Assessment Plan を読む

第 4 部に入ります。ここまでで、ルールを決める文書（Catalog、Profile、Mapping Collection）と、実装を説明する文書（Component Definition、SSP）を書き終えました。残る問いは、「書いてあるとおりに、本当に守られているのか」です。それを確かめるのが Assessment Layer で、モデルは 3 つあります。評価の計画を書く Assessment Plan、評価の結果を書く Assessment Results、見つかった問題の是正を追いかける POA&M です。

最初は Assessment Plan（アセスメントプラン、評価計画）です。ミナト精機の業務でこれにあたるのは、年 1 回の内部監査で作る監査計画書です。いつ、誰が、どの範囲を、どうやって確かめるか。Word の監査計画書に書いてきたことが、このモデルに当たります。

これまでと同じく、書く前に実物を読んでみましょう。

NIST のサンプル：IFA SYSTEM1234 の評価計画

題材は、SSP の章で読んだものと同じ架空システムの評価計画、ifa_assessment-plan.yaml です。IFA の評価担当者が、SYSTEM1234 のある管理策（最小権限に関するもの）を確かめる計画、という設定で書かれています。全体は 123 行です。

監査計画書を開くときと同じく、まず「今回の評価はどの管理策を確かめるか」を確認します。答えは reviewed-controls にあります。

評価の範囲：reviewed-controls

  reviewed-controls:
    control-selections:
      - include-controls:
          - control-id: ac-6.1

reviewed-controls は、今回の評価で確かめる管理策の一覧です。書き方は Profile の章で覚えた選択とそっくりで、include-controls で管理策の id を列挙するか、include-all で全部を選びます。このサンプルは ac-6.1 の 1 件だけを確かめる、絞った計画です。

SSP に書かれた管理策すべてを毎回確かめる必要はありません。今回は前回の指摘があった範囲だけ、今回はアクセス管理の章だけ、という絞り込みを、監査計画書でもやっているはずです。その絞り込みが、この数行で機械可読になります。

評価の対象物：assessment-subjects

次は「何を調べて確かめるか」です。

  assessment-subjects:
    - type: component
      description: The assessor for the IFA SYSTEM1234 Project, including the application and infrastructure for this information system, are within scope of this assessment.
      include-all: {}

reviewed-controls が「どの管理策を確かめるか」なら、assessment-subjects は「何を調べて確かめるか」です。type には component（部品）のほか、inventory-item（機器）、location（場所）、user（利用者）などが入ります。このサンプルは「SSP に載っている部品の全部が調査の対象」という宣言です。

管理策の範囲と、調べる対象物の範囲は、別々に決められます。「アクセス管理の管理策を、本社の機器についてだけ確かめる」のような組み合わせを書けるということです。

作業への分解：activities と tasks

計画の残りは、評価を実際の作業に分解する部分です。2 つの層があります。

local-definitions の activities は、作業のやり方の定義です。1 件が「ひとまとまりの確認作業」で、title と description、細かい手順（steps）、どの管理策に関わる作業か（related-controls）を持ちます。実物から冒頭だけ抜きます。

  local-definitions:
    activities:
      - uuid: 52277182-1ba3-4cb6-8d96-b1b97aaf9d6b
        title: Examine System Elements for Least Privilege Design and Implementation
        description: 'The activity and it steps will be performed by the assessor and facilitated by owner, ISSO, and product team for the IFA SYSTEM1234 system with necessary information and access about least privilege design and implementation of the system''s elements: the application, web framework, server, and cloud account infrastructure.'
        props:
          - name: method
            value: EXAMINE
        steps:
          - uuid: 733e3cbf-e398-46b6-9c02-a2cb534c341e
            title: Obtain Network Access via VPN to IFA SYSTEM1234 Environment
            # …略。以降、確認の手順が 6 ステップ続く…
        related-controls:
          control-selections:
            - include-controls:
                - control-id: ac-6.1

props に method: EXAMINE とあります。評価のやり方を表す語で、記録や現物を調べる EXAMINE、関係者への聞き取りの INTERVIEW、実際に動かして試す TEST の 3 つが使われます（SP 800-53A という評価手順の規格に由来する語です）。監査の言葉で言えば、文書レビュー、ヒアリング、実地テストの区別にあたります。

tasks は、その作業をいつ誰がやるかの割り当てです。1 件が予定表の 1 行にあたります。実物は次のとおりです。

  tasks:
    - uuid: b3504d22-0e75-4dd7-9247-618661beba4e
      type: action
      title: Examine Least Privilege Design and Implementation
      associated-activities:
        - activity-uuid: 52277182-1ba3-4cb6-8d96-b1b97aaf9d6b
          subjects:
            - type: component
              include-all: {}
      responsible-roles:
        - role-id: assessor

associated-activities の activity-uuid が、上で読んだ activity の uuid を指しています。やり方の定義（activity）と日程への割り当て（task）を分けておくことで、同じ確認作業を複数の日程や対象に割り当てられます。

文書の全体像

範囲・対象・作業を読んだあとで、文書全体の形を確認します。必須のブロックは 4 つです。uuid、metadata、そして Assessment Plan 固有の import-ssp と reviewed-controls。

assessment-plan:
  uuid: 74c1f5ed-7b04-49e4-a89b-f8b0120715fd
  metadata:
    # …略…
  import-ssp:
    href: ../../ssp/xml/ifa_ssp.xml
  local-definitions:
    # …略…
  reviewed-controls:
    # …略…
  assessment-subjects:
    # …略…
  tasks:
    # …略…

import-ssp は、どのシステムを評価するかの宣言です。SSP が import-profile で Profile を指したように、Assessment Plan は import-ssp で SSP を指します。評価の計画は、評価される側の計画書（SSP）を土台にする、という参照の連なりがここでも続きます。

読み取り演習

次へ

評価計画の骨組みが読めました。次のセクションでは、ミナト精機の 2026 年度の内部監査計画を Assessment Plan として書きます。評価するシステムは受発注システム、土台になる SSP は第 3 部で書き上げたばかりのものです。