Какво е OSCAL?

Защо съответствието е проблем на данните

Изискванията за сигурност все още съществуват предимно като текст: каталози като PDF файлове, планове за сигурност като документи в Word, констатации от оценки като доклади. Текстът е гъвкав, но това има цена. Едно и също изискване се тълкува различно от различните читатели, кръстосаните препратки се разпадат с всяка нова версия, а всеки анализ започва с копиране, поставяне и ръчно поддържане на електронни таблици.

Точно този проблем адресира OSCAL. Open Security Controls Assessment Language е отворен стандарт, воден от NIST и разработен съвместно с FedRAMP и международна общност. OSCAL описва изискванията за сигурност, тяхното изпълнение и тяхната оценка като структурирани данни, налични в JSON, XML и YAML.

• Изискванията получават стабилни идентификатори вместо номера на страници и заглавия
• Връзките между изискване, изпълнение и доказателство стават изрични
• Инструментите могат да валидират, сравняват и трансформират съдържанието

Осемте модела на документи

OSCAL не е един файлов формат, а семейство от модели на документи, които надграждат един върху друг. След като разберете слоевете, можете да се ориентирате във всеки OSCAL документ.

Слой на контролите: каталог и профил

Каталогът определя изискванията, например контролите на NIST SP 800-53 или модулите на национален стандарт. Профилът избира от него, адаптира и комбинира: голям каталог се превръща в конкретния набор от изисквания за един случай на употреба, например базова линия за облачни услуги.

Слой на изпълнението: дефиниция на компонент и план за сигурност на системата

Дефиницията на компонент описва как даден продукт или услуга може да изпълни изисквания, като е повторно използваема в много системи. След това планът за сигурност на системата (SSP) документира за една конкретна система кои изисквания се прилагат и как действително са изпълнени там.

Слой на оценката: план, резултати и отворени въпроси

Планът за оценка определя какво се тества и как. Резултатите от оценката отразяват наблюденията, констатациите и рисковете по структуриран начин. Планът за действие и етапи (POA&M) управлява отворените въпроси с отговорни лица и срокове, като данни, а не като приложение.

OSCAL 1.2 добави отгоре колекцията от съответствия. Тя описва връзките между изисквания от различни каталози, например между международен стандарт и национална рамка. Самите съответствия между рамките стават машинночетими.

Кой използва OSCAL днес

OSCAL отдавна е надраснал изследователските си корени. FedRAMP, програмата на САЩ за оторизация на облачни услуги, се отказва от пакетите в Word и Excel и изисква структурирани, машинночетими данни за оторизация, промяна, която описваме подробно в FedRAMP преминава към машинночетимост.

Германия също е направила своя избор: BSI публикува съдържанието на своята Stand-der-Technik-Bibliothek, включително каталога IT-Grundschutz++, като OSCAL каталози в XML, JSON и YAML. Мотивите на BSI са освежаващо прагматични: OSCAL е утвърден в международен план, а национален специален формат би бил заобиколен път. Какво означава това за екипите, работещи с Grundschutz, разглеждаме в публикацията ни за IT-Grundschutz++ и OSCAL.

• FedRAMP: машинночетимите пакети за оторизация заменят шаблоните на документи
• BSI: IT-Grundschutz++ се разпространява като OSCAL каталог в GitHub
• Общност: визуализатори, валидатори, библиотеки и платформи се обединяват около стандарта

Как екипите започват на практика

Навлизането в OSCAL не е задължително да бъде проект. Добра първа стъпка е да разгледате реален документ и да го валидирате, например каталог от хранилището на NIST или собствен експорт.

С нашия безплатен OSCAL Validator можете да проверите всеки OSCAL JSON документ спрямо официалните схеми директно в браузъра, без качване и без регистрация. Ако искате да навлезете по-дълбоко, нашият OSCAL Toolkit предоставя отворена TypeScript библиотека за зареждане, валидиране и трансформиране на OSCAL документи.

Оттук нататък OSCAL става предимно въпрос на вашия работен модел: кои каталози и профили се прилагат за нас? Откъде идват съдържанието на SSP и доказателствата? Secani е изграден OSCAL-native от самото начало, така че екипите не само да могат да импортират структурирани данни за съответствие, но и действително да работят в тях.