Mapping Collection を書く

社内規程と外部規格の対応表を Excel で持っている組織は多く、ミナト精機にもあります。左の列に社内基準の条文、右の列に規格の管理策番号を置いて、「この条文はこの管理策に対応する」を 1 行ずつ埋めた表です。認証審査への対応や、規格改定時の影響調査で開くことになる、あの表です。

この対応表にあたる OSCAL のモデルが Mapping Collection です。Control Layer の最後のモデルで、Catalog 同士（あるいは Profile 同士）の対応関係を書きます。この章では 1 件の対応を書けるようになり、次のセクションで 1 冊の対応表に仕上げます。題材は「ミナト精機の社内基準と CSF 2.0 の対応」です。

題材：対応づける管理策

対応づけには、両側の本文が必要です。社内基準側は手元にあるので、CSF 2.0 側の管理策を 2 件、ここで確認しておきます。どちらも防御（PROTECT）の Function に属する Subcategory で、抜粋カタログには入れていなかったものです。本文の訳は、この講座のために翻訳したものです。

社内基準の側で対応しそうなのは、mk-bk-01（業務データのバックアップ）と mk-tr-01（情報セキュリティ教育）です。

対応の 1 行：map

Excel 対応表の 1 行にあたるのが、map という単位です。map 1 件が持つ項目は 4 つあります。

uuid がここにも出てきます。これまで uuid は文書に 1 つ付くものでしたが、OSCAL では対応 1 件のような記録の単位にも uuid を付けます。「あの対応、見直したほうがよくない？」という会話を、行番号やセル位置ではなく、動かない識別番号でできるようにするためです。

mk-bk-01 と PR.DS-11 の対応を書くと、こうなります。

      maps:
        - uuid: 1a3c5e7b-9d2f-4d6a-9c4e-2b4d6f8a1c3e
          relationship: subset-of
          sources:
            - type: control
              id-ref: mk-bk-01
          targets:
            - type: control
              id-ref: PR.DS-11

sources と targets の 1 件は、type と id-ref の組です。type の control は「管理策 1 件を丸ごと指している」という意味です（もう 1 つ statement という値があり、条文の中の 1 文単位で対応づけるときに使いますが、この講座では管理策単位での対応を前提とします）。id-ref は参照する相手の id です。ref（参照）と付いているとおり、ここで新しい id を発行しているのではなく、両側のカタログにすでにある id を指しています。

対応の向き：sources と targets

sources が対応元、targets が対応先です。今回の対応表は「社内基準を CSF 2.0 に対応づける」ものなので、社内基準が sources、CSF が targets に入ります。

向きはただの見た目ではなく、意味を持ちます。「mk-bk-01 は PR.DS-11 の一部にあたる」と「PR.DS-11 は mk-bk-01 の一部にあたる」は別の主張だからです。次の relationship の語は、すべて「sources から見て targets はどうか」という向きで読むことに注意してください。

ここで、Mapping Collection は、単に Excel で対応表を書くよりも、表現が豊かであることに気づいてもらえるでしょうか。

対応の度合い：relationship の 6 語

Excel の対応表では、対応の有無は書けても「どのくらい対応しているか」は書けないことがほとんどです。OSCAL はこの度合いを、NIST の公式解説が定める 6 つの語で書きます。仕様の上では relationship に別の語も書けてしまいますが、この 6 語から選ぶのが標準的な使い方です。

選び方は、両側の本文の読み比べに尽きます。さきほどの map で subset-of を選んだ理由をたどってみます。

• mk-bk-01 の要求は「毎日バックアップする」「復元の試験を年 1 回行う」。
• PR.DS-11 の要求は「バックアップが作成され、保護され、維持され、試験されている」。作成と試験に加えて、保護と維持まで求めている。

社内基準の要求は、CSF の要求のうち作成と試験の部分に収まっていて、保護や維持には触れていません。対応元が対応先の一部に収まる。だから subset-of です。

同じ読み比べを、もう 1 組でやってみてください。題材の本文は次のとおりです。

• mk-tr-01（情報セキュリティ教育）：全従業員に対して、年 1 回の情報セキュリティ教育を実施する。
• PR.AT-01（意識向上とトレーニング）：要員に意識向上の活動と教育・訓練が提供され、サイバーセキュリティリスクを踏まえて一般的な業務を行うための知識と技能を身に付けている。

maps:
  - uuid: 3b5d7f9a-1c4e-4d8b-a2c6-5e7a9c1e3b5d

さきほどの mk-bk-01 と PR.DS-11 は subset-of でしたが、この組は intersects-with が妥当でしょう。社内基準を規格に対応づけると subset-of になりやすい、という傾向はありますが、頻度や対象範囲のような、社内側だけの条件があると、関係は交差になることもあります。

理解の確認

次へ

1 つの対応が書けるようになりました。次のセクションでは、これらを束ねて 1 冊の対応表に仕上げます。誰がどうやって対応を作ったのかの記録と、「検討したが対応しない」という判断の残し方も扱います。