メインコンテンツへ
OSCAL Lab Japan
Section 05第2部 Control Layer

Catalog を書く

ミナト精機の社内基準を、Catalog として書いてみましょう。管理策の id と title から始め、社内基準カタログの最初の版まで仕上げます。

このセクションを終えるとできること

  • 管理策 1 件を、id と title を持つ control として書ける。
  • 管理策の id を、決まった文字種と命名の慣例に沿って自分で決められる。
  • catalog の外枠（uuid と metadata の必須項目）を自分の手で書ける。

題材：Word の規程集

前のセクションで読んだのは、規格の Catalog でした。この章では、社内規程を Catalog にします。題材は、ミナト精機の「情報セキュリティ社内基準」です。情報システム部が Word で管理している規程から、この講座では次の 4 章・6 条文を抜粋します。

情報セキュリティ社内基準

第1章 アクセス管理

第1条（パスワードの管理）
情報システムのパスワードは 12 文字以上とし、他のサービスと使い回さない。初期パスワードは初回利用時に変更する。

第2条（利用者アカウントの棚卸し）
情報システムの利用者アカウントを半期に 1 度棚卸しし、不要になったアカウントは 5 営業日以内に削除する。

第2章 物理的管理

第1条（サーバー室の入退室管理）
本社サーバー室への入退室を記録し、記録を 1 年間保存する。入室できるのは情報システム部長が承認した者に限る。

第2条（機密書類の施錠保管）
機密と区分した紙の書類は施錠できる書庫に保管し、離席時に机上へ放置しない。

第3章 バックアップ

第1条（業務データのバックアップ）
業務データを毎日バックアップし、復元の試験を年 1 回行う。

第4章 教育

第1条（情報セキュリティ教育）
全従業員に対して、年 1 回の情報セキュリティ教育を実施する。

条文 1 つが管理策 1 件、つまり control 1 件になります。まず管理策を書いて、その後、体裁を整えていきましょう。

管理策 1 件の最小の形：id と title

control の最小の形は、id と title の 2 項目だけです。1 条目の「パスワードの管理」を書くと、こうなります。

controls:
  - id: mk-ac-01
    title: パスワードの管理

CSF 2.0 の実物で見たのと同じ形です。controls というリストの 1 件として、ハイフンで始め、id と title を持たせます。

title は条文名をそのまま入れればよいとして、id は自分で設計する必要があります。決めごとは 2 つの階層に分かれます。

1 つ目は、OSCAL の仕様で決まっている文字種です。id に使えるのは英大文字・英小文字・数字・ハイフン・ピリオド・アンダースコアで、空白や日本語は使えません。

2 つ目は、その範囲内での命名の慣例で、これは文書ごとに違います。CSF 2.0 は GV.OC-01 のような大文字とピリオドの形を使っています。同じ NIST でも、SP 800-53 という規格の OSCAL 版は ac-1 のような小文字とハイフンの形です。どちらも正しい OSCAL で、大事なのは 1 つの文書の中で流儀を揃えることです。

ミナト精機の社内基準では、次の規則を使うこととしましょう。

  • 全体の接頭辞は mk（ミナト精機の略）
  • 続けて章の略号。ac（アクセス管理）、ph（物理的管理）、bk（バックアップ）、tr（教育）
  • 最後に章内の連番 2 桁

「パスワードの管理」はアクセス管理の章の 1 条目なので、mk-ac-01 です。

クイズ（コードを書く）

規程集の 2 条目「利用者アカウントの棚卸し」を、管理策として書き足してください。

ファイルの付帯情報：catalog と metadata

管理策を書けたので、これを OSCAL の文書として成立させる付帯情報を着せます。必要なのは、CSF 2.0 の実物で読んだのと同じ 3 つです。全体を包む catalog:、文書の識別番号 uuid、基本情報の metadata。

metadata には必須の項目が 4 つあります。

項目意味社内基準カタログでの値
title文書名ミナト精機 情報セキュリティ社内基準
last-modified最後に更新した日時"2026-07-01T09:00:00+09:00"
versionこの文書自体の版"1.0.0"
oscal-version従う OSCAL 仕様の版"1.2.2"

CSF 2.0 の metadata にあった published（公開日時）は、必須ではないので今回は書きません。

last-modified の書き方だけ、少し補足します。ISO 8601 の決まりに沿って、日付と時刻を T でつなぎ、末尾に時差を付けます。CSF 2.0 の実物では時差が -00:00 でしたが、日本の文書なら日本標準時を表す +09:00 を使えます。2026 年 7 月 1 日の朝 9 時なら "2026-07-01T09:00:00+09:00" です。コロンを含むので、ダブルクオートで囲みます。"1.0.0" や "1.2.2" も、数字と取り違えられそうな紛らわしい値なので囲んでおきます。

全部を組み合わせると、社内基準カタログの最小形はこうなります。

catalog:
  uuid: 3f1c2b6a-9d4e-4c8b-8a2f-0e5d7c9b1a3e
  metadata:
    title: ミナト精機 情報セキュリティ社内基準
    last-modified: "2026-07-01T09:00:00+09:00"
    version: "1.0.0"
    oscal-version: "1.2.2"
  controls:
    # …略…

CSF 2.0 では controls の手前に groups がありましたが、groups は必須ではありません。6 条文ほどの小さなカタログなら、catalog のすぐ下に controls を置く平らな形で十分です。

uuid の値は、この講座ではこちらで用意したものを使います。実務で新しく発番するときは、uuid を作るツールやWebサイトがあるので、それらに任せてください。世界で一つだけ、という性質は正しい作り方で発番してこそ成り立つので、手作業で適当な番号をでっち上げてはいけません。

クイズ（コードを書く）

この YAML に metadata を書き足して、OSCAL の文書として完成させてください。値は上の表のとおりです。

完成形：社内基準カタログ 1.0.0

残りの 4 条文も、id と title の付け方はまったく同じです。6 件すべてを入れた完成形を示します。

catalog:
  uuid: 3f1c2b6a-9d4e-4c8b-8a2f-0e5d7c9b1a3e
  metadata:
    title: ミナト精機 情報セキュリティ社内基準
    last-modified: "2026-07-01T09:00:00+09:00"
    version: "1.0.0"
    oscal-version: "1.2.2"
  controls:
    - id: mk-ac-01
      title: パスワードの管理
    - id: mk-ac-02
      title: 利用者アカウントの棚卸し
    - id: mk-ph-01
      title: サーバー室の入退室管理
    - id: mk-ph-02
      title: 機密書類の施錠保管
    - id: mk-bk-01
      title: 業務データのバックアップ
    - id: mk-tr-01
      title: 情報セキュリティ教育

これが「ミナト精機社内基準カタログ」の版 1.0.0 です。以降のセクションでも、この名前で呼びます。

冒頭の規程抜粋と見比べてください。条文名は全部入りましたが、条文の本文はまだどこにも書いていません。本文の置き場所には決まった流儀があるので、次のセクションで CSF 2.0 の実物の書き方を確かめてから、同じ形で足します。

理解の確認

クイズ

規程集のアクセス管理の章に、新しい条文「共有アカウントの取り扱い」が追加されました。この管理策の id として、命名規則に合うものはどれですか。

クイズ

社内基準カタログに管理策を 1 件追加して、新しい版として保存し直すことにしました。更新すべき項目はどれですか。

次へ

社内基準カタログは平らな一覧でしたが、CSF 2.0 には Function、Category、Subcategory の 3 階層がありました。次のセクションでは、この階層を自分の手で書きます。あわせて、畳んだままにしてきた管理策の本文の置き場所も扱います。

このセクションは OSCAL 1.2.2 系の仕様に基づいて執筆しています。