管理基準：CA.L2-3.12.1
CA.L2-3.12.1：「組織システムのセキュリティ制御を定期的に評価し、制御が効果的に適用されているかどうかを判断する。」この制御は、NIST SP 800-171の要件3.12.1に基づいています。この要件では、組織がコンプライアンスと有効性を確保するために、定期的なセキュリティ制御評価を実施することを義務付けています。
評価基準と正解の根拠：
証拠レビューおよび評価のタイムライン：
組織の手順書には、セキュリティ管理評価は四半期ごと（3ヶ月ごと）に実施しなければならないと明記されている。
主任評価者は第1四半期の報告書しか入手できないため、評価時点では第2四半期の報告書が欠落している。
CMMC監査要件：
評価者が対照群をMETと評価するためには、評価時に十分な証拠がすぐに利用できる状態である必要がある。
評価時点で第2四半期の報告書が不足しているため、主任評価者は組織が定めた評価頻度への準拠を確認できません。
答えがA、C、Dではない理由：
A（十分、MET）#不正解：管理評価の頻度は四半期ごとですが、第2四半期の証拠が入手できません。遵守状況を確認できません。
C（十分であり、後で再評価する）#誤り：監査中に証拠が入手できない場合、コントロールを最初にMETと評価することはできません。CMMC 2.0には、将来の証拠を待ってコントロールを「条件付き」で合格させる規定はありません。
D（不十分だが、後で再評価する）#誤り：一度コントロールが「NOT MET」と評価されると、新しい監査サイクルで再評価が実施されるまで「NOT MET」のままになります。評価者は、将来の証拠に基づいて評価を遡及的に調整しません。
回答を裏付ける公式CMMC 2.0参照資料：
CMMC評価プロセス（CAP）ガイド（2023年版）：
「管理策がMET（医療環境モニタリング）として評価されるためには、評価対象組織は評価時に十分な証拠を提出しなければならない。」
「証拠が欠落しているか不完全な場合、その評価は「要件を満たしていない」と判断される。」NIST SP 800-171A（セキュリティ要件評価ガイド）
「証拠は、最新のものであり、関連性があり、規定された実施頻度要件への準拠を証明するのに十分でなければならない。」この手続きでは四半期ごとの評価が義務付けられているため、証拠が不足している場合は、準拠を検証することができない。
国防総省CMMCスコープ設定ガイドライン：
「評価者は、評価時に提供された証拠に基づいて判断を下すものとする。必要な証拠が入手できない場合は、管理策は「不適合」と評価されるものとする。」最終結論：
正解はBです。評価時点で必要な証拠（第2四半期報告書）が入手できないため、コンプライアンスを検証するには不十分です。主任評価者は、CMMC 2.0の評価規則に従って、管理策を「未達成」と評価する必要があります。

サイバーセキュリティ成熟度モデル認証（CMMC）2.0は、主に米国国立標準技術研究所（NIST）の2つの主要な特別刊行物に基づいています。
NIST SP 800-171 - 「非連邦システムおよび組織における管理対象非機密情報 (CUI) の保護」 NIST SP 800-172 - 「管理対象非機密情報を保護するための強化されたセキュリティ要件: NIST 特別刊行物 800-171 の補足」 NIST SP 800-171 この文書は CMMC 2.0 の中核となる基盤であり、非連邦システムにおける管理対象非機密情報 (CUI) を保護するためのセキュリティ要件を確立します。
NIST SP 800-171 Rev. 2の110のセキュリティ管理項目は、CMMCレベル2に直接対応しています。
NIST SP 800-172
この補足資料には、高度な持続的脅威（APT）に直面する高価値のCUI（機密情報）を扱う組織向けの強化されたセキュリティ要件が含まれています。
これらの強化された要件は、CMMC 2.0モデルにおけるレベル3に適用されます。
B). DFARS、FIPS 100、およびNIST SP 800-171#不正解
DFARS 252.204-7012ではNIST SP 800-171への準拠が義務付けられているが、FIPS 100は関連するサイバーセキュリティ標準としては存在しない。
C). DFARS、NIST、カーネギーメロン大学#不正解
CMMCはDFARSおよびNISTに準拠していますが、カーネギーメロン大学によって開発されたものではなく、また同大学が直接影響を与えたものでもありません。
D). DFARS、FIPS 100、NIST SP 800-171、およびカーネギーメロン大学#誤り。FIPS 100は関係ありませんし、カーネギーメロン大学はCMMCフレームワークの定義エンティティではありません。
CMMC 2.0 スコープガイド（2023年）は、CMMCレベル2がNIST SP 800-171に完全に基づいていることを確認しています。
CMMC 2.0 レベル 3 ドラフト文書では、強化されたセキュリティ要件に関して、NIST SP 800-172 を明示的に参照しています。
国防総省暫定規則（DFARS 252.204-7021）は、組織がCUI保護に関してNIST SP 800-171を満たすことを義務付けています。
参照と分析：誤った選択肢の排除：回答を裏付ける公式の CMMC 2.0 参照資料 最終的な結論：CMMC 2.0 モデルは、NIST SP 800-171 および NIST SP のみから派生しています
800-172となり、Aが唯一の正解となります。

CMMC資産スコープ要件の理解CMMCレベル2評価を実施する前に、認証取得を目指す組織（OSC）は、すべての資産を分類することで評価範囲を定義する必要があります。これにより、関連するシステムのみがCMMCの基準に照らして評価され、不要なコンプライアンス負担が軽減されます。
CMMCレベル2のスコープガイドによると、資産カテゴリは4つあります。
* CUI資産 - 管理対象非機密情報（CUI）を処理、保存、または送信する資産。
* セキュリティ保護資産（SPA）- セキュリティ機能を提供する資産（例：ファイアウォール、侵入検知システム、ID管理システム）。
* 請負業者リスク管理資産（CRMA） - CUIを直接保存/処理しないが、CUI環境と相互作用する資産（例：BYODデバイス、リモートアクセスに使用されるパーソナルコンピュータ）。
* 特殊資産 - 運用技術 (OT)、IoT、政府支給機器 (GFE) などの特殊なシステムで、限定的な CMMC 評価が必要となる場合があります。
常に評価される資産カテゴリーはどれですか？#1. CUI資産（常に評価されます）
* これらはCUIを扱うため、CMMCレベル2の主な焦点となります。
* これらの資産には、NIST SP 800-171 のすべての管理策が適用されます。
#2. セキュリティ保護資産（SPA）（常に評価）
* CUI資産を保護するセキュリティツールは、常に評価に含まれています。
* 例としては、ファイアウォール、ウイルス対策ソフト、エンドポイント検出・対応（EDR）ツール、ID管理システムなどが挙げられます。
* (A) CUI資産および特殊資産#
* CUI資産は評価されますが、特殊資産はCUIセキュリティにおける役割に応じて限定的な方法でのみ評価されます。
* (C) 特殊資産および請負業者リスク管理資産#
* 特殊資産およびCRMAは、CUIセキュリティに直接影響を与えない限り、通常はCMMCコントロールに対して完全に評価されません。
* (D) セキュリティ保護資産および請負業者リスク管理資産#
* SPAは常に評価されますが、CRMAはCUIに直接影響を与えない限り、必ずしも評価されるわけではありません。
* CMMCスコープガイド（レベル2）では、CUI資産とセキュリティ保護資産は常にCMMCの慣行に照らして評価されることが明確に述べられています。
他の選択肢が間違っている理由：CMMCドキュメントからの最終検証：したがって、正解は次のとおりです。
B：セキュリティ保護資産およびCUI資産。