1. CMMCレベル1におけるFCIの基本的な保護要件の理解 連邦契約情報（FCI）は、政府によって契約に基づいて提供または生成された情報で、一般公開を意図していないものと定義されます。
CMMCレベル1は、FAR 52.204-21（対象となる請負業者の情報システムの基本的な保護）に記載されている15のセキュリティ要件に準拠し、FCIの基本的な保護を確保するように設計されています。
FCIのみを扱う請負業者は、FAR 52.204-21で定められた安全対策要件に直接準拠するCMMCレベル1を満たす必要があります。
2. FAR 52.204-21とCMMCレベル1準拠におけるその役割
FAR 52.204-21は、FCIを保護するために請負業者が実施しなければならない基本的なサイバーセキュリティ管理を定めています。
15の基本的な安全対策要件は以下のとおりです。
情報へのアクセスを許可されたユーザーのみに制限する。
システムへのアクセスを許可する前に、ユーザーを識別し認証する。
送信されたFCIを不正な開示から保護する。
外部システムへの接続を監視および制御する。
境界保護およびサイバーセキュリティ対策の適用。
廃棄前に培地を消毒する。
セキュリティ設定を更新して脆弱性を低減する。
物理的なセキュリティ対策を提供する。
FCIを処理するシステムへの物理的なアクセスを制御する。
該当する場合は、多要素認証（MFA）を強制的に適用する。
ソフトウェアおよびハードウェアの脆弱性を修正する。
リムーバブルメディアの使用を制限する。
システム監査ログの作成と保持。
リスクベースのセキュリティ評価を実施する。
インシデント対応計画の策定。
これら15のプラクティスは、CMMCレベル1自己評価の基礎を形成し、請負業者がFCIの取り扱いに関する最低限のサイバーセキュリティ要件を満たしていることを保証します。
3．他の選択肢が間違っている理由
B) 22 CFR 120-130:
これは、防衛関連の物品およびサービスの輸出を規制する国際武器取引規則（ITAR）を指しており、FCIの安全保障要件とは関係ありません。
C). DFARS 252.204-7011:
この条項は代替的な明細項目構造に関するものであり、サイバーセキュリティやFCIの保護には関係しません。
D). DFARS 252.204-7021:
この条項は CMMC 要件を強制しますが、基本的な保護管理を定義しません。CMMC への準拠を要求しますが、基礎要件 (FAR 52.204- から得られる) を規定しません。
レベル1の場合は21）。
4. 公式CMMC 2.0リファレンスおよび学習ガイドとの整合性
CMMC 2.0 モデルのドキュメントでは、レベル 1 は FAR 52.204-21 の 15 の実践に重点を置いていることが確認されています。
国防総省の公式CMMCレベル1評価ガイドでは、FAR 52.204-21を満たすことがレベル1自己評価に合格するための要件であると明記されています。
CMMC 2.0 スコープガイドでは、FCI のみを取り扱い、レベル 1 認証を申請する請負業者は、FAR 52.204-21 のセキュリティ管理策のみを実施する必要があることが明確にされています。
最終確認：
正解はAです。FAR 52.204-21はFCIの基本的な保護を直接規定しており、CMMC 2.0のレベル1自己評価の基礎となる要件です。

CMMC評価におけるスコープ要件CMMC 2.0スコープガイドとCMMC評価プロセス（CAP）ドキュメントは、評価のスコープに含めるべき内容を明確に定義しています。
評価範囲には以下が含まれる必要があります。
* FCI/CUIを処理、保存、または送信するすべての資産
* セキュリティ保護資産（ESP）- これらの資産は、ファイアウォール、エンドポイント検出システム、暗号化メカニズムなど、FCI/CUIを保護するのに役立ちます。
したがって、正しい範囲には以下の両方が含まれます。
#FCI/CUI資産（データ保存、処理、または送信資産）
#セキュリティ保護資産（ESP）（ファイアウォール、セキュリティツールなど）
* A. 事業計画書に記載されているすべての資産#誤り。事業計画書にはFCI/CUIとは無関係の資産が含まれる場合があり、この範囲は広すぎます。FCI/CUIに関連する資産のみを評価する必要があります。
* B. FCI/CUI を処理、保存、または送信するかどうかにかかわらず、すべての資産#誤り。CMMC では、FCI/CUI と関連のない資産を含めることは組織に要求されていません。
* C. 事業分野に関係なく、組織に関連するすべての事業体#誤り。FCI/CUIまたはセキュリティ保護に関連する資産のみを評価する必要があります。無関係な事業部門（非連邦商業部門など）は対象外です。
他の回答が間違っている理由
* CMMC 2.0 スコープガイド - レベル1およびレベル2
* CMMC評価プロセス（CAP）文書
CMMC 公式リファレンスによると、公式の CMMC 評価範囲要件に従って、オプション D (FCI/CUI およびセキュリティ保護資産を処理、保存、または送信するすべての資産) が正解です。

各診療科の評価方法は誰が決定するのか？
CMMCレベル2評価において、主任評価者は、各業務を評価するために使用される評価方法を決定する最終的な権限を有します。
主任評価者の主な責任
#CMMC評価プロセス（CAP）ガイドが遵守されていることを確認します。
# 面接、実演、文書レビューのいずれを使用して実務を評価するかを決定します。
#認定CMMCプロフェッショナル（CCP）およびその他の評価者に対し、証拠収集の方法論を指示する。
#適切な評価実施を保証するため、認定第三者評価機関（C3PAO）の下で業務を行います。
「主任評価者」という表現が正しい理由とは？
CCP（オプションA）は評価を支援するが、方法に関する最終決定は行わない。
OSC（オプションB）は認証を求める組織であり、評価方法を管理する組織ではありません。
サイトマネージャー（オプションC）は物流の調整を行うことはできますが、評価に関する決定権はありません。
回答選択肢の内訳
オプション
説明
正しい？
A). 中国共産党
#誤り - CCPassistsは評価方法を決定するものではありません。
B). OSC
#誤り - OSCは評価を受けている側であり、評価方法を決定する側ではありません。
C). サイトマネージャー
#誤り - サイトマネージャーは物流を担当しますが、評価方法を管理するわけではありません。
D) 主任評価者
#正解 - 主任評価者が使用する評価方法について最終決定権を持ちます。
CMMC 2.0ドキュメントからの公式参照
CMMC評価プロセスガイド（CAP）- 主任評価者の役割、すなわち評価方法の決定における役割を定義します。
最終検証と結論
正解はDです。主任評価者は、評価方法論に関する最終的な決定権を持っているからです。