CMMC 2.0における評価方法の理解CMMC評価プロセス（CAP）ガイドによると、評価者はセキュリティ対策への準拠を判断するために、主に3つの評価方法を使用します。
調査 - 文書、ポリシー、構成、およびシステム記録を確認する。
インタビュー：セキュリティプロセスに関する知見を得るために、担当者と面談する。
テスト：システム機能およびセキュリティ制御の技術的な検証を実施する。
評価チームのメンバーは、評価オブジェクト（システム構成、ユーザーアクセス制御設定、ポリシーなど）を検査し、OSC の証拠が AC.L1-3.1.1（アクセス制御 - 承認済みユーザー）に十分であるかどうかを判断します。
この活動は、以下のような成果物をレビューする「検査方法」に直接対応しています。
アクセス制御リスト（ACL）
システムユーザー認証ログ
アカウント管理ポリシー
役割ベースのアクセス制御設定
「観察する」（選択肢B）は、CMMCにおいて「観察」は公式の評価方法ではないため、誤りです。
「テスト」（選択肢A）は、評価が実際に機能を実行するのではなく、証拠を検証するものであるため、誤りです。
「インタビュー」（選択肢D）は、職員への質問は行われず、文書の確認のみが行われているため、誤りです。
CMMC評価プロセス（CAP）ガイド、第3.5項 - 評価方法
CMMCレベル2評価ガイド - アクセス制御の実践（A​​C.L1-3.1.1）
オプション C (検査) が正しい理由公式 CMMC ドキュメント参照最終検証このアクティビティは、アクセス制御措置を確認するためにドキュメントと記録をレビューすることを含むため、検査方法に該当し、オプション C が正解となります。

登録プロバイダー組織（RPO）の役割を理解する登録プロバイダー組織（RPO）は、CMMC認証を求める組織にコンサルティングサービスを提供するためにCMMC認定機関（CMMC-AB）によって認められた組織です。
RPOの主な機能#企業がCMMC評価に備えるためのコンサルティングサービス。
#コンプライアンスに必要なセキュリティ管理に関するガイダンス。
#文書作成、政策策定、ギャップ分析に関する支援。
#第三者によるCMMC評価の準備は行うが、公式のCMMC評価は実施しない（これはC3PAOの役割である）。
* コンサルティングサービスは、RPOの機能の中で最も広範かつ包括的なものです。
* RPOは評価を実施しない（選択肢Dは除外）。
* 研修や教育はコンサルティングの一部ではあるが、主要な機能ではない（AとBは除外される）。
コンサルティングには、研修、指導、文書作成支援、セキュリティ対策などが含まれており、最も包括的なサービスとなっています。
「コンサルティングサービス」が正解である理由は何ですか？回答選択肢の内訳オプションの説明正解ですか？
A：研修サービス
#誤り-RPOはトレーニングを提供する場合がありますが、これは彼らの主な機能ではありません。
B：教育サービス
#誤り - トレーニングに似ていますが、最も包括的なサービスではありません。
C：コンサルティングサービス
#正解 - RPOの中核機能はコンサルティングであり、これにはさまざまな準備サービスが含まれます。
D：評価サービス
#誤り - 公式のCMMC評価を実施できるのは、C3PAO（認定第三者評価機関）のみです。
* CMMC-AB RPOプログラムでは、RPOを、企業がCMMC認証の準備をするのを支援するコンサルティング組織と定義していますが、評価は実施しません。
CMMC 2.0 ドキュメントからの公式参照最終検証と結論正解は C です。コンサルティングサービス RPO は主に CMMC 準拠の準備をしている組織に助言と準備サポートを提供します。