CMMC評価におけるアファメーションの理解アファメーションとは、CMMC評価中に収集される証拠の一種で、必須の実施事項への準拠を確認するためのものです。アファメーションは通常、以下の情報源から収集されます。
#インタビュー - セキュリティ対策を実施している担当者との会話。
#実演 - 実践の様子を観察する。
#メールとメッセージ - コンプライアンスへの取り組みを確認する書面によるコミュニケーション。
#プレゼンテーション - セキュリティ実装について説明する文書またはブリーフィング。
#スクリーンショット - システム構成とセキュリティ対策の視覚的な証拠。
* CMMC評価プロセス（CAP）ガイドでは、評価者は電子メール、メッセージ、プレゼンテーションなど、さまざまなコミュニケーション方法を通じて確認事項を収集できると規定されています。
* スクリーンショットは、コンプライアンスを確認するための有効な客観的証拠の追加形式です。
* オプションAとBは誤りです。なぜなら、メールやメッセージは、肯定の表明方法として明確に認められているからです。
* オプションCは、有効な証拠とみなされるスクリーンショットについて言及していないため、不完全です。
「はい、評価者が収集した肯定的な回答はすべて適切であり、スクリーンショットも同様です」が正しいのはなぜですか？
回答選択肢の内訳
説明
正しい？
A: いいえ、メールは適切な肯定の手段ではありません。
#メールアドレス欄に有効な確認方法がありません。
B：いいえ、メッセージを送ることは適切な肯定の表現ではありません。
#肯定的なメッセージを集めるために、不適切なメッセージも許可されています。
C：はい、査定担当者が収集した確認事項はすべて適切です。
#不正確なスクリーンショットも有効な証拠として考慮されるべきです。
D: はい、査定担当者が収集した確認事項はすべて適切であり、スクリーンショットも同様です。
#正解 - スクリーンショットも有効な証明方法です。
* CMMC評価プロセスガイド（CAP）- 書面によるコミュニケーションによる確認を含む、許容される証拠収集方法を定義します。
CMMC 2.0 ドキュメントからの公式参照最終検証と結論正解は D です。はい、評価者が収集した肯定文はすべて適切であり、スクリーンショットも同様です。これは、肯定文を収集するための CMMC 2.0 の評価手順と一致しています。

CMMCレベル2評価における証拠の十分性の理解CMMCレベル2評価では、主任評価者は、各実践について収集された証拠が評価結果を裏付けるのに十分であるかどうかを判断する必要があります。これは、評価者が以下を評価することを要求するCMMC評価プロセス（CAP）ガイドに準拠しています。
* 検査 - 文書、構成、およびシステム記録のレビュー。
* インタビュー - 担当者と話をして、実施状況と理解度を確認します。
* テスト - セキュリティ制御が実際に動作している様子を観察し、その有効性を検証する。
証拠が十分かどうかを判断するために、評価者は以下の点を確認します。
* 評価目標を直接的に支援する。
* その慣行が一貫して実施されていることを示す。
* 独自に検証可能です。
* 十分性とは、コンプライアンスについて正確な判断を下すのに十分な証拠が収集されているかどうかを指します。
* オプションA（適切性）は誤りです。適切性とは証拠の質に関することですが、十分性とは十分な証拠が存在するかどうかに関することです。
* オプションC（プロセス・マッピング）は、プロセス・マッピングはワークフローを理解するために使用されるものであり、評価検証方法ではないため、誤りです。
* オプションD（評価範囲）は誤りです。なぜなら、範囲の定義は証拠収集の前に、計画段階で行われるからです。
* CMMC評価プロセス（CAP）ガイド - セクション3.6（証拠の十分性の判断）
* CMMCレベル2評価ガイド - 証拠収集と評価
オプション B (十分性) が正しい理由公式 CMMC ドキュメント参照最終検証主任評価者がコンプライアンスを検証するのに十分な証拠が利用可能であることを確認しているため、正解はオプション B: 十分性です。

CMMC評価方法の理解
サイバーセキュリティ成熟度モデル認証（CMMC）2.0は、NIST SP 800-171Aの評価方法論に準拠しており、これには3つの主要な評価方法が含まれます。
調査する - ポリシー、手順、システム構成、およびドキュメントを確認する。
インタビュー：担当者と面談し、セキュリティ対策に関する理解度と実行状況を確認する。
テスト - セキュリティ制御が期待どおりに機能するかどうかを判断するために、実際の技術的または運用上のテストを実施する。
なぜ「テスト」が正解なのか？
「テスト」とは、実際に指定された条件と期待される動作を比較する方法のことです。
これは、システムが要求どおりに動作するかどうかを確認するために、手順、構成、または自動化ツールを実行することを含みます。
例えば、ポリシーで多要素認証（MFA）の適用が義務付けられている場合、テストではMFAなしでログインを試み、期待どおりにアクセスがブロックされるかどうかを確認する。
NIST SP 800-171Aガイド（CUIの評価手順）では、テストを次のような評価方法として定義しています。
セキュリティ制御が機能していることを積極的に検証する
現実世界の攻撃シナリオをシミュレートします
文書ではなくシステムアクションを通じてコン​​プライアンスをチェックする
他の回答が間違っている理由とは？
B) 検査する（不正解）
調査とは、ポリシー、手順、または構成を確認することのみを指し、システムの動作を積極的にテストするものではありません。
C). コンパイル（誤り）
「コンパイル」は、CMMC 2.0またはNIST SP 800-171Aにおける評価方法ではありません。
D) インタビュー（不正解）
インタビューは従業員から意見を収集するために用いられるが、実際の状況と期待される行動を比較するものではない。
結論
正解はAです。テストは、想定されるセキュリティ条件に対してシステムのパフォーマンスを積極的に検証するためです。
参考文献：
NIST SP 800-171A、「CUIのセキュリティ要件の評価」
CMMC 2.0評価プロセス（CAP）ガイド
国防総省CMMCスコープ設定および評価ガイドライン