# SSP docx → OSCAL SSP 欄位映射分析

> 來源文件：`ASIA-CMMC-SSP-DRAFT-202604.docx`（CMMC L1，亞航範例）
> 目的：除了控制項實作 + AO 之外，docx 內還有哪些資訊**值得**抽取進 OSCAL SSP
> 範圍：**先不限制系統現況有無欄位**，只看 OSCAL schema 與 docx 內容對應關係

---

## A. 文件層級（OSCAL `metadata`）

| docx 區塊 | docx 內容範例 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| 封面 T0 / 文件編號 | `Ser. NO: CMMC-SSP-...` | `metadata.title` 補編號 | 高 |
| 封面 T0 / Version | `Version: x.x` | `metadata.version` | 高 |
| 封面 T0 / Issue Date | `2026/xx/xx` | `metadata.last-modified` / `published` | 高 |
| 封面 T0 / 組織名 | `AIR ASIA Company Limited` | `metadata.parties[type=organization]` | 高 |
| Appendix 2 修訂紀錄 T24 | `Version / Date / Amendment / Description` 多列 | `metadata.revision-history[]` | 高 |
| Appendix 1 核決紀錄 T23 | `Document Title / Approver / Date / Signature` | `metadata.responsible-parties[role=approver]` + `back-matter.resources[approval]` | 中 |

---

## B. 系統識別（OSCAL `system-characteristics`）

| docx 段落 | docx 內容 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| `System Name/Title:` | 專案名稱字串 | `system-characteristics.system-name` | 高 |
| `System Categorization: Moderate Impact for C` | `Moderate / Low / High` | `system-characteristics.security-sensitivity-level` | 高 |
| 同上 — `Confidentiality / Integrity / Availability` 分項 | 個別 impact level | `system-information.information-types[].confidentiality-impact` 等三項 | 高 |
| `System Unique Identifier` | `「Insert the System Unique Identifier」` | `system-characteristics.system-ids[].id` | 高 |
| `General Description/Purpose of System` 段落（多行 EN+ZH）| 系統描述全文 | `system-characteristics.description` | 高 |
| FCI 類型清單（多項合約文件 / 行政資訊 / 指導文件等）| 清單條目 | `system-information.information-types[].title` + `description` | 中 |
| 32 CFR / 48 CFR FCI 定義段落 | 法規引用文 | `back-matter.resources[citation]` | 低 |

---

## C. 角色與當事人（OSCAL `metadata.parties` / `responsible-parties`）

> docx 的 T1–T5 都是 Name / Title / Office Address / Phone / Email 結構，
> 對應 OSCAL `party` + `responsible-party` 雙層

| docx 區塊 | 角色 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| `Responsible Organization` (T1) | 專案負責單位 | `parties[type=organization]` + `responsible-parties[role=owner]` | 高 |
| `Information provider` (T2) | 上游廠商（資料提供者）| `parties[type=organization]` + `responsible-parties[role=info-supplier]` | 中 |
| `Information receiver` (T3) | 亞航專案窗口 | `parties[type=person]` + `responsible-parties[role=info-receiver]` | 高 |
| `System Owner` (T4) | 承擔安全風險者 | `responsible-parties[role=system-owner]` | 高 |
| `System Security Officer` (T5) | 系統安全官 | `responsible-parties[role=system-security-officer]` | 高 |
| Appendix 1 核決紀錄 T23 | 各層核決人 | `responsible-parties[role=approver]` | 中 |

---

## D. 系統環境（OSCAL `system-characteristics` 子節）

| docx 段落 | docx 內容 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| `Network architecture` H2 | 網路架構圖（圖檔）+ 棚區空間圖 | `network-architecture.description` + `back-matter.resources[diagram]` | 高 |
| `Data flow` H2 | 資料流敘述（多段條列：登入下載 / 討論階段 / 場域作業階段 / BYOD 規範） | `data-flow.description` + `diagrams[]` | 高 |
| `System Components` H2 | 「資產清冊檔案名稱與檔案編號」引用 | `system-implementation.components[type=hardware/software]` + `back-matter.resources[inventory]` | 高 |
| `Software components` H2 | 軟體資產清冊引用 | `system-implementation.components[type=software]` | 高 |
| `Hardware/Software Maintenance & Ownership` | Yes/No + 解釋 | `components[].props[name=ownership]` 自訂 prop | 中 |

---

## E. 外部系統與服務（OSCAL `leveraged-authorizations` / `system-implementation.components`）

| docx 表格 | 欄位 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| T6 Leveraged FedRAMP（CSP/CSO Name / CSO Service / FedRAMP Package ID / Nature of Agreement）| 1 條 = 1 個 leveraged auth | `system-implementation.leveraged-authorizations[]` 一筆對一條 | 高 |
| T6 — `CrowdStrike, 病毒碼與威脅情資同步更新, ?, SLA + Enterprise Agreement` | 範例 row | 同上：`title=CrowdStrike` + `party-uuid` + `props[fedramp-id]` | 高 |
| T7 External Systems / Services（類別 / 名稱 / 功能 / 傳輸方式）| 含協定 + 連接埠 | `system-implementation.components[type=service]` + `protocols[].port-ranges` | 中 |
| T7 範例：`Microsoft Windows Update, HTTPS (Port 443)` | 一條對一個 component | 同上 | 中 |

---

## F. 控制項實作 + AO（已實作，本表略）

| 類別 | 對應 OSCAL |
|---|---|
| H3 控制項（`AC.L1-b.1.i ...` 等 14 條） | `control-implementation.implemented-requirements[]` |
| 各控制項下的編號 list 現況段落 | `implemented-requirements[].statements[].by-components[].description` |
| `(a)/(b)/...` AO 分類 | `statements[].statement-id` 對應 catalog assessment |

---

## G. Appendix（OSCAL `back-matter`）

| docx 區塊 | 內容 | OSCAL 欄位 | 優先 |
|---|---|---|---|
| Appendix 1 核決紀錄 T23 | 簽核流程 + 簽名 | `back-matter.resources[type=approval]` 含掃描檔 hash | 中 |
| Appendix 2 修訂紀錄 T24 | 多列 Version / Date / Amendment / Description | `metadata.revision-history[]`（同 A 類）| 高 |
| 圖示資源（網路架構圖 / 資料流示意圖 / 棚區空間圖）| 內嵌於 docx | `back-matter.resources[type=diagram]` 含 base64 / 外部 URL | 中 |

---

## H. 推薦上線優先順序

| 優先 | 預期用途 | 對應節 |
|---|---|---|
| **必做** | metadata（title / version / 修訂紀錄）、system-characteristics 主欄位、responsible-parties（5 個角色）、leveraged-authorizations | A、B、C、E |
| **次要** | description、information-types、network/data-flow 文字敘述、software/hardware components 引用 | B、D |
| **加值** | FCI 法規引用、approval 簽核紀錄、圖示資源 base64 內嵌 | A、G |

---

## I. 不建議納入 OSCAL 的部分

| docx 內容 | 原因 |
|---|---|
| `Insert the System Unique Identifier` 之類佔位符 | 純樣板提示，import 應跳過 |
| 文件範本內的紅字註記（`*113年報：...` 等）| 撰寫時的提醒，非正式內容 |
| Word 自動產生的內部書籤、TOC field code | OSCAL schema 無對應 |
| docx 內的 EN/ZH 重複段落 | OSCAL 用 `lang` 屬性切分，但 import 階段先取 EN 為主即可 |

---

## J. Quick Reference（手機優先簡表）

| 區塊 | OSCAL 主節點 | 行數 |
|---|---|---|
| 封面 | metadata | 4 |
| Introduction 上半 | system-characteristics | 5 |
| Introduction 角色 | metadata.parties + responsible-parties | 5 |
| Introduction 下半 | system-characteristics.description / information-types | 3 |
| System Environment | system-characteristics + system-implementation | 6 |
| Leveraged Services T6 | leveraged-authorizations | 多 |
| External Services T7 | system-implementation.components | 多 |
| 控制項（14 條 H3）| control-implementation | 14 |
| Appendix 1 簽核 | back-matter.resources | 1 |
| Appendix 2 修訂紀錄 | metadata.revision-history | 多 |