* CMMCレベル2の評価では、評価者は、管理対象非機密情報（CUI）が取り扱われる実際の運用環境でセキュリティ管理が実施されていることを示す客観的な証拠を必要とします。
* これは、テストやデモンストレーションは、組織の実際のシステムとセキュリティ管理が使用されている本番環境で実施する必要があることを意味します。
* 評価チームは、セキュリティ対策が実際に適用される環境でその有効性を検証し、実際の運用条件下でセキュリティ対策が確実に機能していることを確認する必要があります。
* オプションA（クライアント）は、「クライアント」が定義された評価環境ではないため、誤りです。
* オプションC（開発）は、開発環境でのテストは本番環境のセキュリティ状況を正確に反映しないため、誤りです。
* オプション D (デモンストレーション) は誤りです。別のテスト環境でのデモンストレーションは CMMC 評価の有効な証拠とはならないため、実際のセキュリティ実装は運用環境で検証する必要があります。
* CMMC評価プロセス（CAP）ガイド - セクション3.5（評価方法）
* NIST SP 800-171 評価手順（検証は、CUI が存在する実際のシステムで行う必要があります。）評価環境要件の理解オプション B（本番環境）が正しい理由公式 CMMC ドキュメント参照最終検証CMMC 評価では、セキュリティ コントロールを実際の運用環境で検証する必要があるため、正解はオプション B：本番環境です。

CMMC準拠の準備を行う際、組織はネットワーク構成が要求されるサイバーセキュリティ対策に準拠していることを確認する必要があります。ネットワーク管理者間で特定の構成について意見の相違が生じた場合、最も客観的かつ正確な解決方法は、CMMCレベル2の基礎となる公式のCMMCガイダンスおよびNIST SP 800-171の要件を参照することです。
* CMMC評価ガイドを主要な参考資料として使用する
* CMMC評価ガイド（レベル1およびレベル2）は、セキュリティ対策について明確な解釈を提供します。
* 各実践方法が認証プロセス中にどのように実施され、評価されるべきかを説明します。
* NIST SP 800-171を準拠基準とする
* CMMCレベル2は、機密指定されていない管理情報（CUI）を保護するために必要な110のセキュリティ管理策を概説したNIST SP 800-171に直接基づいています。
* ネットワーク構成は、NISTが定義するセキュリティ要件に準拠する必要があります。これには以下が含まれます。
* アクセス制御（AC） - 最小権限の原則を確保する。
* 監査および説明責任（AU） - ネットワーク活動のログ記録と監視。
* システムおよび通信保護 (SC) - 安全なネットワーク設計と暗号化。
* 他の選択肢が間違っている理由：
* (A) 会社のCEOに相談する：
* ACEOは必ずしもサイバーセキュリティの専門家ではなく、CMMCの技術要件に精通していない場合があります。
技術的なコンプライアンスに関する決定は、経営幹部の意見ではなく、CMMCおよびNISTのフレームワークに基づいて行うべきである。
* (C) ネットワーク管理者の提案に従い、最も緩やかな制御を行う。
* より緩やかな管理策を選択すると、セキュリティリスクが高まり、CMMCへの不準拠につながる可能性があります。
* (D) ネットワーク管理者の最も厳格な管理案に従う：
* セキュリティは重要ですが、より厳格な管理は、コンプライアンスのために必要ではない運用上の非効率性や不必要なコストをもたらす可能性があります。
正しいアプローチは、CMMCおよびNIST SP 800-171で要求されていることを実装することであり、それ以上でもそれ以下でもない。
* CMMC評価ガイドおよびNIST SP 800-171 Rev. 2は、コンプライアンスに関する最も信頼性の高いガイダンスを提供する公式の情報源です。
* CMMCレベル2はNIST SP 800-171に完全に準拠しており、セキュリティに関する意見の相違を解決するための決定的な情報源となっています。
手順ごとの詳細：CMMCドキュメントからの最終検証：したがって、正解は次のとおりです。
B：CMMC評価ガイドおよびNIST SP 800-171を参照してください。