Το IT-Grundschutz++ συναντά το OSCAL

Από το PDF compendium σε δομημένα δεδομένα

Για δεκαετίες, το IT-Grundschutz – η εθνική βάση αναφοράς ασφάλειας της Γερμανίας – ήταν πρωτίστως ένα σώμα κειμένων: compendium, πρότυπα και οδηγίες εφαρμογής σε PDF, που συντηρούνταν σε έγγραφα και αναλύονταν σε υπολογιστικά φύλλα. Στα τέλη Σεπτεμβρίου 2025, το BSI έκλεισε επίσημα αυτή την εποχή και δημοσίευσε τη Stand-der-Technik-Bibliothek στο GitHub – με το IT-Grundschutz++ ως μηχαναγνώσιμο κατάλογο.

Πρόκειται για κάτι περισσότερο από μια νέα μορφή αποθήκευσης. Οι απαιτήσεις διατίθενται ως κατάλογος OSCAL σε XML, JSON και YAML. Τα εργαλεία μπορούν να τις διαβάζουν απευθείας, να παραπέμπουν σε αυτές και να τις συνδέουν με την υλοποίηση του ίδιου του οργανισμού – χωρίς επανάληψη πληκτρολόγησης, χωρίς εικασίες για εκδόσεις, χωρίς αριθμούς σελίδων.

• Οι απαιτήσεις αποκτούν σταθερά, μηχαναγνώσιμα αναγνωριστικά
• Οι ενημερώσεις εμφανίζονται με ιχνηλάσιμο τρόπο σε ένα δημόσιο αποθετήριο
• Τα εργαλεία ΣΔΑΠ διαβάζουν τον κατάλογο απευθείας αντί για χειροκίνητη επανεισαγωγή

Γιατί το BSI επέλεξε το OSCAL

Η απόφαση για τη μορφή είναι αξιοσημείωτη. Το BSI θα μπορούσε να είχε ορίσει τη δική του εθνική μορφή δεδομένων – και σκόπιμα επέλεξε να μην το κάνει. Το OSCAL είναι ένα διεθνώς καθιερωμένο πρότυπο υπό την ηγεσία του NIST· η υιοθέτησή του διατηρεί τους γερμανικούς οργανισμούς συμβατούς με διεθνή πλαίσια και με ένα ταχέως αναπτυσσόμενο οικοσύστημα εργαλείων.

Η Γερμανία εντάσσεται έτσι σε ένα ευρύτερο κίνημα: στις ΗΠΑ, το FedRAMP μεταβαίνει σε μηχαναγνώσιμα πακέτα εξουσιοδότησης και τα εργαλεία γύρω από το πρότυπο αναπτύσσονται γρήγορα. Αν θέλετε πρώτα τα θεμέλια, η εισαγωγή μας Τι είναι το OSCAL; εξηγεί πώς είναι δομημένο το πρότυπο.

Τι αλλάζει για την πρακτική του Grundschutz

Για την καθημερινή εργασία του ΣΔΑΠ, η αλλαγή μορφής έχει μεγαλύτερη σημασία απ' όσο ακούγεται αρχικά. Σήμερα, ένα σημαντικό μέρος της εργασίας για το Grundschutz συνίσταται στη μεταφορά απαιτήσεων από έγγραφα στη δική σας δομή: σε υπολογιστικά φύλλα, σε εργαλεία GRC, σε έννοιες ασφάλειας. Κάθε νέα έκδοση του compendium πυροδοτεί ξανά την ίδια άσκηση.

Με έναν μηχαναγνώσιμο κατάλογο, η λογική αντιστρέφεται. Το εργαλείο γνωρίζει ήδη τις απαιτήσεις και η πραγματική εργασία μετατοπίζεται εκεί όπου ανήκει: ανάθεση, υλοποίηση, τεκμήρια και αποφάσεις.

• Οι συγκρίσεις επιδιωκόμενης και πραγματικής κατάστασης μπορούν να παράγονται αυτόματα αντί να συντηρούνται χειροκίνητα
• Οι αλλαγές μεταξύ εκδόσεων του καταλόγου γίνονται συγκρίσιμες και εξηγήσιμες
• Τα τεκμήρια και οι αιτιολογήσεις συνδέονται με σταθερά αναγνωριστικά απαιτήσεων

Μια μετρημένη μετάβαση

Οι υφιστάμενες έννοιες ασφάλειας που βασίζονται στην Έκδοση 23 δεν χάνουν την αξία τους από τη μια μέρα στην άλλη – ο εκσυγχρονισμός είναι μια μετάβαση που το BSI εξειδικεύει βήμα προς βήμα. Η κατεύθυνση, ωστόσο, είναι σαφής, και οι ομάδες που οργανώνουν νωρίς τη δομή τους κερδίζουν διπλά: η σημερινή εργασία γίνεται πιο καθαρή και η μεταγενέστερη αλλαγή γίνεται μικρότερη.

Τρεις προετοιμασίες έχουν αποδειχθεί χρήσιμες κατά την άποψή μας. Αποδίδουν ανεξάρτητα από το πότε ένας οργανισμός θα μεταβεί επίσημα στο IT-Grundschutz++.

• Δομήστε τις υφιστάμενες υλοποιήσεις και τα τεκμήρια ώστε να αντιστοιχίζονται με σαφήνεια σε απαιτήσεις
• Ελέγξτε τα εργαλεία σας: μπορούν να διαβάζουν εγγενώς καταλόγους OSCAL – ή μόνο να τους εισάγουν και να τους ξεχνούν;
• Αποκτήστε άμεση εμπειρία με τη μορφή, για παράδειγμα ανοίγοντας και ελέγχοντας έναν κατάλογο στον OSCAL Validator

Η άποψή μας

Χτίσαμε τη Secani εγγενώς με OSCAL από την πρώτη μέρα – από την πεποίθηση ότι το περιεχόμενο συμμόρφωσης πρέπει να είναι δομημένα δεδομένα πολύ πριν το απαιτήσουν οι ρυθμιστικές αρχές. Το ότι το BSI οδηγεί τώρα το IT-Grundschutz ακριβώς εκεί επιβεβαιώνει την πορεία. Αν προετοιμάζετε τη μετάβαση στο IT-Grundschutz++ και θέλετε κάτι περισσότερο από ένα πιο όμορφο αρχείο, μιλήστε μαζί μας.