CMMC評価プロセスを理解するCMMC評価プロセス（CAP）は4つのフェーズで構成され、各フェーズには特定のタスクと目的があります。
* フェーズ 1: 評価の計画と準備 - 評価の計画、スケジュール設定、および準備。
* フェーズ 2: 評価の実施 - 証拠の収集と検証、インタビューの実施、およびコンプライアンスの評価。
* フェーズ 3: 推奨評価結果の報告 - 調査結果を文書化し、結果を報告する。
* フェーズ 4: 未解決の評価問題の是正 - 組織が欠陥に対処できるようにする。
「フェーズ2：評価の実施」が正しい理由とは？フェーズ2：評価の実施では、評価チームは以下の主要な活動を実施します。
#コンプライアンス検証に必要な証拠を特定する。
#アーティファクト（セキュリティポリシー、構成、ログなど）の取得とレビュー。
#CMMCの実施要件に対する証拠の十分性を検証する。
#主要担当者へのインタビューとサイバーセキュリティの実装状況の観察。
質問には「証拠を特定し、目録を入手し、検証する」と具体的に記載されているため、このタスクはフェーズ2：評価の実施に直接該当します。
回答選択肢の内訳
説明
正しい？
A：フェーズ1：評価の計画と準備
#誤り - このフェーズは、証拠収集ではなく、スケジュール、ロジスティクス、計画に焦点を当てています。
B：フェーズ2：評価の実施
#正解 - この段階では、証拠の収集、検証、およびレビューを行います。
C：フェーズ3：推奨評価結果の報告
#誤り - このフェーズでは結果を文書化しますが、証拠は収集しません。
D：フェーズ4：未解決の評価問題の是正
#誤り - このフェーズは、証拠収集ではなく、是正措置に焦点を当てています。
* CMMC評価プロセスガイド（CAP）-フェーズ2：評価の実施には、証拠の収集と検証などのタスクが明確に含まれています。
CMMC 2.0 ドキュメントからの公式参照最終検証と結論正解は B. フェーズ 2: 評価の実施です。このフェーズには、CMMC 準拠を判断するために重要な証拠の特定、取得、検証が含まれます。

限定的実践不備修正評価プロセスは、認証取得を目指す組織（OSC）が、認定第三者評価機関（C3PAO）によるCMMCレベル2評価を受け、セキュリティ対策の一部に未解決の不備がある場合に実施されます。
CMMC 2.0 ポリシーおよび DFARS 252.204-7021 によると、OSC は、セキュリティ対策の最低基準を満たし、行動計画およびマイルストーン (POA&M) を通じて不備に対処すれば、暫定認証を取得できます。
* CMMC 2.0 暫定規則では、OSC が POA&M に基づく是正措置を受けるには、110 項目のうち少なくとも 100 項目を満たす必要があると規定されています。
* POA&Mには、後で修正できるように最大10項目の業務内容を記載できます。
* 少なくとも100項目の要件を満たせなかった場合、評価は不合格となり、改善措置を講じた後に再評価を受ける必要があります。
* 主任評価者は、OSCが少なくとも100の診療基準を満たしている場合にのみ、POA&Mの配置を推奨できます。
* METと評価されたプラクティスが100未満の場合、OSCはPOA&Mandの資格を満たさず、完全に再テストを受ける必要があります。
* DFARS 252.204-7021およびCMMC 2.0ポリシーは、条件付き認証の100項目の実施基準を確認しています。
* A. 80回の練習（不正解）- 100回の練習という要件を大きく下回っています。
* B. 88の診療行為（誤り）- POA&Mの適格基準を下回っています。
* D. 110のプラクティス（誤り）- 110のプラクティスを満たすことが理想的ですが、CMMCでは100のプラクティスでPOA&Mオプションが認められています。
* 正解はCです。100の実践は、POA&Mベースの暫定認証の最低基準を満たしています。
参考文献：
DFARS 252.204-7021（CMMC要件条項）
CMMC 2.0評価プロセス（CAP）ガイド
国防総省CMMC 2.0ポリシー概要

CMMC 2.0 レベル 2 アセスメントにおける報告プロセスの理解 認定第三者評価機関 (C3PAO) が実施する CMMC レベル 2 アセスメントは、証拠の収集、コンプライアンスの評価、および認証取得組織 (OSC) への結果報告について、構造化されたアプローチに従います。報告プロセスは、CMMC アセスメント プロセス (CAP) ガイドに概説されており、結果の伝達方法が規定されています。
毎日のチェックポイント：
評価期間中、評価チームはOSCと毎日チェックポイント会議を開催し、進捗状況、観察事項、および予備的な調査結果について最新情報を提供する。
これらのチェックポイントは透明性を確保するのに役立ち、OSCが軽微な問題が発生した場合に迅速に対処することを可能にする。
最終結果発表：
最終評価結果は通常、毎日の最終チェックポイントで共有されるか、または別途予定された所見と提言のレビュー会議で共有されます。
これにより、公式報告書が提出される前に、OSC（オンタリオ州検察庁）が評価結果の構造化された完全な要約を受け取ることが保証されます。
CMMC評価プロセス（CAP）ガイドのセクション4.5では、評価結果は最終日次チェックポイントまたは別途スケジュールされた最終レビューのいずれかで提示されるべきであると明確に述べられています。
これは、透明性を維持し、最終報告書の提出前にOSCが評価結果を明確に把握できるようにするための最善の慣行に沿ったものです。
オプションA（毎日終了時）は、評価者が更新情報を提供するものの、
毎日「最終結果」を発表します。
オプションB（毎日のチェックと別途の最終レビュー）は誤解を招く表現です。CAPガイドでは、評価者は毎日の最終チェックポイントか、別途の所見レビューのどちらかを選択できるのであって、両方を選択できるわけではありません。
選択肢D（C3PAOの承認後）は誤りです。C3PAOは、調査結果がOSCに伝達される前に承認を行うことはありません。評価チームが最初に直接結果を提示します。
CMMC評価プロセス（CAP）ガイド、セクション4.5：報告と結果の伝達 CMMC 2.0レベル2評価プロセスの概要 CMMC評価最終レポートガイドライン 評価コミュニケーション構造 オプションCが正しい理由 公式CMMCドキュメントの参照 最終検証 公式CMMC 2.0ドキュメントに基づくと、最終評価結果は、最後の毎日のチェックポイントまたは別途スケジュールされたレビューセッションでOSCに提示される必要があり、オプションCが正解となります。

1. CMMC 2.0レベルとCUI処理要件の理解
CMMC 2.0では、機密指定されていない管理情報（CUI）を取り扱う請負業者は、CUIを含む契約を受注する資格を得るために、最低限の認証レベルを満たさなければならない。
CMMC 2.0 レベル:
レベル1（基礎） - 17の実践
連邦契約情報（FCI）のセキュリティのみを対象としています。
CUI（機密情報）の取り扱い要件を満たしていません。
レベル2（上級） - 110の練習#
CUI（機密情報）の取り扱いに必須です。
CUI（機密情報）を保護するためのセキュリティ管理策を定めたNIST SP 800-171に準拠しています。
CUI（機密情報）の保護を必要とする契約においては、請負業者はレベル2の認証を取得しなければならない。
レベル3（エキスパート） - 110以上の実践例
高額な機密情報（CUI）および国家安全保障上重要な情報に関わる契約に必須。
NIST SP 800-172に基づく追加の保護機能が含まれています。
2. CUIのレベル2を確認する公式CMMC 2.0参照資料
CMMC 2.0モデルの概要には、CUI（機密情報）を取り扱う請負業者にはレベル2が必要であることが明確に記載されています。
DFARS 252.204-7012では、CUIを保護する請負業者は、CMMCレベル2の基礎となるNIST SP 800-171を実装しなければならないと規定しています。
国防総省のレベル2向けCMMC評価ガイドでは、CUI（機密情報）を扱う組織は、契約を獲得するために、NIST SP 800-171に記載されている110項目の実践事項を完全に実施していることを証明する必要があると規定されています。
3．他の選択肢が間違っている理由
A) レベル1#
FCIのみを対象とし、CUIは対象外です。
Does notmeet DoD requirements for protectingCUI.
C). Level 3#
While Level 3 offersadditional protectionsfor high-risk CUI, it isnot the minimumrequirement.
Level 2 is the minimumneeded to handle CUI.
D). Any level#
OnlyLevel 2 and higherare eligible for contracts requiring CUI protection.
Level 1 doesnotmeet CUI security standards.