CMMC評価プロセス（CAP）では、十分な証拠が以下の要件を満たす必要があります。
サンプリングされた組織をカバーする、
評価の定義されたモデル範囲（目標CMMCレベル）を網羅し、証拠収集方法に準拠していること。
組織がISOなどの他の認証を取得している場合でも、証拠は常に必要です。外部認証はCMMCの証拠要件に取って代わることはできません。したがって、「ISO認証を取得している場合は証拠は不要」という主張は妥当ではありません。
参考資料：
CMMC評価プロセス（CAP）、v1.0

NIST SP 800-171 の要件に準拠した CMMC 2.0 レベル 2 では、非ローカル保守セッションに対する堅牢な制御を維持することが不可欠です。多要素認証 (MFA) は安全なアクセスに必要な保護策ですが、制御 3.3.5 で概説されている保守要件を完全に満たすためには、追加の対策を実施する必要があります。
非現地メンテナンスの主な要件：
非ローカルメンテナンスセッションの終了:
攻撃対象領域を縮小し、不正アクセスを防止するため、メンテナンス作業完了後、非ローカルのメンテナンス接続は直ちに切断する必要があります。これは、脅威アクターによって悪用される可能性のある、リモートセッションの長期化に伴うリスクを軽減するための直接的な要件です。
参考資料：NIST SP 800-171、コントロール3.3.5には、「リモートメンテナンスは管理された方法で実施し、使用後は直ちに接続を無効にすること」と記載されています。多要素認証（MFA）：
OSC（運用保守センター）は、非ローカルのリモート保守セッションに対してMFA（多要素認証）を実装する必要があります。MFAには、少なくとも2つの要素（例えば、知っていること、持っているもの、または自分自身であること）を含める必要があります。
OSCによるMFAの利用は要件の一部を満たすものの、適切な終了手順が整備されていない限り、完全な制御とは言えません。
方針および手順の遵守：
OSCは保守ポリシーを文書化し、保守後に接続を終了させる必要性を反映させる必要がある。ポリシーには、安全な非ローカル保守手順を確保するための役割、責任、および手順を明記する必要がある。
誤った選択肢：
B) 無制限の接続: 無制限の非ローカルメンテナンスセッションを許可することは、重大なセキュリティリスクであり、最小権限の原則に違反します。
C) 制限の撤廃：便宜のために制限を撤廃することは、コンプライアンスとセキュリティを直接的に損なう。
D) 多要素認証の詳細: MFA は必要ですが、質問では OSC が既にそれを使用していると述べられています。
セッションの終了が、欠けている要件です。
結論：
メンテナンス完了後に非ローカルメンテナンスセッションを終了するという要件（オプションA）は、CMMC 2.0レベル2およびNIST SP 800-171、コントロール3.3.5への準拠に不可欠です。これにより、非ローカルメンテナンス活動が不正アクセスや潜在的な脆弱性から保護されることが保証されます。

CMMC評価手順の理解CMMC評価手順は以下で構成されます。
* 評価目標 - 評価対象と期待される結果を定義します。
* 評価方法 - 評価がどのように実施されるかを指定します（例：試験、面接、テスト）。
* 評価対象 - 政策、システム、人物など、評価対象となるものを特定します。
* 評価目標には、CMMCの各セキュリティ対策について期待される結果を説明する決定事項が含まれます。
* これらの記述は、文書化された証拠と評価結果に基づいて、ある実践が適切に実施されているかどうかを定義するものです。
* CMMC評価プロセス（CAP）ガイドおよびNIST SP 800-171Aでは、各プラクティスには評価の決定を導く決定ステートメントがあることが規定されています。
* A. 仕様とメカニズム#不正解
* これらは評価対象に属し、評価対象となるシステム、ポリシー、およびメカニズムを指します。
* B. 試験、面接、テスト#不正解
* これらは評価方法であり、評価者がコンプライアンスをどのように検証するか（例えば、面接やテストなど）を説明するものです。
* D. 指定された条件下で評価対象を運動させる#不正解
※これは評価テストに関するものであり、評価目標ではなく評価方法です。
* CMMC評価プロセス（CAP）ガイド - 評価目標の中核として決定事項を説明しています。
* NIST SP 800-171A - セキュリティ管理策を評価する上での重要な要素として、判定ステートメントを定義しています。
正解が「C」である理由。他の選択肢ではない理由。関連するCMMC 2.0の参照。最終的な正当化:評価目標には、プラクティスが適切に実施されているかどうかを説明する決定ステートメントが含まれているため、正解はCです。

* CMMCレベル2は、110のセキュリティ管理策（実践）で構成されるNIST SP 800-171に準拠するように設計されています。
* これは、NIST SP 800-171に記載されている110のプラクティスすべてがCMMCレベル2認証に必要であることを意味します。
CMMCレベル2にはいくつのプラクティスが含まれていますか？CMMC 2.0のプラクティスの内訳 CMMCレベル プラクティスの数 レベル1
17の実践事項（基本的なサイバー衛生）
レベル2
110の実践例（NIST SP 800-171に準拠）
レベル3
まだ確定していないが、110を超える見込み
CMMCレベル2ではNIST SP 800-171のすべての110のプラクティスが義務付けられているため、正解はCです。110のプラクティス。
* A. 17のプラクティス#誤り。17のプラクティスはCMMCレベル1にのみ適用され、レベル2には適用されません。
* B. 72 の実践#誤り。72 の実践を含む CMMC レベルはありません。
* D. 180の実践#間違いです。CMMCレベル2では110の実践のみが必要であり、180ではありません。
他の回答が間違っている理由
* CMMC 2.0 モデル - レベル 2 には NIST SP 800-171 に準拠した 110 のプラクティスが含まれていることを確認します。
* NIST SP 800-171 Rev. 2 - 管理対象非機密情報 (CUI) の取り扱いに必要な 110 のセキュリティ管理策の概要を示します。
CMMC公式資料によると、公式のCMMCガイダンスに従って、オプションC（110のプラクティス）が正解です。