Τι είναι το OSCAL;

Γιατί η συμμόρφωση είναι πρόβλημα δεδομένων

Οι απαιτήσεις ασφάλειας εξακολουθούν να υπάρχουν κυρίως σε πεζό κείμενο: κατάλογοι σε PDF, σχέδια ασφάλειας σε έγγραφα Word, ευρήματα αξιολογήσεων σε εκθέσεις. Το πεζό κείμενο είναι ευέλικτο, αλλά έχει κόστος. Η ίδια απαίτηση ερμηνεύεται διαφορετικά από διαφορετικούς αναγνώστες, οι παραπομπές χαλάνε με κάθε νέα έκδοση και κάθε ανάλυση ξεκινά με αντιγραφή, επικόλληση και χειροκίνητη συντήρηση υπολογιστικών φύλλων.

Αυτό ακριβώς είναι το πρόβλημα που αντιμετωπίζει το OSCAL. Η Open Security Controls Assessment Language είναι ένα ανοιχτό πρότυπο υπό την καθοδήγηση του NIST, που αναπτύσσεται μαζί με το FedRAMP και μια διεθνή κοινότητα. Το OSCAL περιγράφει τις απαιτήσεις ασφάλειας, την εφαρμογή τους και την αξιολόγησή τους ως δομημένα δεδομένα – διαθέσιμα σε JSON, XML και YAML.

• Οι απαιτήσεις αποκτούν σταθερά αναγνωριστικά αντί για αριθμούς σελίδων και επικεφαλίδες
• Οι σχέσεις μεταξύ απαίτησης, εφαρμογής και τεκμηρίων γίνονται ρητές
• Τα εργαλεία μπορούν να επικυρώνουν, να συγκρίνουν και να μετασχηματίζουν το περιεχόμενο

Τα οκτώ μοντέλα εγγράφων

Το OSCAL δεν είναι ένας ενιαίος μορφότυπος αρχείου αλλά μια οικογένεια μοντέλων εγγράφων που χτίζουν το ένα πάνω στο άλλο. Μόλις κατανοήσετε τα επίπεδα, μπορείτε να προσανατολιστείτε σε οποιοδήποτε έγγραφο OSCAL.

Επίπεδο ελέγχων: κατάλογος και προφίλ

Ένας κατάλογος ορίζει απαιτήσεις, όπως τους ελέγχους του NIST SP 800-53 ή τις ενότητες ενός εθνικού προτύπου. Ένα προφίλ επιλέγει από αυτόν, προσαρμόζει και συνδυάζει: ένας μεγάλος κατάλογος γίνεται το συγκεκριμένο σύνολο απαιτήσεων για μια περίπτωση χρήσης, για παράδειγμα μια βασική γραμμή για υπηρεσίες cloud.

Επίπεδο εφαρμογής: ορισμός στοιχείου και σχέδιο ασφάλειας συστήματος

Ένας ορισμός στοιχείου περιγράφει πώς ένα προϊόν ή μια υπηρεσία μπορεί να ικανοποιήσει απαιτήσεις – επαναχρησιμοποιήσιμος σε πολλά συστήματα. Το σχέδιο ασφάλειας συστήματος (SSP) τεκμηριώνει στη συνέχεια, για ένα συγκεκριμένο σύστημα, ποιες απαιτήσεις εφαρμόζονται και πώς υλοποιούνται πράγματι εκεί.

Επίπεδο αξιολόγησης: σχέδιο, αποτελέσματα και ανοιχτά ζητήματα

Το σχέδιο αξιολόγησης ορίζει τι δοκιμάζεται και πώς. Τα αποτελέσματα αξιολόγησης καταγράφουν παρατηρήσεις, ευρήματα και κινδύνους με δομημένο τρόπο. Το σχέδιο δράσης και ορόσημα (POA&M) διαχειρίζεται τα ανοιχτά ζητήματα με υπευθύνους και προθεσμίες – ως δεδομένα, όχι ως συνημμένο.

Το OSCAL 1.2 πρόσθεσε επιπλέον τη συλλογή αντιστοιχίσεων. Αυτή περιγράφει σχέσεις μεταξύ απαιτήσεων διαφορετικών καταλόγων, για παράδειγμα μεταξύ ενός διεθνούς προτύπου και ενός εθνικού πλαισίου. Οι ίδιες οι αντιστοιχίσεις μεταξύ πλαισίων γίνονται μηχαναγνώσιμες.

Ποιος χρησιμοποιεί σήμερα το OSCAL

Το OSCAL έχει από καιρό ξεπεράσει τις ερευνητικές του ρίζες. Το FedRAMP, το πρόγραμμα αδειοδότησης cloud των ΗΠΑ, απομακρύνεται από τα πακέτα Word και Excel και απαιτεί δομημένα, μηχαναγνώσιμα δεδομένα αδειοδότησης – μια μετάβαση που περιγράφουμε αναλυτικά στο άρθρο Το FedRAMP γίνεται μηχαναγνώσιμο.

Η Γερμανία έχει επίσης κάνει την επιλογή της: το BSI δημοσιεύει το περιεχόμενο της Stand-der-Technik-Bibliothek του – συμπεριλαμβανομένου του καταλόγου IT-Grundschutz++ – ως καταλόγους OSCAL σε XML, JSON και YAML. Το σκεπτικό του BSI είναι ευχάριστα πραγματιστικό: το OSCAL είναι διεθνώς καθιερωμένο, και ένας εθνικός ειδικός μορφότυπος θα ήταν παράκαμψη. Τι σημαίνει αυτό για τις ομάδες Grundschutz εξηγούμε στο άρθρο μας για το IT-Grundschutz++ και το OSCAL.

• FedRAMP: τα μηχαναγνώσιμα πακέτα αδειοδότησης αντικαθιστούν τα πρότυπα έγγραφα
• BSI: το IT-Grundschutz++ διατίθεται ως κατάλογος OSCAL στο GitHub
• Κοινότητα: προγράμματα προβολής, επικυρωτές, βιβλιοθήκες και πλατφόρμες συγκλίνουν

Πώς ξεκινούν οι ομάδες στην πράξη

Η ενασχόληση με το OSCAL δεν χρειάζεται να είναι έργο. Ένα καλό πρώτο βήμα είναι να δείτε ένα πραγματικό έγγραφο και να το επικυρώσετε – για παράδειγμα έναν κατάλογο από το αποθετήριο του NIST ή μια δική σας εξαγωγή.

Με τον δωρεάν OSCAL Validator μας μπορείτε να ελέγξετε οποιοδήποτε έγγραφο OSCAL JSON σε σχέση με τα επίσημα σχήματα απευθείας στο πρόγραμμα περιήγησης, χωρίς μεταφόρτωση και χωρίς εγγραφή. Αν θέλετε να εμβαθύνετε, το OSCAL Toolkit μας παρέχει μια ανοιχτή βιβλιοθήκη TypeScript για τη φόρτωση, την επικύρωση και τον μετασχηματισμό εγγράφων OSCAL.

Από εκεί και πέρα, το OSCAL γίνεται κυρίως ζήτημα του μοντέλου εργασίας σας: ποιοι κατάλογοι και ποια προφίλ ισχύουν για εμάς; Από πού προέρχονται το περιεχόμενο του SSP και τα τεκμήρια; Το Secani έχει σχεδιαστεί εξαρχής εγγενώς για το OSCAL – ώστε οι ομάδες να μπορούν όχι μόνο να εισάγουν δομημένα δεδομένα συμμόρφωσης αλλά και να εργάζονται πραγματικά μέσα σε αυτά.