OSCAL の全体像
OSCAL とは何か、8 つのモデルが手元の Word / Excel のどれにあたるかを見てみましょう。題材は CSF 2.0 と、架空の会社「ミナト精機」です。
このセクションを終えるとできること
- OSCAL が何のための仕様かを説明できる。
- 8 つのモデルの名前と、それぞれに近い役割の手元文書を対応づけられる。
- 8 つのモデルが 3 つの層に分かれることを把握する。
OSCAL とは何か
OSCAL は Open Security Controls Assessment Language の略で、「オスカル」と読みます。米国の国立標準技術研究所 NIST が公開している、セキュリティ関連文書のための仕様です。
「言語」という名前が付いていますが、プログラミング言語ではありません。規程集や監査報告書のようなセキュリティ文書について、どんな項目を、どんな名前で、どんな文法で書くかを決めた取り決めです。この取り決めに沿って書かれたファイルは、人が読むことを目的としておらず、コンピュータにとって読みやすい形であることが特徴です。
なぜそんな取り決めが必要なのでしょうか？規格と社内規程の対応表を Excel で作ったことのある方も、監査のたびに同じ内容を別の様式へ書き直した経験のある方もいるはずです。文書が Word や Excel である限り、こうした転記や突き合わせは人の目と手の仕事になります。OSCAL は、文書をコンピュータが読める形にすることで、その仕事の一部を機械に渡せるようにしようという発想で作られています。
米国では、政府にクラウドサービスを提供する際の認可制度 FedRAMP が、提出文書の OSCAL 化を進めています。日本で利用が広がっているとはまだ言えませんが、仕様そのものは無償で公開されていて、誰でも使うことができます。
手元の文書と 8 つのモデルの対応
OSCAL には、用途別に 8 種類の文書モデルがあります。モデルというのは、OSCAL の書き方（文法）だと思ってください。8 つを一覧で紹介します。
| モデル | 近い役割の Word/Excel 文書 |
|---|---|
| Catalog | 規格・ガイドライン |
| Profile | 適用宣言書 |
| Mapping Collection | 規格対応表の Excel |
| Component Definition | ベンダーから受け取るセキュリティ説明資料 |
| System Security Plan（SSP） | システムごとのセキュリティ対策の一覧 |
| Assessment Plan | 監査計画書 |
| Assessment Results | 監査報告書 |
| Plan of Action and Milestones（POA&M） | 指摘事項対応表 |
表の右列は、あくまで目安です。厳密な対応はこれからの章で 1 つずつ確かめるので、いまは「全部で 8 種類あり、それぞれのモデルが、身近な Word/Excel と対応している」ことが分かれば十分です。
3 つの層
8 つのモデルは、役割ごとに 3 つの層に分かれます。
- Control Layer（Catalog、Profile、Mapping Collection）：守るべきことを決め、選び、対応づける
- Implementation Layer（Component Definition、SSP）：決めたルールを、誰が何でどう満たしているかを書く
- Assessment Layer（Assessment Plan、Assessment Results、POA&M）：満たせているかを確かめ、足りなければ直す
ルールを決め、実装し、評価して直す。ISMS の運用と同じ流れです。
この講座の題材
講座を通じて、2 つの題材を使います。
1 つ目は実在の規格、NIST サイバーセキュリティフレームワーク（CSF）2.0 です。NIST はこの規格の OSCAL 版ファイルを公開しているので、本物の OSCAL を読む教材として使います。ちなみに、CSF 2.0 は IPA から日本語訳も公開されています。
2 つ目は架空の会社、株式会社ミナト精機です。精密測定機器を作る従業員約 600 名のメーカーで、ISO/IEC 27001 の認証を維持しており、情報システム部に情報セキュリティ担当が 2 名います。セキュリティ文書はすべて Word と Excel で管理しています。演習では、この会社の担当者として、社内基準のカタログ化から内部監査の記録までを OSCAL で書いていきます。
理解の確認
ISO/IEC 27001 の適用宣言書（管理策ごとの採用・不採用と理由の一覧）に、いちばん近い役割のモデルはどれですか。
内部監査のあとに作る監査報告書に、いちばん近い役割のモデルはどれですか。
Component Definition と SSP の 2 つが属する層はどれですか。
次へ
次のセクションから、実際にファイルの書き方に入ります。この講座では、OSCAL のファイルを YAML という形式で読み書きします。まずは読み方からで、題材は朝食と買い物リストです。
このセクションは OSCAL 1.2.2 系の仕様に基づいて執筆しています。