무료 온라인 액세스 CyberAB.CMMC-CCP.v2025-09-18.q124 모의 시험 (Page 7)

CMMC-CCP 문제 26

하청업체가 유효한 CMMC 인증을 받았는지 확인하는 책임은 누구에게 있습니까?

A. OUSDA&S

B. CMMC-AB

C. DoD 기관 또는 고객

D. 계약자 조직

CMMC-CCP 문제 27

2단계 평가 범위를 정할 때, 다양한 CMMC 단계에 필요한 관행을 성공적으로 구현하는 프로세스를 이해하는 데 유용한 문서는 무엇입니까?

A. NISTSP 800-53

B. NISTSP 800-88

C. NISTSP 800-171

D. NISTSP 800-172

정답: C

CMMC 2.0 레벨 2는 NIST 특별 간행물(SP) 800-171, "비연방 시스템 및 조직에서의 통제되지 않은 비밀 정보(CUI) 보호"와 직접적으로 연계됩니다. 레벨 2 인증(OSC)을 추구하는 조직은 NIST SP 800-171에 명시된 110가지 보안 요구 사항을 준수해야 합니다.
DFARS 252.204-7012에 따라 명령된 171.
* CUI 보호를 위한 보안 요구 사항을 정의합니다.
* NIST SP 800-171은 비연방 시스템에서 통제되지 않은 비밀 정보(CUI)를 보호하기 위해 계약자가 구현해야 하는 110가지 보안 제어를 설명합니다.
* 이러한 통제는 접근 통제, 사고 대응, 위험 관리를 포함하여 14가지 가족으로 분류됩니다.
* CMMC 레벨 2 규정 준수를 위한 기준 설정:
* CMMC 2.0 레벨 2 평가는 전적으로 NIST SP 800-171 요구 사항을 기반으로 합니다.
* 레벨 2 인증에서 평가된 모든 관행은 NIST SP의 요구 사항에 직접 매핑됩니다.
800-171 개정 2.
* 구현 및 평가에 대한 지침 제공:
* NIST SP 800-171A "평가 가이드"는 OSC가 CMMC 평가를 준비하는 데 도움이 되는 자세한 평가 목표를 제공합니다.
* 각 통제가 어떻게 구현되고 검증되어야 하는지 명확히 하여 평가 범위를 정의하는 데 도움이 됩니다.
* CMMC 및 DFARS 규정에 참조됨:
* DFARS 252.204-7012에서는 계약자가 NIST SP 800-171 보안 요구 사항을 구현하도록 요구합니다.
* CMMC 2.0 레벨 2 모델은 NIST SP 800-171의 110가지 요구 사항을 모두 직접 통합하여 DoD 사이버 보안 기대치와의 일관성을 보장합니다.
* A. NIST SP 800-53("연방 정보 시스템 및 조직을 위한 보안 및 개인정보 보호 제어")
* 이 문서는 연방 시스템에만 적용되며, CUI를 처리하는 비연방 기관에는 적용되지 않습니다.
* 다른 보안 표준의 기반이기는 하지만 CMMC 레벨의 기반은 아닙니다.
2평가.
* B. NIST SP 800-88("미디어 정리 지침")
* 이 문서는 안전한 데이터 파기 및 미디어 정리 기술에 중점을 두고 있습니다.
* 데이터 폐기가 중요하지만, 이 표준은 CUI를 보호하기 위한 보안 제어를 정의하지 않습니다.
* D. NIST SP 800-172("CUI 보호를 위한 강화된 보안 요구 사항")
* 이 문서는 NIST SP 800-171을 기반으로 하며 고급 사이버 보안 보호가 필요한 시스템(예: 고급 지속 위협을 타겟으로 함)에 적용됩니다.
* NIST SP 800-171 준수만 요구하는 표준 CMMC 레벨 2 평가에는 필요하지 않습니다.
* NIST SP 800-171 Rev. 2(NIST 공식 사이트)
* NIST SP 800-171A(평가 가이드)(NIST 공식 사이트)
* CMMC 2.0 레벨 2 범위 가이드(Cyber AB)
NIST SP 800-171이 레벨 2 범위 지정에 필수적인 이유: 잘못된 답변에 대한 설명: CMMC 레벨 2 범위 지정을 위한 주요 참고 자료: 결론: CMMC 2.0 레벨 2 평가는 전적으로 NIST SP 800-171을 기반으로 하기 때문에
800-171, 이 문서는 레벨 2 평가 범위 설정에 가장 적합한 자료입니다. 따라서 정답은 다음과 같습니다.
#C. NIST SP 800-171

CMMC-CCP 문제 28

평가팀 구성원의 자격을 파악하고 검증하는 책임은 누구에게 있습니까?

A. CMMC 마켓플레이스

B. C3PAO

C. CMMC-AB

D. 수석 평가자

CMMC-CCP 문제 29

1단계 자체 평가 시 계약자가 FCI의 기본 안전 보장 요건을 충족해야 한다는 규정은 어떤 코드나 조항에 따라야 합니까?

A. FAR 52.204-21

B. 22CFR 120-130

C. DFARS 252.204-7011

D. DFARS 252.204-7021

정답: A

1. CMMC 레벨 1의 FCI 기본 보호 요구 사항 이해
* 연방 계약 정보(FCI)는 대중에 공개할 의도가 없는 계약에 따라 정부가 제공하거나 정부를 위해 생성된 정보로 정의됩니다.
* CMMCLevel 1은 FAR 52.204-21(적용 대상 계약자 정보 시스템의 기본 보호)에 명시된 15가지 보안 요건에 맞춰 FCI의 기본적 보안을 보장하도록 설계되었습니다.
* FCI만 취급하는 계약자는 FAR 52.204-21에 명시된 안전 요구 사항과 직접적으로 일치하는 CMMC 레벨 1을 충족해야 합니다.
2. FAR 52.204-21 및 CMMC 레벨 1 규정 준수에서의 역할
* FAR 52.204-21은 계약자가 FCI를 보호하기 위해 구현해야 하는 기본 사이버 보안 통제를 확립합니다.
* 15가지 기본 보호 요구 사항은 다음과 같습니다.
* 권한이 있는 사용자로만 정보 접근을 제한합니다.
* 시스템 접근을 허용하기 전에 사용자를 식별하고 인증합니다.
* 전송된 FCI를 무단 공개로부터 보호합니다.
* 외부 시스템에 대한 연결을 모니터링하고 제어합니다.
* 경계 보호 및 사이버 보안 조치 적용.
* 폐기 전 매체를 살균합니다.
* 취약점을 줄이기 위해 보안 구성을 업데이트합니다.
* 물리적 보안을 제공합니다.
* FCI를 처리하는 시스템에 대한 물리적 접근을 제어합니다.
* 해당되는 경우 다중 요소 인증(MFA)을 시행합니다.
* 소프트웨어와 하드웨어의 취약점을 패치합니다.
* 이동식 미디어 사용 제한.
* 시스템 감사 로그를 생성하고 보관합니다.
* 위험 기반 보안 평가 수행
* 사고 대응 계획을 개발합니다.
이러한 15가지 관행은 CMMC 레벨 1 자체 평가의 기초를 형성하여 계약자가 FCI 처리에 필요한 최소한의 사이버 보안 기대치를 충족하도록 보장합니다.
3. 다른 옵션이 잘못된 이유
* B. 22 CFR 120-130:
* 이는 FCI 안전 요구 사항이 아닌, 방위 관련 품목 및 서비스의 수출을 통제하는 국제 무기 거래 규정(ITAR)을 의미합니다.
* C. DFARS 252.204-7011:
* 이 조항은 대체 항목 구조를 언급하며 사이버 보안이나 FCI 보호와 관련이 없습니다.
* D. DFARS 252.204-7021:
* 이 조항은 CMMC 요건을 시행하지만 기본적인 안전 관리 통제를 정의하지는 않습니다. CMMC 준수를 요구하지만, 기본 요건(FAR 52.204-21에서 레벨 1에 적용)을 명시하지는 않습니다.
4. 공식 CMMC 2.0 참조 및 학습 가이드 정렬
* CMMC 2.0 모델 문서는 레벨 1이 FAR의 15가지 관행에 초점을 맞추고 있음을 확인합니다.
52.204-21.
* DoD의 공식 CMMC 레벨 1 평가 가이드에서는 레벨 1 자체 평가에 합격하려면 FAR 52.204-21을 충족해야 한다고 명시하고 있습니다.
* CMMC 2.0 범위 가이드에서는 FCI만 취급하고 레벨 1 인증을 추구하는 계약자는 FAR 52.204-21 보안 제어만 구현해야 한다고 명시하고 있습니다.
최종 확인: 정답은 A입니다. FAR 52.204-21은 FCI의 기본 안전 보장을 직접 규정하고 CMMC 2.0의 레벨 1 자체 평가의 기본 요건이므로 FAR 52.204-21에 따라야 합니다.

CMMC-CCP 문제 30

CMMC 모델 2.0은 어떤 표준 및 규정 요구 사항을 기반으로 합니까?

A. NIST SP 800-171 및 NIST SP 800-172

B. DFARS, FIPS 100 및 NIST SP 800-171

C. DFARS, NIST 및 카네기 멜론 대학교

D. DFARS, FIPS 100, NIST SP 800-171 및 카네기 멜론 대학교

정답: A

CMMC(Cybersecurity Maturity Model Certification) 2.0은 주로 두 가지 주요 미국 국립표준기술원(NIST) 특별 간행물을 기반으로 합니다.
* NIST SP 800-171- "비연방 시스템 및 조직에서 통제된 비밀 정보(CUI) 보호"
* NIST SP 800-172- "통제된 비밀 정보 보호를 위한 강화된 보안 요구 사항: NIST 특별 간행물 800-171에 대한 보충 자료"
* NIST SP 800-171
* 이 문서는 CMMC 2.0의 핵심 기반이며, 비연방 시스템에서 통제된 비밀 정보(CUI)를 보호하기 위한 보안 요구 사항을 제시합니다.
* NIST SP 800-171 Rev. 2의 110개 보안 제어는 CMMC 레벨 2에 직접 매핑됩니다.
* NIST SP 800-172
* 이 보충 자료에는 고급 지속 위협(APT)에 직면한 고가치 CUI를 처리하는 조직에 대한 강화된 보안 요구 사항이 포함되어 있습니다.
* 이러한 향상된 요구 사항은 2.0 모델의 CMMC 레벨 3에 적용됩니다.
* B. DFARS, FIPS 100 및 NIST SP 800-171#잘못됨
* DFARS 252.204-7012는 NIST SP 800-171 준수를 의무화하는 반면, FIPS 100은 관련 사이버보안 표준으로 존재하지 않습니다.
* C. DFARS, NIST 및 Carnegie Mellon University#잘못됨
* CMMC는 DFARS 및 NIST와 연계되어 있지만 카네기 멜론 대학에서 개발하거나 직접적인 영향을 받지 않았습니다.
* D. DFARS, FIPS 100, NIST SP 800-171 및 Carnegie Mellon University#잘못됨
* 다시 말하지만, FIPS 100은 관련이 없으며, 카네기 멜론 대학교는 CMMC 프레임워크의 정의적 기관이 아닙니다.
* CMMC 2.0 범위 가이드(2023)는 CMMC 레벨 2가 전적으로 NIST SP 800-171을 기반으로 한다는 것을 확인합니다.
* CMMC 2.0 레벨 3 초안 문서는 강화된 보안 요구 사항을 위해 NIST SP 800-172를 명시적으로 참조합니다.
* DoD 임시 규정(DFARS 252.204-7021)에서는 조직이 CUI 보호를 위해 NIST SP 800-171을 충족해야 한다고 명시하고 있습니다.
참고 및 분석: 잘못된 답변 선택지 제거: 답변을 뒷받침하는 공식 CMMC 2.0 참고 자료: 최종 결론: CMMC 2.0 모델은 NIST SP 800-171과 NIST SP 800-172에서만 파생되었으므로 답변 A가 유일한 정답입니다.