OSCAL講座
Word/Excel で情報セキュリティ業務に従事している方を主な読者として、 OSCAL の各モデルの概要を理解し、小さなモデルを書いてみることを目的とした学習コースです。 すべてのセクションをクリアして、修了証をゲットしよう！
あなたの進捗
進捗はあなたのブラウザだけに保存されます
全セクション一覧
- Catalog を読む最初のモデル Catalog は、管理策の一覧です。NIST の CSF 2.0 OSCAL ファイルを開き、付帯情報と管理策の並びを読んでみましょう。
- Catalog を書くミナト精機の社内基準を、Catalog として書いてみましょう。管理策の id と title から始め、社内基準カタログの最初の版まで仕上げます。
- Catalog の階層を書くCSF 2.0 の 3 階層（Function、Category、Subcategory）を、group と入れ子の controls で書いてみましょう。
- Catalog を仕上げるカタログに、実装例と 2 つ目の Function を足し、公式の CSF 2.0 と見比べてみましょう。社内基準カタログには条文の本文を入れて完成させます。
- Profile を読むCatalog から使う管理策を選ぶモデルが Profile です。SP 800-53B の LOW ベースラインを読み、imports と include-controls の書き方を確かめてみましょう。
- Profile を書く社内基準カタログの 6 件から、受発注システム向けの Profile を書いてみましょう。全部使う・選ぶ・除く、の 3 つの指定を使い分けます。
- Profile を調整するCatalog 本体は触らずに、受発注システム向けへ管理策を調整してみましょう。パスワード文字数の差し替えや本文の書き足し、id パターンでの一括選択に挑戦します。
- Mapping Collection を書く規格対応表の Excel にあたる Mapping Collection に入ります。社内基準と CSF 2.0 の対応を map 1 件として書いてみましょう。
- Mapping Collection を仕上げるmap を束ねて、1 冊の対応表に仕上げてみましょう。作った経緯（provenance）と、「対応しない」判断（no-relationship）の残し方も練習します。
- Component Definition を書くComponent Definition は、ベンダーが「この部品はこの管理策を支援できる」と書くモデルです。アオバドライブの記述を読んだうえで、自社設備でも同じ形を書いてみましょう。
- SSP を読むSSP は、システム 1 つのセキュリティ計画を 1 冊にまとめるモデルです。NIST の学習用サンプルを読んでみましょう。
- SSP の骨格を書くミナト精機の受発注システム向けに、SSP を書き始めてみましょう。従う管理策と、システムの名前・扱う情報・稼働状態・範囲の表現方法を学びましょう。
- SSP の実装を書く受発注システムの SSP に、システム実装を書いてみましょう。部品、利用者、機器台帳の 3 つのリストをそろえます。
- SSP を仕上げる管理策ごとに「どの部品がどう実装するか」を by-components に書き、受発注システムの SSP を完成させてみましょう。
- Assessment Plan を読むAssessment Plan は監査計画書にあたるモデルです。NIST のサンプルを読み、確かめる管理策の範囲と作業の書き方を見てみましょう。
- Assessment Plan を書く2026 年度の受発注システム内部監査を、Assessment Plan として書いてみましょう。対象の SSP、確かめる管理策、日程（tasks）の記載方法を学びます。
- Assessment Results を書く監査結果を書くモデルが Assessment Results です。指摘 1 件を、観察・所見・リスクの 3 つに分けて書いてみましょう。
- Assessment Results を仕上げる観察・所見・リスクを、内部監査結果の文書にまとめてみましょう。評価 1 回分の results と、監査計画への参照をそろえて完成させます。
- POA&M を書く最後のモデル POA&M で、監査の指摘を是正の作業として追ってみましょう。指摘事項管理台帳の 1 行を poam-item に書き、期限は milestone で管理します。
この講座の学習コンテンツは Creative Commons 表示 4.0 国際（CC BY 4.0）のもとで利用できます。利用時は、OSCAL Lab Japan の運営元である「SecureNavi株式会社」とクレジットを表示してください。
ふたたびこのコースを最初から学び直したいときに使ってください。