v1.0, Section 2.3 - Assessment Team Composition
"Level 2 assessments must be led by a Certified CMMC Assessor (CCA), who may be supported by one or more CCPs."
#Step 2: Citizenship Requirements
CAP v1.0 - Appendix B: Team Composition and Clearance Requirements
"All team members performing Level 2 assessments must be U.S. citizens when handling CUI, regardless of role." But forsupporting team members who do not handle CUIor inFCI-only scoping, there is no automatic exclusion based on citizenship.
So:
TheCCA leadsthe team.
CCPs can be team membersregardless of citizenship,unless restricted by contract or CUI handling needs.
#Why the Other Options Are Incorrect
A). The CCP leads the Level 2 Assessment Team...
#Incorrect. CCPscannot leadLevel 2 assessments.
B). The CCA leads... includes 3 CCP with US Citizenship.
#Incorrect. Citizenship is requiredonly when handling CUI, not a universal requirement.
D). The CCP leads...
#Again, CCPs donot have the authority to leadformal CMMC assessments.
レベル2評価チームを率いることができるのは、認定CMMC評価者（CCA）のみであり、契約上またはデータ機密性の範囲に基づいて市民権が要件とならない場合は、米国市民以外のCCP（認定認定専門家）もチームに含めることができます。