¿Qué es OSCAL?

Por qué el cumplimiento es un problema de datos

Los requisitos de seguridad todavía viven principalmente en prosa: catálogos en formato PDF, planes de seguridad en documentos de Word, resultados de evaluaciones en forma de informes. La prosa es flexible, pero tiene un costo. El mismo requisito es interpretado de manera diferente por diferentes lectores, las referencias cruzadas se interrumpen con cada nueva versión y cada análisis comienza copiando, pegando y manteniendo manualmente las hojas de cálculo.

Este es exactamente el problema que aborda OSCAL. El lenguaje abierto de evaluación de controles de seguridad es un estándar abierto liderado por NIST, desarrollado junto con FedRAMP y una comunidad internacional. OSCAL describe los requisitos de seguridad, su implementación y su evaluación como datos estructurados, disponibles en JSON, XML y YAML.

• Los requisitos obtienen identificadores estables en lugar de números de página y encabezados
• Las relaciones entre requisitos, implementación y evidencia se vuelven explícitas
• Las herramientas pueden validar, comparar y transformar el contenido.

Los ocho modelos de documentos

OSCAL no es un formato de archivo único, sino una familia de modelos de documentos que se complementan entre sí. Una vez que comprenda las capas, podrá orientarse en cualquier documento OSCAL.

Capa de control: catálogo y perfil

Un catálogo define requisitos, como los controles de NIST SP 800-53 o los módulos de una norma nacional. Un perfil selecciona, adapta y combina: un gran catálogo se convierte en el conjunto concreto de requisitos para un caso de uso, por ejemplo, una base para servicios en la nube.

Capa de implementación: definición de componentes y plan de seguridad del sistema.

Una definición de componente describe cómo un producto o servicio puede satisfacer los requisitos (reutilizable en muchos sistemas). El plan de seguridad del sistema (SSP) documenta entonces, para un sistema concreto, qué requisitos se aplican y cómo se implementan realmente allí.

Capa de evaluación: plan, resultados y elementos abiertos

El plan de evaluación define qué se prueba y cómo. Los resultados de la evaluación capturan observaciones, hallazgos y riesgos de forma estructurada. El plan de acción e hitos (POA&M) gestiona los elementos abiertos con propietarios y fechas límite, como datos, no como un archivo adjunto.

OSCAL 1.2 añadió el modelo de colecciones de mapeo. Describe las relaciones entre requisitos de distintos catálogos, por ejemplo entre una norma internacional y un marco nacional. Así, los propios mapeos cruzados entre marcos se vuelven legibles por máquinas.

¿Quién usa OSCAL hoy?

OSCAL hace tiempo que superó sus raíces en la investigación. FedRAMP, el programa de autorización en la nube de EE. UU., se está alejando de los paquetes de Word y Excel y requiere datos de autorización estructurados y legibles por máquina, un cambio que describimos en detalle en FedRAMP se vuelve legible por máquina.

Alemania también ha hecho su llamado: la BSI publica el contenido de su Stand-der-Technik-Bibliothek, incluido el catálogo IT-Grundschutz++, como catálogos OSCAL en XML, JSON y YAML. El razonamiento de la BSI es refrescantemente pragmático: OSCAL está establecido internacionalmente y un formato especial nacional sería un desvío. Lo que esto significa para los equipos Grundschutz se explica en nuestra publicación sobre IT-Grundschutz++ y OSCAL.

• FedRAMP: los paquetes de autorización legibles por máquina reemplazan las plantillas de documentos
• BSI: IT-Grundschutz++ se envía como catálogo OSCAL en GitHub
• Comunidad: espectadores, validadores, bibliotecas y plataformas están convergiendo

Cómo empiezan los equipos en la práctica

Entrar en OSCAL no tiene por qué ser un proyecto. Un buen primer paso es mirar un documento real y validarlo (por ejemplo, un catálogo del repositorio del NIST o una exportación propia).

Con nuestro gratis Validador OSCAL Puede comparar cualquier documento OSCAL JSON con los esquemas oficiales directamente en el navegador, sin necesidad de cargarlo ni registrarse. Si quieres profundizar más, nuestro Kit de herramientas OSCAL proporciona una biblioteca TypeScript abierta para cargar, validar y transformar documentos OSCAL.

A partir de ese momento, OSCAL se convierte principalmente en una cuestión de su modelo de trabajo: ¿qué catálogos y perfiles se aplican a nosotros? ¿De dónde provienen el contenido y la evidencia del SSP? Secani está diseñado de forma nativa para OSCAL desde cero, por lo que los equipos no solo pueden importar datos de cumplimiento estructurados, sino que también pueden trabajar en ellos.