DoDI 5200.48では、CUIの認可保有者が適切なCUIマーキングを適用する責任を負うと規定されています。認可保有者とは、合法的な政府目的のために情報にアクセスできる個人を指します。これにより、情報の適切なマーキングに関する責任は、機密情報に適用される元の分類権限者だけでなく、資料を作成または取り扱う者にも及ぶことが保証されます。
参考資料：
* DoDI 5200.48、管理対象非機密情報（CUI）

DFARS 252.204-7012（保護対象防衛情報およびサイバーインシデント報告の保護）に基づき、請負業者がクラウドベースのサービスを使用して管理対象非機密情報（CUI）を保存、処理、または送信する場合、クラウドプロバイダーはFedRAMP Moderateまたは同等のセキュリティ要件を満たさなければなりません。
DFARS 252.204-7012 (c)(1) の主な要件:
クラウドに保存されるCUIは、FedRAMP Moderate（またはそれ以上）の要件に従って保護されなければなりません。
クラウドプロバイダーは、NIST SP 800-に準拠したFedRAMP Moderateベースラインセキュリティコントロールを満たす必要があります。
53 中程度のインパクトレベルの要件。
クラウドプロバイダーは、DFARS 252.204-7012に規定されているインシデント報告およびサイバーインシデント対応の要件への準拠も確保しなければなりません。
正解が「FedRAMP Moderate」（B）である理由は？
A). FedRAMP Low # 不正解
FedRAMP Lowは、機密性、完全性、可用性のリスクが低いシステムを対象としているため、CUI（機密情報）の保護には不十分です。
B). FedRAMP 中程度 # 正解
FedRAMP Moderateは、DFARS 252.204-7012に基づくCUIの最低必要レベルです。
これは、機密性は高いものの非機密扱いの政府データを保護するためのセキュリティ基準を提供するものです。
C). FedRAMP High # 不正解
FedRAMP Highは、機密性の高い情報（機密データや国家安全保障データなど）を扱うシステムに適用されますが、CUIには必ずしも必要ではありません。
D). FedRAMP Secure # 不正解
FedRAMPガイドラインには、公式なFedRAMP Secureカテゴリは存在しません。
CMMC 2.0 References Supporting this Answer:
DFARS 252.204-7012(c)(1)
Specifies thatcontractors using external cloud services for CUI must meet FedRAMP Moderate or equivalent.
CMMC 2.0 Level 2 Requirements
CUI must be protected using NIST SP 800-171 security requirements, whichalign with FedRAMP Moderate controls.
FedRAMP Security Baselines
FedRAMP Moderateis designed for systems that handlesensitive government data, including CUI.