ステップ 1: 評価者の役割と責任の連鎖を理解するCMMC の評価中、評価者は C3PAO (認定第三者評価機関) によって組織されたチームの一員です。評価者が証拠が不十分または不適切であると判断した場合でも、評価を中止または延期する権限は独立してありません。
出典：CMMC評価プロセス（CAP）v1.0 - セクション3.5.4および3.5.6
「評価チームが証拠の十分性または適切性に欠陥があると判断した場合、主任評価者およびC3PAOと協力して適切な対応策を決定しなければならない。」
* C3PAOは、評価ライフサイクル全体を監督する責任を負います。
* 証拠が不十分な場合、評価者は組織内（すなわち、主任評価者またはC3PAOの担当者）で以下の担当者に報告する必要があります。
* OSCに説明を求める、
* 追加の証拠を要求できるかどうかを判断する。
* 評価スケジュールを継続するか、一時停止するか、または変更するかを決定する。
#ステップ2：C3PAOに連絡することが正しい行動である理由
* A. CMMC-ABに通知する# 誤り。サイバーAB（旧CMMC-AB）は、評価の運用面には関与していません。日々の評価決定を管理していません。
* B. 評価の取り消し# 誤り。評価者は一方的に評価を取り消すことはできません。C3PAOのみが、関係者全員と協議の上で、そのような措置を取ることができます。
* C. 評価を延期する# 間違いです。延期はロジスティクス上の決定であり、個々の評価者ではなく、C3PAO を通じて管理する必要があります。
#他の選択肢が間違っている理由
評価者がOSCから提出された証拠がCMMCの要件を満たすのに不十分または不適切であると判断した場合、適切な対応策はC3PAOに相談することです。C3PAOはガイダンスを提供したり、適切な次のステップを調整したりします。

国防総省の請負業者は、CUI の侵害を誰に報告するのでしょうか? DFARS 252.204-7012 に従って、管理された非機密情報 (CUI) を扱うすべての国防総省の請負業者は、サイバー インシデントを国防総省サイバー犯罪センター (DC3) に報告する必要があります。
主な報告要件#CUIに関わるサイバーインシデントは、72時間以内にDC3に報告する必要があります。
#報告書は国防総省のサイバーインシデント報告ポータルを通じて提出する必要があります。
#請負業者は、将来の捜査に備えて法医学的証拠を保存しなければならない。
* FBI（オプションA）は犯罪捜査を担当しますが、国防総省の請負業者はサイバーインシデントをDC3に報告する必要があります。
* NARA（オプションB）はCUIレジストリを監督しますが、情報漏洩の報告については責任を負いません。
* 国防次官（情報・安全保障担当）（オプションD）は、情報活動を担当し、事件報告は担当しません。
「DoD サイバー犯罪センター」が正解である理由。回答選択肢の内訳オプションの説明正解ですか？
A: FBI
#誤り - FBIは刑事事件を扱い、CUI漏洩の報告は扱いません。
B: NARA
#誤り - NARAはCUIレジストリを管理していますが、情報漏洩の処理は行っていません。
C: 国防総省サイバー犯罪センター
#正しい - DFARS 252.204-7012 によると、CUI に関わるサイバーインシデントは DC3 に報告する必要があります。
D: 国防次官（情報・安全保障担当）
#誤り - この部署ではサイバーインシデント報告は取り扱っておりません。
* DFARS 252.204-7012 - DoD の請負業者に CUI 関連のサイバー インシデントを DC3 に報告することを義務付けています。
* 国防総省サイバー犯罪センター（DC3）ウェブサイト - サイバーインシデント報告のための公式プラットフォーム。
CMMC 2.0 および DFARS 文書からの公式参照最終検証と結論正解は C です。DFARS 252.204-7012 に従って、国防総省サイバー犯罪センターは、すべての国防総省請負業者が CUI の侵害を 72 時間以内に DC3 に報告することを義務付けています。

1. CMMCレベル1におけるFCIの基本的な保護要件の理解 連邦契約情報（FCI）は、政府によって契約に基づいて提供または生成された情報で、一般公開を意図していないものと定義されます。
CMMCレベル1は、FAR 52.204-21（対象となる請負業者の情報システムの基本的な保護）に記載されている15のセキュリティ要件に準拠し、FCIの基本的な保護を確保するように設計されています。
FCIのみを扱う請負業者は、FAR 52.204-21で定められた安全対策要件に直接準拠するCMMCレベル1を満たす必要があります。
2. FAR 52.204-21とCMMCレベル1準拠におけるその役割
FAR 52.204-21は、FCIを保護するために請負業者が実施しなければならない基本的なサイバーセキュリティ管理を定めています。
15の基本的な安全対策要件は以下のとおりです。
情報へのアクセスを許可されたユーザーのみに制限する。
システムへのアクセスを許可する前に、ユーザーを識別し認証する。
送信されたFCIを不正な開示から保護する。
外部システムへの接続を監視および制御する。
境界保護およびサイバーセキュリティ対策の適用。
廃棄前に培地を消毒する。
セキュリティ設定を更新して脆弱性を低減する。
物理的なセキュリティ対策を提供する。
FCIを処理するシステムへの物理的なアクセスを制御する。
該当する場合は、多要素認証（MFA）を強制的に適用する。
ソフトウェアおよびハードウェアの脆弱性を修正する。
リムーバブルメディアの使用を制限する。
システム監査ログの作成と保持。
リスクベースのセキュリティ評価を実施する。
インシデント対応計画の策定。
これら15のプラクティスは、CMMCレベル1自己評価の基礎を形成し、請負業者がFCIの取り扱いに関する最低限のサイバーセキュリティ要件を満たしていることを保証します。
3．他の選択肢が間違っている理由
B) 22 CFR 120-130:
これは、防衛関連の物品およびサービスの輸出を規制する国際武器取引規則（ITAR）を指しており、FCIの安全保障要件とは関係ありません。
C). DFARS 252.204-7011:
この条項は代替的な明細項目構造に関するものであり、サイバーセキュリティやFCIの保護には関係しません。
D). DFARS 252.204-7021:
この条項は CMMC 要件を強制しますが、基本的な保護管理を定義しません。CMMC への準拠を要求しますが、基礎要件 (FAR 52.204- から得られる) を規定しません。
レベル1の場合は21）。
4. 公式CMMC 2.0リファレンスおよび学習ガイドとの整合性
CMMC 2.0 モデルのドキュメントでは、レベル 1 は FAR 52.204-21 の 15 の実践に重点を置いていることが確認されています。
国防総省の公式CMMCレベル1評価ガイドでは、FAR 52.204-21を満たすことがレベル1自己評価に合格するための要件であると明記されています。
CMMC 2.0 スコープガイドでは、FCI のみを取り扱い、レベル 1 認証を申請する請負業者は、FAR 52.204-21 のセキュリティ管理策のみを実施する必要があることが明確にされています。
最終確認: 正解は A. FAR 52.204-21 です。これは FCI の基本的な保護を直接規定しており、CMMC 2.0 のレベル 1 自己評価の基礎となる要件です。

「CUI//SP-PRVCY//FED Only」とはどういう意味ですか？
このメールには、特定のカテゴリと配布制限が定められた管理対象非機密情報（CUI）が含まれています。
CUI//SP-PRVCY//FED は以下のように分解されます。
CUI# 管理対象非機密情報指定番号。
SP-PRVCY#プライバシー情報のための指定カテゴリ（SPは「指定」を意味します）。
連邦政府専用# 連邦政府専用（請負業者や一般の方は使用できません）。
公式CUI登録簿を管理しているのは誰ですか？
米国国立公文書館（NARA）はCUIプログラムを監督し、公式のCUIレジストリ（https://www.archives.gov/cui）を維持管理しています。
CUIレジストリは、「SP-PRVCY」や「FED Only」などの配布制御を含む、すべてのCUIラベルの定義、マーキングガイダンス、カテゴリを提供します。NARAが正解である理由 NARAは、CUIマーキングの定義と管理を担当する統括機関です。
CUI（機密情報）を取り扱う組織は、公式な表示解釈についてはNARA（米国国立公文書館）のCUI登録簿を参照する必要があります。
国防総省の請負業者およびその他の組織は、機密情報（CUI）の取り扱い、表示、および配布を行う際に、米国国立公文書館（NARA）のガイドラインを遵守しなければならない。
B) CMMC-AB - CMMC認定機関は認証評価を管理しますが、CUIマーキングを定義または解釈しません。
C) DoD 請負業者 FAQ ページ - DoD は一般請負業者向けのガイダンスを提供する場合がありますが、CUI の表示は NARA によって管理されており、FAQ ページではありません。
D). DoD 239.7601 定義ページ - これは一般的な国防総省の調達定義を参照していますが、CUI のカテゴリとマーキングは NARA の権限下にあります。
参考文献：NARA CUIレジストリ（https://www.archives.gov/cui）
DoD CUI プログラム ガイダンス (DoD CIO サイト)
CMMC 2.0 レベル2 準拠要件（サイバーAB）
#最終回答 A. NARA

Understanding the Best Source for CMMC Practice DescriptionsTheCMMC Assessment Guide (Levels 1 and
2)is theprimaryandmost authoritativedocument for detailed descriptions of each practice and process within the variousCMMC domains.
Step-by-Step Breakdown:#1. What is the CMMC Assessment Guide?
TheCMMC Assessment Guideprovides detailed explanations of:
EachCMMC practicewithin its respectivedomain.
Theassessment objectivesfor verifying implementation.
Examples ofevidence requiredto demonstrate compliance.
CMMC 2.0 includes two levels:
Level 1: 17 basic cybersecurity practices.
Level 2: 110 practices aligned withNIST SP 800-171.
TheAssessment Guidedefines howassessorsevaluate compliance.
#2. Why the Other Answer Choices Are Incorrect:
(A) CMMC Glossary#
TheGlossaryprovidesdefinitions of termsused in CMMC but does not describe specific practices in detail.
(B) CMMC Appendices#
Appendicesinclude supplementary information likereferences and scoping guidance, but they do not provide full descriptions of practices.
(C) CMMC Assessment Process#
TheAssessment Process Guideexplainshowassessments are conducted, but it doesnot describe each practicein detail.
Final Validation from CMMC Documentation:TheCMMC Assessment Guide (Levels 1 and 2)is theofficialsource for descriptions of eachCMMC practice and process, making it thebest referencefor understanding compliance requirements.