SCAPとは？セキュリティ設定共通化手順の仕組みとSCAP 1.4・OpenSCAPの実行手順【2026年】

SCAP（Security Content Automation Protocol、IPAの訳語は「セキュリティ設定共通化手順」）は、セキュリティ設定のチェック項目・検査ロジック・識別子・深刻度スコアを別々の仕様として標準化し、ツールが自動で評価できるようにしたNISTの枠組みです。現行版は2026年6月8日に確定したSCAP 1.4です。日本語の解説はIPAのSCAP概説（最終更新2015年7月22日・6仕様）か、SCAP 1.3を前提にしたものがほとんどで、構成仕様の顔ぶれも周辺の制度も今とは違います。この記事ではSCAP 1.4の仕様書と、2026年11月3日にColima上のx86_64 DockerコンテナでAlmaLinux 9・Fedora 44・Ubuntu 24.04を評価した記録をもとに整理します。

まとめ

• SCAPは「チェックリスト（XCCDF）」「検査ロジック（OVAL）」「識別子（CPE・CCE・CVE）」「スコア（CVSS・CCSS）」などの仕様を1本のデータストリームに束ね、スキャナを問わず同じ判定を出すための枠組み。
• 現行版はSCAP 1.4（NIST SP 800-126 Rev.4、2026年6月8日確定）。1.3からはSWID要件の削除、CVSSの版の優先規則（v4.0 > v3.1 > v3.0 > v2.0）、SCAP 1.0／1.1との後方互換要件の削除が効いてくる。
• OpenSCAPの対応宣言はSCAP 1.3にとどまる。最新のOpenSCAP 1.4.6でも oscap --version の対応版は「SCAP Version: 1.3」で、OVAL 5.12を宣言した定義ファイルは「Schema file not found」で評価前に止まった。
• Ubuntu 24.04はaptで openscap-scanner（1.3.9）が入るが、同梱のSCAP Security Guide（0.1.71）に24.04用のコンテンツが無い。上流の0.1.82を取ってくれば評価できる。
• NISTのSCAP検証プログラムは2025年9月2日で試験報告の受付を終え、ページはアーカイブ扱いになった。製品の「NIST検証済み」はSCAP 1.3以前に対するもので、1.4の検証済み製品は出ていない。

SCAPの定義と、設定監査を属人化させないための標準化

SCAPは単体のツールでも製品でもなく、複数の仕様を組み合わせた枠組みです。NIST SP 800-126 Rev.4はSCAPを、ソフトウェアの欠陥情報とセキュリティ設定情報を機械にも人にも伝わる形式と用語で標準化した仕様の集合と定義しています。標準化の対象は、何をチェックするかのチェックリスト、それをどう判定するかの検査ロジック、製品・設定項目・脆弱性を指す識別子、問題の深刻度を表すスコアの4つです。

以前はこれらがツールごとの独自形式で、あるスキャナ向けに書いた設定基準を別のスキャナで使い回せませんでした。SCAPはそれぞれに別の仕様を割り当て、1本のXMLデータストリームにまとめて配布できるようにしています。DISA STIGやCIS BenchmarkをSCAPコンテンツとして配れば、対応スキャナ間で判定基準と結果を共有しやすくなり、ARF形式の結果を他のシステムへ渡せます。ただし、対応する仕様の版や検査機能は製品ごとに確認が必要です。設定監査がスクリプトと担当者の記憶に頼っている状態から抜けるための土台です。

SCAPのバージョン履歴：1.0（2009年）から1.4（2026年）まで

SCAPの版はNIST SP 800-126の改訂番号と1対1で対応しています。日本語の解説で「最新は1.3」と書かれているものは、2018年から2026年6月までの状態を説明していることになります。

日付はNIST CSRCの各版のページ（SP 800-126 Rev.4ほか）の記載です。2018年にホワイトペーパーが出た「SCAP v2」は、プロジェクトページはあるものの確定した仕様書は公開されていません。

SCAP 1.4の構成仕様：5カテゴリと各仕様のバージョン

SP 800-126 Rev.4はSCAP 1.4を「5つのカテゴリ・12の構成仕様から成る」と説明しています。ところが、その直後に並ぶ実際の列挙は11件です。各仕様の版はNISTのSCAP 1.4のページと仕様書本文で確認しました。

SCAP 1.3の仕様書（Rev.3）も「12仕様」と書いており、こちらはSWIDタグを含めて実数が12でした。NISTは理由を説明していませんが、1.4でSWIDを外したあとも地の文の数字が据え置かれた可能性が高いと考えられます。CVSSをv3.1とv4.0の2件と数えれば12になりますが、読むときは数字ではなく列挙を正としてください。IPAの概説が挙げる6仕様（CVE・CCE・CPE・CVSS・XCCDF・OVAL）は、この表のうち初期からある6つです。

日本語の解説でよく見る誤りが、CWE（共通脆弱性タイプ一覧）をSCAPの構成仕様に数えるものです。Rev.3とRev.4のどちらの一覧にもCWEはなく、Rev.4本文でCWEが出てくるのはNVDが提供するデータを説明する箇所だけです。CWEとCVEの関係はCVEとCWEの違いとは？CWEの意味と、1件のCVEにCWEが付く仕組みを実例で解説で扱っています。

CVEやCVSSは、SCAPの中ではXCCDFのルールから参照される部品です。スコアの計算式はCVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説、識別子の形式はCCEとは？セキュリティ設定の共通ID｜形式・最新リスト5.20251209とSCAPでの調べ方とCPEとは？セキュリティ識別子・ネットワーク機器・CPEクレジットの違いと使い分けにまとめています。コンテンツを書くときの中心になる2つの言語は、Benchmark・Profile・Ruleの構造をXCCDFとは？OVALとの違い・ファイル構造とoscapで評価する手順【XCCDF 1.2】、definition・test・object・stateの関係をOVALとは？脆弱性検査言語の仕組みとoscapでの評価手順・最新5.12.3【2026年】で個別に解説しています。

SCAP 1.3から1.4への変更点：SWID要件削除とCVSSの版の規則

SP 800-126 Rev.4のChange Logが挙げる変更は5項目です。SCAP 1.3への参照を1.4へ更新、SCAP 1.1・1.0との後方互換要件の削除、電子署名要件の改定、SWID要件の削除、OVALの「core」「platform」スキーマ版への参照の削除。既存の解説と食い違うのはSWIDとCVSSの扱いです。

SWID要件の削除と、識別スキームの3本化

SCAP 1.3ではSWIDタグ（ソフトウェア識別タグ）が構成仕様に含まれ、Rev.3はCPEと並ぶ識別手段に挙げていました。1.4ではSWID要件が削除され、識別スキームはCPE 2.3・CCE 5・CVEの3つになりました。SWIDタグそのものはISO/IEC 19770-2という独立した国際規格で、NIST IR 8060がタグ作成の指針を出しています。SCAPスキャナの適合要件から外れただけなので、資産管理やSBOMの文脈でタグを使う運用は続けられます。「SCAPの識別スキームはCPE・SWID・CCE・CVEの4つ」と書かれた記事は、SCAP 1.3までの説明です。

CVSS v4.0優先と、v3.0・v2.0を使える範囲

SCAP 1.3の「CVSS v3」はv3.0とv3.1のどちらを指すのか曖昧でした。Rev.4の3.8節は4つの版を2階層に整理しています。v4.0は推奨（権威ある情報源からv4.0のベクタが得られるなら参照すべき）、v3.1は最低ライン（v4.0のデータが無い脆弱性では適合製品がv3.1を受け入れなければならない）です。v3.0は2019年9月10日より前に公開され、v3.1・v4.0のベクタがいずれも発行されていない脆弱性に限り使用でき、v2.0は2022年7月13日より前に公開され、v3.0・v3.1・v4.0のベクタがいずれも発行されていない脆弱性に限り使用できます。

版の判定方法も決まりました。適合製品はベクタ文字列の接頭辞（CVSS:4.0/、CVSS:3.1/、CVSS:3.0/）から版を識別し、別の版のラベルに付け替えてはならず、接頭辞の無いベクタはv2.0として扱います。複数の版がある場合の優先順位は v4.0 > v3.1 > v3.0 > v2.0 です。v2.0のスコアをv3系の値として持ち替えている変換処理はこの規定に反するので、自社でSCAPコンテンツを生成しているなら、スコアの出力箇所で版・ベクタ文字列・出典の3つを記録するよう直しておくべきです。

電子署名要件：1つの署名が覆う範囲の限定

Rev.4の3.10.3節は、各 <ds:Signature> が「ソースデータストリームコレクションのルート要素」か「単一のデータストリーム」のどちらか一方だけを対象とすることを求めています（SHALL）。コレクション全体に署名を1つ打って済ませていた運用は、データストリーム単位で配り直すときに署名の作り替えが要ります。

後方互換の打ち切りとOVAL 5.12系への移行

SCAP 1.4ではSCAP 1.1・1.0との後方互換が必須ではありません。移行先のスキャナが旧版に対応しない場合は、既存コンテンツの変換か作り直しが必要です。OVALは5.12系が採用され、附属書SP 800-126A Rev.4はスキーマの配布元としてGitHubのOVAL-Community/OVALを指しています。上流では2025年1月24日にOVAL 6.0が出ていますが、その後も5.12系はv5.12.1（2025年6月）、v5.12.2（2025年12月）、v5.12.3（2026年6月6日）と更新が続いており、SCAP 1.4が採ったのは5.12系です。コンテンツを書くときに見るのは6.0ではなく5.12系のスキーマです。

OpenSCAPでSCAPスキャンを実行する手順

SCAPは仕様なので、評価を回すにはスキャナとコンテンツが要ります。Linuxで標準的に使われるのが、スキャナのOpenSCAP（oscap コマンド）と、チェック項目を収めたSCAP Security Guide（開発プロジェクト名はComplianceAsCode/content）です。OpenSCAPだけ入れても判定基準が無いので何も評価できません。

スキャナとSCAP Security Guideのインストール

RHEL系とFedoraは dnf install openscap-scanner scap-security-guide、Debian・Ubuntuは apt install openscap-scanner で入ります。入る版はディストリビューションで大きく違います。2026年11月3日にコンテナで確かめた結果が次の表です（Debian 12はパッケージ情報の値）。

上流の最新はOpenSCAP 1.4.6（2026年10月22日）とSCAP Security Guide 0.1.82（2026年9月1日）です。今回確認したAlmaLinux 9は1.3系のスキャナと新しいコンテンツを組み合わせています。Red HatのOpenSCAPリリースノートではRHEL 10に1.4系、RHEL 8・9に1.3系が割り当てられているため、OSのメジャー版ごとに確認してください。データストリームは /usr/share/xml/scap/ssg/content/ に置かれます。

Ubuntu 24.04向けSSGコンテンツの不足と入手先

Ubuntu 24.04のuniverseにある ssg-debderived 0.1.71が入れるデータストリームは、ubuntu1604・1804・2004・2204の4つだけでした。apt install で揃えたつもりでも、24.04自身を評価するファイルがありません。手段は2つです。

• 上流のリリースから scap-security-guide-0.1.82.zip を取り、中の ssg-ubuntu2404-ds.xml を使う。プロファイルはCIS Level 1／2（Server・Workstation）と「Canonical Ubuntu 24.04 LTS STIG V1R5」が入っていた。
• CanonicalのUbuntu Security Guide（USG）を使う。Ubuntu Proの機能で、sudo pro enable usg のあと sudo apt install usg で入り、usg audit・usg fix で監査と修正を行う。無料版の規約は物理5台まで（VM・コンテナは台数無制限）で、会社・法人で使う場合は1社1アカウントに限られる。それを超える台数は有償契約になる。

oscap infoによるプロファイル確認とxccdf evalによる評価

まず oscap info でデータストリームに入っているプロファイルIDを確認します。

oscap info ssg-ubuntu2404-ds.xml

プロファイルIDが分かったら評価します。機械向けの結果XMLと、人が読むHTMLレポートを同時に出すのが基本形です。

oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis_level1_server \
  --results result.xml \
  --report report.html \
  ssg-ubuntu2404-ds.xml

Ubuntu 24.04のコンテナにaptのoscap 1.3.9を入れ、上流0.1.82のコンテンツでこのコマンドを実行した結果は、408ルール中pass 132・fail 6・notapplicable 270、スコア95.61、所要11秒、終了コード2でした。終了コード2は、failまたはunknownのルールが存在することを示します。スクリプトでは終了コードと結果XMLを併せて確認し、不適合と判定不能を区別します。notapplicableが3分の2を占めるのは、ルールに適用条件（platform）が付いているためです。データストリームには「カーネルを持つシステム（system_with_kernel）」や「特定のパッケージが入っていること」といった条件があり、最小構成のコンテナではsysctl・マウントオプション・SSHサーバー設定などのルールが対象外になりました。実機のサーバーでは件数もスコアも変わります。failしたのは package_pam_pwquality_installed、accounts_umask_etc_bashrc など、最小イメージで未設定の6項目でした。

修正まで自動化するなら --remediate を付けるか、oscap xccdf generate fix で修正スクリプトを生成します。OpenSCAP 1.4.0以降は --fix-type kickstart でキックスタートファイルも作れます。スコアの計算方法やルールの選択の仕組みは、XCCDFの記事で実測付きで扱っています。

古い記事の手順を写すときは版に注意してください。OpenSCAP 1.4.0で cve・cvss・cvrf モジュールと、sds-compose・sds-split・rds-create などのデータストリーム系サブコマンドが削除されました。実際に1.4.6の oscap --version では、対応仕様の一覧からCVSSとCVEの行が消えています（1.3.14では「CVSS Version: 2.0」「CVE Version: 2.0」が残っている）。

Windows環境は対象外

OpenSCAPのリポジトリにあるdocs/windows.mdは「Windows Support Removal」と題し、Windowsを対応プラットフォームから外すと宣言しています。開発チームはWindows上のスキャナの不具合を調査・修正せず、リリースビルドも作りません。動作する最後のリリースは1.3.4とされ、1.3でWindows対応を入れて以降、保守されないままコードが使えない状態になったという説明です。WindowsサーバーをSCAPで評価するなら、米海軍NIWC Atlanticが開発・公開しているSCAP Compliance Checker（SCC）か、Windows対応の商用スキャナが候補です。SCCの公式ページは、WindowsとLinux／Solarisのローカル・リモート走査と、SCAP 1.0〜1.4への対応を掲げています。Microsoftの設定基準の管理・比較には、別途Security Compliance Toolkitも使えます。

実測：OpenSCAP 1.4.6のOVAL 5.12検証エラーとSCAP 1.4対応の限界

SCAP 1.4どおりにOVAL 5.12でコンテンツを書くと、OpenSCAPで評価できるのか。中身は同じ（sshd_config に PermitRootLogin no があるかを見る textfilecontent54_test 1件）で、schema_version だけを変えたOVAL定義ファイルを6つ作り、oscap oval validate と oscap oval eval に通しました。

5.12以降はどちらの版でも OpenSCAP Error: Schema file not found when trying to validate のあとに Invalid OVAL Definition (5.12) content が出て、評価に進む前に止まりました。OpenSCAPは評価の前にスキーマ検証をかけ、手元に5.12のスキーマを持っていないためです。1.4.6の oscap --version が示す対応版は「SCAP Version: 1.3」「OVAL Version: 5.11.3」で、マニュアル（docs/manual/manual.adoc）も「OpenSCAP supports SCAP 1.3」のままです。

結果の読み方で注意すべき点が2つあります。1つ目は、検証を省略するオプション（1.4.0で --skip-valid から --skip-validation に改名）を1.4.6で指定すると、5.12・6.0と宣言したファイルも評価が通ったことです。ただし今回のファイルは5.11にもある要素しか使っていません。5.12で追加された要素を使えば、検証を飛ばしても評価する部品がありません。2つ目は、SSGのデータストリームの scap-version="1.3" を "1.4" に書き換えても oscap ds sds-validate は終了コード0を返し、oscap info は「Version: 1.4」と表示したことです。検証が通ったことは、中身がSCAP 1.4に沿っている証明になりません。

実務での結論ははっきりしています。OpenSCAPで回すなら、当面はOVAL 5.11系で書かれた配布済みのSCAP Security Guideをそのまま使います。自作コンテンツでOVAL 5.12の新しい要素やSCAP 1.4固有の書き方を使うのは、スキャナ側の対応が出てからにしてください。

「NIST検証済み」の読み方：SCAP検証プログラムは2025年に終了

SCAP製品の比較では「NIST SCAP Validated」の表記が選定基準に使われてきました。そのNIST SCAP検証プログラムは終了しています。NISTの終了告知（End-of-Life Announcement）によると、NVLAPはSCAPの認定の新規申請と更新の受付を即時停止し（Lab Bulletin LB-160-2025）、認定試験所からの試験報告書の受付は2025年9月2日午前0時（米国東部夏時間）で締め切られました。ページ自体も「Archived」と表示されています。

検証済み製品の一覧に残っているのはSCAP 1.3と1.2の製品だけです。記録番号148のHCL BigFix 11.0.2.125（SCAP 1.3、検証日2025年8月27日）のように、締切の直前まで検証が行われていました。SCAP 1.4の確定は2026年6月8日で受付終了より後なので、1.4についてNISTの検証を受けた製品はありません。SCCのように公式ページでSCAP 1.4対応をうたうスキャナはありますが、「SCAP Validated」の表記が指すのは1.3以前の検証です。OpenSCAPのリポジトリ説明が今も「NIST Certified SCAP 1.2 toolkit」となっているのも、この制度の過去の結果です。

調達の要件に「NIST検証済み」を書くなら、対象のSCAPの版を明記してください。1.3の検証記録の有無に加え、1.4のOVAL 5.12とCVSS v4.0にいつ対応するのかをベンダーに確認するのが現実的です。

SCAP導入の判断基準：向く環境と、投資が回収できない環境

SCAPを入れる価値があるのは、同じ構成のLinuxサーバーが継続的に増減し、設定基準への準拠を外部に示す必要がある環境です。官公庁・金融・医療でSTIGやCIS Benchmarkへの準拠を求められる案件や、ゴールデンイメージを配って台数が伸びる案件では、判定ロジックを標準形式で持つ効果が工数を上回ります。

次に当てはまるなら、SCAPを見送るか計画を組み直してください。

• サーバーの大半がWindowsで、OpenSCAPだけで組むつもりだった。この場合はSCAPを諦めるのではなく、前述のSCCなどWindowsに対応したスキャナの選定からやり直す。
• インフラがマネージドサービス中心。設定の実体がクラウドのリソース設定にあるなら、AWS Configとは？設定変更の記録・ルール評価・料金の実額と導入判断をCLI設定例つきで解説【2026年時点】やCSPMとは？設定ミス検出の仕組みとCNAPPとの違い・導入判断を実装視点で解説の仕組みのほうが合う。EC2などにOSを載せて運用している部分にはSCAPが効く。
• 目的がアプリの依存ライブラリの脆弱性検出。OVAL定義はOSパッケージとシステム設定の検査が主眼で、npmやpipの依存ツリーを追う設計ではない。

台数が少なく構成もばらばらで、監査証跡の提出要件もない環境では、SCAP導入より既存の構成管理の整備を優先する判断が妥当です。その規模ならAnsibleの使い方入門：インストールからアドホックコマンド・最初のPlaybookまで【2.21系】で設定をコード化し、定期的に差分を見るほうが確実です。SCAPで出たfailの扱いや、OS設定以外も含めた点検をまとめて外部に任せたい場合は、脆弱性診断・セキュリティ診断の範囲として相談できます。

名前が似ている「SCAP」との区別

検索では、セキュリティ標準のSCAPとは無関係のものが同じ綴りで出てきます。

SCA（Software Composition Analysis）とSCAPの検査対象の違い

アプリが依存するOSSライブラリを解析し、既知の脆弱性とライセンスを検出する手法です。CVEを参照する点は同じですが、SCAPがOSの設定と導入済みパッケージを評価するのに対し、SCAはマニフェストとロックファイルを起点にします。監査する層が違うので、一方で他方は代替できません。ツールの例はGrypeとは：Syftと組むコンテナ・SBOMの脆弱性スキャンとCIで止める条件、Trivyとの選び分け【v0.121】で扱っています。

Sysdig・Falcoの.scapファイルとセキュリティ標準の区別

SysdigやFalcoが使うシステムコールのキャプチャ形式です。Sysdig Secureのドキュメントはキャプチャを.scap形式でダウンロードし、Sysdig Inspectやsysdigで開くと説明しています。名前はキャプチャ用ライブラリのlibscapに由来し、SCAPの標準とは関係ありません。Falco自体の仕組みはFalcoとは？ランタイム脅威検知の仕組みとルール運用・誤検知の抑え方を解説を参照してください。

Rustのscapクレートの用途とセキュリティ標準との違い

crates.ioの scap は「screen capture library for Rust」と説明される画面キャプチャ用のライブラリ（2026年11月時点で0.1.0-beta.1）です。「scap rust」で検索した場合はこちらを指しています。

歴史用語のGHQとSCAPが指す組織・職の違い

歴史の文脈のSCAPはSupreme Commander for the Allied Powers（連合国軍最高司令官）の略です。米国国立公文書館の記述では、その総司令部（General Headquarters）がGHQ SCAPで、1945年10月2日の一般命令第1号で設置されました。GHQとSCAPの違いは、GHQが組織、SCAPが最高司令官という職を指す点です。

よくある質問

SCAPの日本語名は何ですか？

IPAは「セキュリティ設定共通化手順」という訳語を当てています。ただしIPAの解説ページ（セキュリティ設定共通化手順SCAP概説）は最終更新が2015年7月22日で、SCAPを6つの仕様の集合として説明しています。現在の構成仕様と版はNIST SP 800-126 Rev.4を参照してください。

SCAPの最新バージョンはどれですか？

SCAP 1.4です。仕様書のNIST SP 800-126 Rev.4と、構成仕様の版を定める附属書SP 800-126A Rev.4が2026年6月8日に確定しました。1.3は2018年2月のRev.3です。ただし最新のOpenSCAP 1.4.6が対応を宣言しているのはSCAP 1.3です。

OpenSCAPはWindowsで使えますか？

使えません。OpenSCAPの公式文書（docs/windows.md）がWindowsを対応プラットフォームから外すと宣言しており、不具合の修正もリリースビルドの作成も行われません。動作する最後のリリースは1.3.4とされています。WindowsサーバーのSCAP評価には、SCAP Compliance Checker（SCC）やWindows対応の商用スキャナを使います。

OpenSCAPはUbuntuで使えますか？

スキャナは使えます。Ubuntu 24.04では apt install openscap-scanner で1.3.9が入ります。ただしaptのSCAP Security Guide（ssg-debderived 0.1.71）には24.04用のデータストリームが無いので、上流のリリース（0.1.82）の ssg-ubuntu2404-ds.xml を使うか、Ubuntu ProのUSGを使います。

SCAP Security GuideとOpenSCAPは何が違いますか？

OpenSCAPはスキャナ（評価を実行するプログラム）、SCAP Security Guideはチェック項目のコンテンツ（評価される中身）です。開発はComplianceAsCode/contentプロジェクトで行われ、CIS Benchmark・DISA STIG・PCI DSSなどのプロファイルを含みます。評価にはOpenSCAPと対応コンテンツが必要ですが、コンテンツはSCAP Security Guide以外の配布物や自作定義でも構いません。

CVEとCVSSの違いは何ですか？

CVEは脆弱性1件ごとに付く識別番号（例：CVE-2021-44228）、CVSSはその脆弱性の深刻度を0.0〜10.0で表す評価方法です。SCAPの中ではCVEが識別スキーム、CVSSが測定・スコアリングのカテゴリに入ります。脆弱性全体の流れは脆弱性とは？種類・CVE/CVSSの仕組みと発見から修正までの実務を解説で説明しています。

関連記事

• XCCDFとは？OVALとの違い・ファイル構造とoscapで評価する手順【XCCDF 1.2】
• OVALとは？脆弱性検査言語の仕組みとoscapでの評価手順・最新5.12.3【2026年】
• CCEとは？セキュリティ設定の共通ID｜形式・最新リスト5.20251209とSCAPでの調べ方
• CPEとは？セキュリティ識別子・ネットワーク機器・CPEクレジットの違いと使い分け
• CVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説