무료 온라인 액세스 CyberAB.CMMC-CCP.v2026-09-29.q218 모의 시험 (Page 5)

CMMC-CCP 문제 16

한 기계 가공 업체가 미 국방부로부터 특수 부품 제작 계약을 수주했습니다. 해당 업체는 자체 인력과 장비를 사용하여 부품 테스트를 진행할 예정입니다. 레벨 1 자가 평가에서 이는 어떤 유형의 자산에 해당합니까?

A. CUI 자산

B. 범위 내 자산

C. 특수 자산

D. 계약자 위험 관리 자산

정답: B

CMMC 범위 설정 지침 레벨 1에 따르면 자산 분류는 레벨 2보다 훨씬 간단합니다. 레벨 1에서는 인증을 신청하는 조직(OSC) 내 자산에 대해 범위 내 자산(FCI 자산)과 범위 외 자산, 이렇게 두 가지 주요 범주만 존재합니다.
FCI 자산 정의: 자산이 연방 계약 정보(FCI)를 처리, 저장 또는 전송하는 경우 레벨 1의 "범위 내" 자산으로 간주됩니다. 해당 회사는 국방부 계약에 따라 특수 부품을 제작하고 사내 직원과 장비를 사용하여 테스트를 진행하고 있으므로, 해당 계약과 관련된 정보(사양, 일정 및 테스트 결과)는 FCI에 해당합니다.
레벨 1 유니버스:
레벨 1에서는 레벨 2 범위 설정에서 볼 수 있는 "특수 자산"(OT)과 같은 복잡한 하위 범주를 사용하지 않습니다.
/IoT/테스트 장비) 또는 "계약자 위험 관리 자산"으로 구분됩니다. 이러한 구분은 CMMC 레벨에 따라 다릅니다.
2. 범위 설정.
레벨 1 환경에서 계약 정보를 처리하는 모든 장비 또는 소프트웨어는 단순히 FCI 자산이라고 하며, 이는 더 넓은 범위의 범위 내 자산에 속합니다.
다른 선택지가 틀린 이유:
옵션 A(CUI 자산): 레벨 1은 FCI(비밀기밀정보)에만 집중합니다. CUI(통제된 미분류 정보)는 레벨 2 및 레벨 3의 주요 내용입니다.
옵션 C(특수 자산) 및 옵션 D(계약자 위험 관리 자산): 이는 CMMC 레벨 2 범위 설정 지침에 정의된 특정 범위 설정 범주입니다. 레벨 1에서는 이러한 범주가 존재하지 않으며, 자산은 FCI(범위 내)를 처리하거나 처리하지 않거나(범위 외)로 구분됩니다.
참고 문서:
CMMC 범위 설정 지침, 레벨 1(버전 2.0): 섹션 2.0(CMMC 레벨 1 자산 범주)에서는 FCI 자산과 범위 외 자산을 정의합니다.
32 CFR 파트 170(CMMC 프로그램 규칙): 레벨 1 자체 평가에 대한 간소화된 범위 설정 요건을 규정합니다.
CMMC 레벨 1 평가 가이드: 평가 범위에는 계약자가 FCI를 처리, 저장 또는 전송하는 데 사용하는 모든 "정보 시스템"(테스트 장비 포함)이 포함된다는 점을 명확히 합니다.

CMMC-CCP 문제 17

평가자는 OSC 팀 구성원들로부터 가장 정확한 답변을 얻어야 합니다. OSC 팀 구성원들이 각자의 책임 사항을 정확하게 설명할 수 있도록 하는 가장 효과적인 방법은 무엇일까요?

A. 집단적인 답변을 얻기 위해 여러 사람을 대상으로 인터뷰를 진행합니다.

B. 팀 구성원의 기밀 유지 및 신원 비공개를 보장합니다.

C. 평가 전에 팀원들에게 질문 내용을 미리 알려주세요.

D. 면접보다 테스트가 더 중요하다는 것을 이해하십시오.

CMMC-CCP 문제 18

CMMC 레벨 2 평가의 계획 단계에서 수석 평가자는 각 진료에 적합한 증거가 무엇인지 고려합니다. 평가자는 무엇을 검증하려고 하는 것일까요?

A. 적절성

B. 충분성

C. 평가 범위

D. 프로세스 맵핑

CMMC-CCP 문제 19

"평가팀이 적절한 증거를 확보했는가?"라는 질문에 답하는 데 사용되는 기준은 무엇인가요?

A. 적합성 기준

B. 객관성 기준

C. 충분성 기준

D. 주관성 기준

정답: A

CMMC 평가 프로세스(CAP)에 따르면, 특히 3단계인 평가 수행(증거 수집 및 검증) 단계에서 평가팀은 수집된 모든 자료, 인터뷰 기록 및 시험 결과를 적합성 및 충분성이라는 두 가지 주요 기준에 따라 평가해야 합니다.
적합성(‘올바른’ 증거): 이 기준은 증거의 질, 관련성 및 타당성에 중점을 둡니다. 증거가 평가 대상인 특정 CMMC 실무와 실제로 부합하는지, 그리고 권위 있는 자료인지(예: 서명이 되어 있고, 최신이며, 신뢰할 수 있는 출처에서 나온 것인지)를 다룹니다. 평가자가 “이 정보가 해당 실무 요건을 충족한다는 것을 증명하는 데 적합한 자료인가?”라고 묻는다면, 그것은 적합성을 검증하는 것입니다.
충분성("충분한" 증거): 이 기준은 증거의 양과 범위에 중점을 둡니다. 평가팀이 확신 있는 결론에 도달하기 위해 필요한 자산 수와 조사, 인터뷰, 테스트 방법을 사용하여 충분한 데이터를 수집했는지 여부를 다룹니다. 평가자가 "전체 구역에서 이러한 관행이 실제로 적용된 충분한 사례를 확보했는가?"라고 묻는다면, 이는 증거의 충분성을 검증하는 것입니다.
다른 선택지가 틀린 이유:
B와 D(객관성/주관성): 평가자는 객관성을 유지해야 하지만, 이는 CAP 프레임워크 내에서 증거 수집 품질을 분류하는 데 사용되는 공식적인 "기준"은 아닙니다.
C(충분성): 위에서 언급했듯이, 충분성은 증거의 양에 관한 것이지 증거의 유형이 올바른지(즉, "적절한" 증거인지)에 관한 것이 아닙니다.
참고 문서:
CMMC 평가 프로세스(CAP) v1.0: 섹션 3.4, "증거 수집 및 검증"에서는 증거가 적절하고 충분해야 한다는 요건을 명시적으로 정의하고 있습니다.
CMMC 레벨 2 평가 가이드: 증거의 질을 보장하기 위한 검사, 면담 및 테스트(EIT) 방법 적용에 대한 지침.
NIST SP 800-171A: CMMC 평가 절차의 기초로서, 조사 결과를 뒷받침할 관련성 있는(적절한) 증거의 필요성을 강조합니다.

CMMC-CCP 문제 20

다음 중 C3PA0 자격 요건을 가장 잘 설명하는 문장은 무엇입니까?

A. 공인 C3PAO는 국방부의 일부 요구사항과 ISO/IEC 17020의 모든 요구사항을 충족해야 합니다.

B. 공인된 C3PAO는 모든 DoD 요구사항과 일부 ISO/IEC 17020 요구사항을 충족해야 합니다.

C. AC3PAO는 평가를 수행하기 전에 국방부의 인증을 받아야 합니다.

D. C3PAO는 평가를 수행하기 전에 CMMC-AB의 승인을 받아야 합니다.

정답: D

C3PAO 요구사항 이해하기
공인 제3자 평가 기관(C3PAO)은 CMMC 인증 기관(CMMC-AB)으로부터 통제되지 않은 기밀 정보(CUI)를 다루는 조직에 대해 CMMC 레벨 2 평가를 수행할 수 있도록 승인된 기관입니다.
C3PAO가 평가를 수행하기 위한 주요 요건:
#평가를 실시하기 전에 CMMC-AB의 승인을 받아야 합니다.
#CMMC-AB 및 국방부의 사이버 보안 및 프로세스 요구 사항을 충족해야 합니다.
#검사기관은 ISO/IEC 17020 표준을 준수해야 합니다.
#사이버 보안 검증을 포함한 엄격한 심사 과정을 거쳐야 합니다.
정답이 "D"인 이유는 무엇입니까? (C3PAO는 평가를 수행하기 전에 CMMC-AB의 승인을 받아야 합니다.)
A) 공인 C3PAO는 국방부 요구사항의 일부와 ISO/IEC 17020 요구사항을 모두 충족해야 합니다. # 잘못된 내용: C3PAO는 평가를 수행하기 전에 CMMC-AB 승인 요구사항을 준수해야 합니다.
ISO/IEC 17020을 준수해야 하지만, 모든 요구 사항을 처음부터 반드시 충족할 필요는 없습니다.
B) 공인된 C3PAO는 모든 DoD 요구사항과 일부 ISO/IEC 17020 요구사항을 충족해야 합니다. # 잘못된 정보입니다. C3PAO는 DoD의 인증을 받는 것이 아니라, CMMC-AB로부터 평가 수행 권한을 부여받은 기관입니다.
인증은 CMMC-AB 및 ISO/IEC 17020 요구사항을 완벽하게 준수한 후에 획득되었습니다.
C) C3PAO는 평가를 수행하기 전에 국방부의 인증을 받아야 합니다. # 잘못된 정보입니다. 국방부는 C3PAO를 직접 인증하지 않습니다. CMMC-AB가 승인 및 감독을 담당합니다.
D) C3PAO는 평가를 수행하기 전에 CMMC-AB의 승인을 받아야 합니다. # 정답: CMMC-AB는 C3PAO가 특정 요건을 충족한 후에만 평가를 수행할 수 있도록 승인을 부여합니다.
이 답변을 뒷받침하는 CMMC 2.0 참고 자료:
CMMC-AB 공인 제3자 평가 기관(C3PAO) 가이드라인에 따르면 C3PAO는 평가를 수행하기 전에 CMMC-AB의 승인을 받아야 합니다.
CMMC 2.0 평가 프로세스(CAP) 문서
CMMC-AB에서 승인한 C3PAO만이 공식 CMMC 평가를 수행할 수 있음을 명시합니다.
C3PAO에 대한 ISO/IEC 17020 준수
C3PAO의 인증을 위해 충족해야 하는 검사 기관 요건을 정의합니다.

다른 버전: 179CyberAB.CMMC-CCP.v2026-09-26.q113; 2300CyberAB.CMMC-CCP.v2025-09-18.q124

최근 업로드: 128Zscaler.ZTCA.v2026-09-30.q25; 159Juniper.JN0-481.v2026-09-30.q77; 136Scrum.PSPO-III.v2026-09-30.q23; 158Apple.SUP-2026.v2026-09-29.q100; 125Nokia.4A0-D03.v2026-09-29.q19; 152Oracle.1Z0-1080-26.v2026-09-29.q40; 205CyberAB.CMMC-CCP.v2026-09-29.q218; 323Google.Professional-Data-Engineer.v2026-09-29.q333; 151Adobe.AD0-E124.v2026-09-28.q62; 283ISACA.CISM.v2026-09-28.q227