Hvad er OSCAL?

Hvorfor compliance er et dataproblem

Sikkerhedskrav findes stadig overvejende som prosa: kataloger som PDF-filer, sikkerhedsplaner som Word-dokumenter, vurderingsresultater som rapporter. Prosa er fleksibel, men den har en pris. Det samme krav fortolkes forskelligt af forskellige læsere, krydshenvisninger går i stykker ved hver ny version, og hver analyse begynder med at kopiere, indsætte og manuelt vedligeholde regneark.

Det er præcis det problem, OSCAL adresserer. Open Security Controls Assessment Language er en åben standard, der ledes af NIST og er udviklet sammen med FedRAMP og et internationalt fællesskab. OSCAL beskriver sikkerhedskrav, deres implementering og deres vurdering som strukturerede data – tilgængelige i JSON, XML og YAML.

• Krav får stabile identifikatorer i stedet for sidetal og overskrifter
• Sammenhængene mellem krav, implementering og dokumentation bliver eksplicitte
• Værktøjer kan validere, sammenligne og transformere indholdet

De otte dokumentmodeller

OSCAL er ikke ét enkelt filformat, men en familie af dokumentmodeller, der bygger på hinanden. Når man forstår lagene, kan man orientere sig i ethvert OSCAL-dokument.

Kontrollaget: katalog og profil

Et katalog definerer krav, f.eks. kontrollerne i NIST SP 800-53 eller modulerne i en national standard. En profil udvælger fra kataloget, tilpasser og kombinerer: Et stort katalog bliver til det konkrete sæt af krav for én anvendelse, f.eks. en baseline for cloudtjenester.

Implementeringslaget: komponentdefinition og systemsikkerhedsplan

En komponentdefinition beskriver, hvordan et produkt eller en tjeneste kan opfylde krav – genanvendeligt på tværs af mange systemer. Systemsikkerhedsplanen (SSP) dokumenterer derefter for ét konkret system, hvilke krav der gælder, og hvordan de faktisk er implementeret dér.

Vurderingslaget: plan, resultater og åbne punkter

Vurderingsplanen fastlægger, hvad der testes, og hvordan. Vurderingsresultaterne registrerer observationer, fund og risici på en struktureret måde. Handlingsplanen med milepæle (POA&M) styrer åbne punkter med ejere og frister – som data, ikke som et bilag.

OSCAL 1.2 tilføjede desuden mapping collection. Den beskriver sammenhænge mellem krav i forskellige kataloger, f.eks. mellem en international standard og en national ramme. Selve krydsreferencerne mellem rammer bliver dermed maskinlæsbare.

Hvem bruger OSCAL i dag

OSCAL er for længst vokset ud af sine forskningsrødder. FedRAMP, det amerikanske autorisationsprogram for cloudtjenester, bevæger sig væk fra pakker i Word og Excel og kræver strukturerede, maskinlæsbare autorisationsdata – et skift, vi beskriver detaljeret i FedRAMP bliver maskinlæsbar.

Tyskland har også truffet sit valg: BSI offentliggør indholdet af sin Stand-der-Technik-Bibliothek – herunder IT-Grundschutz++-kataloget – som OSCAL-kataloger i XML, JSON og YAML. BSI's begrundelse er forfriskende pragmatisk: OSCAL er internationalt etableret, og et særligt nationalt format ville være en omvej. Hvad det betyder for Grundschutz-teams, gennemgår vi i vores indlæg om IT-Grundschutz++ og OSCAL.

• FedRAMP: maskinlæsbare autorisationspakker erstatter dokumentskabeloner
• BSI: IT-Grundschutz++ udgives som et OSCAL-katalog på GitHub
• Fællesskabet: viewere, validatorer, biblioteker og platforme nærmer sig hinanden

Sådan kommer teams i gang i praksis

At komme i gang med OSCAL behøver ikke at være et projekt. Et godt første skridt er at se på et rigtigt dokument og validere det – f.eks. et katalog fra NIST's repository eller en eksport fra jeres eget system.

Med vores gratis OSCAL Validator kan du kontrollere ethvert OSCAL-dokument i JSON mod de officielle skemaer direkte i browseren, uden upload og uden registrering. Hvis du vil gå mere i dybden, stiller vores OSCAL Toolkit et åbent TypeScript-bibliotek til rådighed til at indlæse, validere og transformere OSCAL-dokumenter.

Derfra bliver OSCAL primært et spørgsmål om jeres arbejdsmodel: Hvilke kataloger og profiler gælder for os? Hvor kommer indholdet til SSP'en og dokumentationen fra? Secani er bygget OSCAL-native fra bunden – så teams ikke blot kan importere strukturerede compliance-data, men faktisk arbejde i dem.