* AC.L1-3.1.22には、「公開アクセス可能なシステムに掲載または処理される情報を制御する」と記載されています。
* この規制では、組織はFCI（連邦契約情報）が公に公開されたり、管理されていない方法でアクセス可能になったりしないようにする必要があります。
* FCIは、機密情報やCUIではない場合でも、不正な開示から保護されなければならない。
参照：
NIST SP 800-171、要件3.1.22
CMMCレベル1実践AC.L1-3.1.22
ステップ 2: プレスリリースで FCI を保護することが重要な理由 企業が FCI を含むプレスリリースを発表する場合、その情報が意図せず機密性の高い契約関連データを公開しないようにする必要があります。
FCIには、国防総省が契約に基づいて提供または作成した情報が含まれますが、これらの情報は一般公開を目的としていません。
組織は、意図しない暴露を防ぐための管理策を実施しなければならない。
ステップ3：他の選択肢が間違っている理由A. 情報が正しい（間違い）：
正確性も重要ですが、CMMCの要件は、単に正確性を確保するだけでなく、機密情報を保護することに重点を置いています。
B：CEOがそのメッセージを承認した（誤り）：
CEOの承認は、FCIの保護に対応していないため、CMMC準拠を満たしません。
D: 情報がFCIのみである限り、公開できる（誤り）
FCIは保護されるべきものであり、国防総省による特別な許可がない限り、公に開示してはならない。
正解の最終確認：会社はFCIを保護し、公式プレスリリースにおいて不正な情報開示が行われないようにしなければならない。
したがって、正解はCです。会社はFCIの放出を保護しなければなりません。

DFARS clause 252.204-7012 establishes the safeguarding of Covered Defense Information (CDI), which aligns with CUI categories. The clause specifies that the DoD is responsible for determining whether information is Controlled Unclassified Information (CUI) and marking it accordingly before sharing it with contractors. Contractors do not make determinations about what constitutes CUI; they are responsible for safeguarding information once it is received and marked as CUI.
Reference Documents:
* DFARS 252.204-7012, Safeguarding Covered Defense Information and Cyber Incident Reporting
* CMMC Model v2.0 Overview, December 2021

CMMC評価プロセス（CAP）v2.0では、評価結果を「初期」または未検証の所見としてOSCに提出することは想定されていません。代わりに、CAP v2.0では、C3PAOがOSCとのアウトブリーフィング会議の前に、認証評価結果の正式な品質保証（QA）レビューを実施することが求められています。このQA手順は必須であり、結果をOSCに伝える前に明確に順序付けられています。
結果がまとめられ、品質レビューが行われた後、リードCCAは「評価結果をOSCに伝える」ためにアウトブリーフィング会議を招集します。CAP v2.0ではさらに、チームがアウトブリーフィングのために「評価結果ブリーフィング」を準備して発表することが求められており、必要な内容（各セキュリティ要件に対する最終的なMET/NOT MET/NAの判定、POAおよびMのステータス（該当する場合）、証明書の判定など）がリストされています。
したがって、CAP v2.0では、アウトブリーフィング中にOSCに正式に提示される前に、結果はC3PAOの品質保証レビューを受けなければならないことが明確に規定されているため、Dが最適な答えです。

CMMCエコシステムにおけるCAICOの役割を理解する
CMMCエコシステムは、サイバーセキュリティ成熟度モデル認証（CMMC）プログラムのさまざまな側面を管理、実装、監督する複数の組織で構成されています。
主要な組織の一つは、CMMC評価者およびインストラクター認定組織（CAICO）であり、以下の責任を負っています。
評価者および指導者の研修と認定。
CMMC専門家向けのテスト、承認、および認証の管理。
評価担当者が資格およびコンプライアンス基準を満たしていることを確認する。
選択肢D（CAICO）が正解である理由
CAICOは、評価者およびインストラクター候補者の訓練、試験、承認、および認定を明確に任務としている。
選択肢A（国防次官室）は誤りです。国防次官室（OUSD）は政策監督は行いますが、評価者の認定は行いません。
オプションB（DIB共同情報共有環境）は、DIB CISが防衛産業基盤内での情報共有に焦点を当てており、評価者の認証に焦点を当てていないため、誤りです。
選択肢C（国家安全保障システム委員会の指示）は誤りです。CNSSIはセキュリティ基準を提供するだけで、評価者のトレーニングや認証を管理しているわけではないからです。
CMMC公式ドキュメントの参照
CMMCエコシステムの概要 - CAICOの役割
CMMC評価プロセス（CAP）ガイド - 評価者認定およびトレーニング最終検証 CAICOはCMMC評価者およびインストラクターのトレーニング、テスト、および認定を担当しているため、正解はオプションD：CMMC評価者およびインストラクター認定組織です。

CMMC評価プロセスにおける「適切な証拠」の理解CMMC評価において、適切な証拠とは、特定のサイバーセキュリティ対策が正しく実施されていることを証明するために必要な証拠を指します。証拠は以下から得られます。
* アーティファクト（例：セキュリティポリシー、システム構成、ログ）。
* インタビューでの回答（例：担当者の職務内容に関する口頭での確認）。
* デモンストレーション（例：セキュリティ制御がリアルタイムでどのように実装されるかを示す）。
* テスト（例：多要素認証などの技術的なセキュリティメカニズムの検証）。
証拠収集の目的は、組織が評価範囲内で運営されているかどうかだけでなく、CMMCの実施基準を満たしているかどうかを判断することです。
* A. 評価と組織範囲に基づいて検証する # 不正解
* 評価範囲は評価対象を定義しますが、証拠の妥当性は特定のCMMCの慣行への準拠に基づいています。
* B. 評価と組織慣行に基づいて検証する # 不正解
* CMMC評価は、一般的な組織慣行だけでなく、CMMCフレームワークで定義されているサイバーセキュリティ対策に焦点を当てています。
* C. 与えられた成果物、インタビュー回答、デモンストレーション、またはテストがCMMCの範囲を満たしているかどうかを判断する # 不正解
* スコープは評価の範囲を定義しますが、評価チームの役割はCMMCの実践が満たされているかどうかを確認することです。
* D. 与えられた成果物、インタビュー回答、デモンストレーション、またはテストがCMMCの実践基準を満たしているかどうかを判断する # 正解
* CMMCの評価プロセスは、必要な対策が実施されていることを確認することに重点を置いているため、これが正解です。
正解が「与えられた成果物、インタビューの回答、デモンストレーション、またはテストがCMMCの実践基準を満たしているかどうかを判断する」（D）である理由は？
* CMMC評価プロセス（CAP）文書
* 「十分な証拠」とは、CMMCの実施が正しく行われたことの証明と定義する。
* CMMC 2.0評価基準
* 証拠は特定のサイバーセキュリティ対策に照らして評価されなければならないことを規定する。
* NIST SP 800-171A（NIST SP 800-171の評価手順）
* 必要な手順への準拠を確認するために、成果物、インタビュー、デモンストレーション、およびテストを評価する際のガイダンスを提供します。
この回答を裏付けるCMMC 2.0の参考文献：
最終回答:#D. 与えられた成果物、インタビュー回答、デモンストレーション、またはテストがCMMCの実践基準を満たしているかどうかを判断します。