連邦契約情報（FCI）は、FAR 52.204-21において、契約に基づき政府によって提供または生成された情報であって、一般公開を目的としない情報と定義されています。CMMC 2.0の下では、FCIを取り扱う組織は、FAR 52.204-21の基本保護要件を実装し、FCIの処理、保管、および送信において適切な保護を確保する必要があります。
与えられた選択肢の分析この問題は、FCIを下請け業者に送信するために使用される電子メールシステムに関するものです。
考えられる答えを詳しく見ていきましょう。
A). FCI# の管理が正しくありません
FCIの管理には、FCIの整理、保管、アクセス維持といった活動が含まれます。電子メールの送信は管理には含まれません。それは単なる送信行為です。
B). プロセスFCI#が正しくありません
処理とは、データの分析、変更、計算など、運用上または分析上の目的でFCIを積極的に使用することを指します。単にメールを送信するだけでは、処理には該当しません。
C). FCI# 正しい値を送信してください
送信とは、FCIをある組織から別の組織へ送信する行為を指します。請負業者はFCIを電子メールで送信しているため、これはデータの送信に該当します。
参照:NIST SP 800-171 Rev. 2、3.1.3-「承認されたメカニズムを使用して送信することにより、CUI（またはFCI）を制御する。」D) FCI# の生成 誤り FCI の生成とは、新しい契約関連情報を作成することを意味します。このシナリオでは、請負業者は FCI を作成しているのではなく、単に送信しているだけです。
正解を裏付ける公式資料：CMMC 2.0 レベル1の実施基準（FAR 52.204-21 基本的安全対策管理）
3.1.3：「承認されたメカニズムを使用してCUI（またはFCI）を送信することにより、CUI（またはFCI）を制御する。」これは、電子メールの送信がFCIの「送信」に該当し、管理や処理には該当しないことを確認するものです。
NIST SP 800-171 Rev. 2（非連邦システムにおけるCUIの保護）
要件3.13.8：「CUIを送信する際に暗号化方式で保護する。」これは主にCUIに適用されますが、FCIも送信中に保護されるべきであり、電子メールが情報伝送の一形態であることを確認します。
結論：請負業者はFCIを電子メールで送信しているため、正解はC. FCIを送信することです。これは、送信データのセキュリティを重視するFAR 52.204-21およびNIST SP 800-171に基づくCMMC 2.0レベル1の慣行と一致しています。

CMMC-AB 専門職行動規範の理解サイバーセキュリティ成熟度モデル認証認定機関 (CMMC-AB) (現在は Cyber​​ AB と呼ばれています) は、認定評価者 (CA)、認定専門家 (CP)、および C3PAO (認定第三者評価機関) を含む、CMMC 評価に関わるすべての個人のための専門職行動規範 (CoPC) を定めています。
CMMC-ABの職業倫理規定に概説されている中核的な原則は以下のとおりです。
責任
CMMCの専門家は、自らの行動に全責任を負い、評価が誠実かつ専門的に実施されることを保証しなければならない。
彼らは、サイバーABおよび国防総省によって定められたすべての倫理的および規制上の要件を遵守しなければならない。
機密保持
CMMCの専門家は、機密情報（CUIおよびFCIを含む）を保護しなければなりません。
彼らは秘密保持契約（NDA）を遵守し、不適切な情報共有を避けることが求められる。
情報整合性
CMMC評価におけるすべての報告書、調査結果、および勧告は、正確かつ偏りのない真実でなければならない。
評価者は利益相反を避け、評価において提供されるすべてのデータが検証可能であり、虚偽表示がないことを保証しなければならない。
回答A（不正解）：CMMC-AB CoPCの主要原則は「分類」ではありません。重点は分類手順ではなく、CUIとFCIの保護に置かれています。
解答B（不正解）：客観性は重要ですが、CMMC-AB専門職倫理規定の3つの基本原則の1つとして明示的に挙げられていません。
解答C（不正解）：「分類」はCoPCの指導原則ではありません。
正解はDです。職業倫理規定では、責任、機密保持、および情報の完全性を明確に強調しています。
正解はDです。責任、機密保持、および情報保全。
これらの原則は、すべてのCMMC専門家が倫理基準を維持し、認証プロセスの完全性を守ることを保証するものです。
参考文献：
CMMC-AB 専門職倫理規定 (CoPC)
サイバーAB倫理ガイドライン
CMMC評価プロセス（CAP）ガイド

正解はAです。CMMC評価報告要件。この文書は、認定第三者評価機関（C3PAO）がCMMC評価を実施および報告する際に従うべき構造化されたプロセスを具体的に概説しているからです。
手順ごとの詳細：
CMMC評価プロセスを理解する
主任評価者は、評価開始前にチームに対し、評価要件と評価基準について説明します。
評価全体を通して、調査結果の概要、実践評価、およびレベルに関する推奨事項が文書化され、報告されます。
これらの調査結果は、正式に品質審査および最終評価承認のために提出される前に、C3P​​AOによって内部的に審査されます。
報告要件を規定する主要文書：CMMC評価報告要件 この文書では、CMMCエコシステム内で評価をどのように報告する必要があるかを具体的に詳述しています。
これは、組織が最終的な認証決定を受ける前に、評価の提出、内部C3PAOによるレビュー、およびCMMC-ABによる品質チェックを行うための構造化されたプロセスを説明するものです。
これにより、結果の一貫性、透明性、および国防総省のサイバーセキュリティコンプライアンス要件との整合性が確保されます。
他の選択肢が間違っている理由：
B) DFARS 52.204-21 評価報告要件
This clause only specifiesbasic safeguardingof Federal Contract Information (FCI) but doesnotdictate the reporting process for CMMC assessments.
C). NIST SP 800-171 Revision 2 Assessment Reporting Requirements
WhileNIST SP 800-171 Rev. 2outlines security controls, it doesnotdefine how CMMC assessments must be conducted and reported.
D). DFARS Clause 252.204-7012 Assessment Reporting Requirements
This DFARS clause focuses onincident reportingandcyber incident response requirementsbut does not detail theCMMC assessment reporting process.
Official Reference:
CMMC Assessment Reporting Requirements, issued byThe Cyber ABandDoD, governs how C3PAOs must report assessment results.
CMMC Assessment Process (CAP)also outlines reporting workflows for certification.
Thus, theCMMC Assessment Reporting Requirementsdocument is the authoritative source that dictates the reporting procedures for CMMC assessments.

CMMCスコープにおける制限情報システム（IS）の理解
CMMC 2.0では、特殊資産とは、従来のITシステムカテゴリには当てはまらないものの、連邦契約情報（FCI）または管理対象非機密情報（CUI）の処理、保存、または送信において役割を果たす資産を指します。CMMCスコープガイドにおける特殊資産の4つのカテゴリは以下のとおりです。
モノのインターネット（IoT）デバイス - スマートデバイスまたはネットワーク接続デバイス。
制限情報システム（制限IS）－契約上、政府の仕様に合わせて構成することが義務付けられているシステム。
試験装置 - 特殊な試験や測定に使用される機器。
政府所有物 - 米国政府が所有するが、請負業者が使用する機器。
「B. 制限付きIS」が正しいのはなぜですか？
問題となっている請負業者所有のシステムは、政府の要件に基づいて構成されており、国防総省との契約を支援するために使用されている。
制限付き情報資産は、契約上、政府のセキュリティ要件を満たし、国防総省関連の情報を扱うことが義務付けられています。
これらのシステムは一般的なIT資産には該当せず、特別な取り扱いが必要となるため、CMMCスコープガイドによれば制限付き情報システム（Restricted IS）に分類されます。
他の回答が間違っている理由とは？
A) IoT（不正解）
IoTデバイスにはスマートデバイス、センサー、組み込みシステムなどが含まれますが、請負業者の業務システムはIoTには分類されません。
C）試験装置（不正解）
請負業者のシステムはFCIの処理に使用されるものであり、試験や測定に使用されるものではありません。
D）政府所有物（誤り）
これらのシステムは請負業者が所有しており、米国政府が所有しているものではないため、政府資産には該当しません。
結論
正解はBです。制限付き情報システム（IS）です。システムは請負業者が所有していますが、国防総省のセキュリティ要件に従う必要があります。
参考文献：
CMMC 2.0 レベル2 スコープガイド
国防総省CMMCポリシーおよびDFARS 252.204-7012

主任評価者は、評価プロセス中に収集されたすべての評価記録、メモ、および情報を保護および維持する責任を負います。これには、監査や紛争解決のために必要となる可能性のある作業書類や補足資料も含まれます。
公式コンテンツからの補足抜粋：
* CAP v2.0、評価後の責任（§3.17）： 「主任評価者は、すべての評価成果物、メモ、および情報がC3PAOの方針に従ってアーカイブまたは廃棄されていることを確認しなければならない。」 オプションAが正しい理由：
* CAPでは、評価に関するメモや情報は、規定に従って保存または廃棄しなければならないと規定されています。
* オプションB、C、Dは、CAPで必須ではない項目です。「手紙」と「品質管理レポート」は、主任評価者が保管する必要のある資料には含まれません。
参考文献（CMMC v2.0公式コンテンツ）：
* CMMC評価プロセス（CAP）v2.0、フェーズ3事後評価（§3.17）。