來源文件：
ASIA-CMMC-SSP-DRAFT-202604.docx（CMMC L1，亞航範例） 目的：除了控制項實作 + AO 之外，docx 內還有哪些資訊值得抽取進 OSCAL SSP 範圍：先不限制系統現況有無欄位，只看 OSCAL schema 與 docx 內容對應關係
metadata）| docx 區塊 | docx 內容範例 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| 封面 T0 / 文件編號 | Ser. NO: CMMC-SSP-... |
metadata.title 補編號 |
高 |
| 封面 T0 / Version | Version: x.x |
metadata.version |
高 |
| 封面 T0 / Issue Date | 2026/xx/xx |
metadata.last-modified / published |
高 |
| 封面 T0 / 組織名 | AIR ASIA Company Limited |
metadata.parties[type=organization] |
高 |
| Appendix 2 修訂紀錄 T24 | Version / Date / Amendment / Description 多列 |
metadata.revision-history[] |
高 |
| Appendix 1 核決紀錄 T23 | Document Title / Approver / Date / Signature |
metadata.responsible-parties[role=approver] + back-matter.resources[approval] |
中 |
system-characteristics）| docx 段落 | docx 內容 | OSCAL 欄位 | 優先 |
|---|---|---|---|
System Name/Title: |
專案名稱字串 | system-characteristics.system-name |
高 |
System Categorization: Moderate Impact for C |
Moderate / Low / High |
system-characteristics.security-sensitivity-level |
高 |
同上 — Confidentiality / Integrity / Availability 分項 |
個別 impact level | system-information.information-types[].confidentiality-impact 等三項 |
高 |
System Unique Identifier |
「Insert the System Unique Identifier」 |
system-characteristics.system-ids[].id |
高 |
General Description/Purpose of System 段落（多行 EN+ZH） |
系統描述全文 | system-characteristics.description |
高 |
| FCI 類型清單（多項合約文件 / 行政資訊 / 指導文件等） | 清單條目 | system-information.information-types[].title + description |
中 |
| 32 CFR / 48 CFR FCI 定義段落 | 法規引用文 | back-matter.resources[citation] |
低 |
metadata.parties / responsible-parties）docx 的 T1–T5 都是 Name / Title / Office Address / Phone / Email 結構， 對應 OSCAL
party+responsible-party雙層
| docx 區塊 | 角色 | OSCAL 欄位 | 優先 |
|---|---|---|---|
Responsible Organization (T1) |
專案負責單位 | parties[type=organization] + responsible-parties[role=owner] |
高 |
Information provider (T2) |
上游廠商（資料提供者） | parties[type=organization] + responsible-parties[role=info-supplier] |
中 |
Information receiver (T3) |
亞航專案窗口 | parties[type=person] + responsible-parties[role=info-receiver] |
高 |
System Owner (T4) |
承擔安全風險者 | responsible-parties[role=system-owner] |
高 |
System Security Officer (T5) |
系統安全官 | responsible-parties[role=system-security-officer] |
高 |
| Appendix 1 核決紀錄 T23 | 各層核決人 | responsible-parties[role=approver] |
中 |
system-characteristics 子節）| docx 段落 | docx 內容 | OSCAL 欄位 | 優先 |
|---|---|---|---|
Network architecture H2 |
網路架構圖（圖檔）+ 棚區空間圖 | network-architecture.description + back-matter.resources[diagram] |
高 |
Data flow H2 |
資料流敘述（多段條列：登入下載 / 討論階段 / 場域作業階段 / BYOD 規範） | data-flow.description + diagrams[] |
高 |
System Components H2 |
「資產清冊檔案名稱與檔案編號」引用 | system-implementation.components[type=hardware/software] + back-matter.resources[inventory] |
高 |
Software components H2 |
軟體資產清冊引用 | system-implementation.components[type=software] |
高 |
Hardware/Software Maintenance & Ownership |
Yes/No + 解釋 | components[].props[name=ownership] 自訂 prop |
中 |
leveraged-authorizations / system-implementation.components）| docx 表格 | 欄位 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| T6 Leveraged FedRAMP（CSP/CSO Name / CSO Service / FedRAMP Package ID / Nature of Agreement） | 1 條 = 1 個 leveraged auth | system-implementation.leveraged-authorizations[] 一筆對一條 |
高 |
T6 — CrowdStrike, 病毒碼與威脅情資同步更新, ?, SLA + Enterprise Agreement |
範例 row | 同上：title=CrowdStrike + party-uuid + props[fedramp-id] |
高 |
| T7 External Systems / Services（類別 / 名稱 / 功能 / 傳輸方式） | 含協定 + 連接埠 | system-implementation.components[type=service] + protocols[].port-ranges |
中 |
T7 範例：Microsoft Windows Update, HTTPS (Port 443) |
一條對一個 component | 同上 | 中 |
| 類別 | 對應 OSCAL |
|---|---|
H3 控制項（AC.L1-b.1.i ... 等 14 條） |
control-implementation.implemented-requirements[] |
| 各控制項下的編號 list 現況段落 | implemented-requirements[].statements[].by-components[].description |
(a)/(b)/... AO 分類 |
statements[].statement-id 對應 catalog assessment |
back-matter）| docx 區塊 | 內容 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| Appendix 1 核決紀錄 T23 | 簽核流程 + 簽名 | back-matter.resources[type=approval] 含掃描檔 hash |
中 |
| Appendix 2 修訂紀錄 T24 | 多列 Version / Date / Amendment / Description | metadata.revision-history[]（同 A 類） |
高 |
| 圖示資源（網路架構圖 / 資料流示意圖 / 棚區空間圖） | 內嵌於 docx | back-matter.resources[type=diagram] 含 base64 / 外部 URL |
中 |
| 優先 | 預期用途 | 對應節 |
|---|---|---|
| 必做 | metadata（title / version / 修訂紀錄）、system-characteristics 主欄位、responsible-parties（5 個角色）、leveraged-authorizations | A、B、C、E |
| 次要 | description、information-types、network/data-flow 文字敘述、software/hardware components 引用 | B、D |
| 加值 | FCI 法規引用、approval 簽核紀錄、圖示資源 base64 內嵌 | A、G |
| docx 內容 | 原因 |
|---|---|
Insert the System Unique Identifier 之類佔位符 |
純樣板提示，import 應跳過 |
文件範本內的紅字註記（*113年報：... 等） |
撰寫時的提醒，非正式內容 |
| Word 自動產生的內部書籤、TOC field code | OSCAL schema 無對應 |
| docx 內的 EN/ZH 重複段落 | OSCAL 用 lang 屬性切分，但 import 階段先取 EN 為主即可 |
| 區塊 | OSCAL 主節點 | 行數 |
|---|---|---|
| 封面 | metadata | 4 |
| Introduction 上半 | system-characteristics | 5 |
| Introduction 角色 | metadata.parties + responsible-parties | 5 |
| Introduction 下半 | system-characteristics.description / information-types | 3 |
| System Environment | system-characteristics + system-implementation | 6 |
| Leveraged Services T6 | leveraged-authorizations | 多 |
| External Services T7 | system-implementation.components | 多 |
| 控制項（14 條 H3） | control-implementation | 14 |
| Appendix 1 簽核 | back-matter.resources | 1 |
| Appendix 2 修訂紀錄 | metadata.revision-history | 多 |