IT-Grundschutz++ kohtub OSCAL-iga

PDF-kompendiumist struktureeritud andmeteni

Aastakümneid oli IT-Grundschutz – Saksamaa riiklik turvalisuse baastase – eelkõige tekstikogum: kompendium, standardid ja rakendusjuhised PDF-failidena, mida hallati dokumentides ja analüüsiti arvutustabelites. 2025. aasta septembri lõpus lõpetas BSI ametlikult selle ajastu ja avaldas Stand-der-Technik-Bibliotheki GitHubis – koos IT-Grundschutz++-ga masinloetava kataloogina.

See on enamat kui uus salvestusvorming. Nõuded on saadaval OSCAL-i kataloogina XML-, JSON- ja YAML-vormingus. Tööriistad saavad neid otse lugeda, neile viidata ja siduda need organisatsiooni enda rakendusega – ilma ümbertippimise, versioonide äraarvamise ja leheküljenumbriteta.

• Nõuded saavad püsivad, masinloetavad identifikaatorid
• Uuendused ilmuvad jälgitavalt avalikku hoidlasse
• ISMS-i tööriistad loevad kataloogi otse, selle asemel et seda käsitsi uuesti sisestada

Miks BSI valis OSCAL-i

Vormingu valik on tähelepanuväärne. BSI oleks võinud määratleda oma riikliku andmevormingu – ja otsustas teadlikult seda mitte teha. OSCAL on NIST-i juhitud rahvusvaheliselt väljakujunenud standard; selle kasutuselevõtt hoiab Saksa organisatsioonid ühilduvana rahvusvaheliste raamistikega ja kiiresti kasvava tööriistade ökosüsteemiga.

Saksamaa ühineb sellega laiema liikumisega: USA-s liigub FedRAMP masinloetavate autoriseerimispakettide poole ja standardi ümber olevad tööriistad arenevad kiiresti. Kui soovite kõigepealt alustada alustest, selgitab meie sissejuhatus Mis on OSCAL?, kuidas standard on üles ehitatud.

Mis muutub Grundschutzi praktikas

Igapäevase ISMS-i töö jaoks on vormingumuutus olulisem, kui esmapilgul tundub. Praegu seisneb märkimisväärne osa Grundschutzi tööst nõuete ülekandmises dokumentidest oma struktuuri: arvutustabelitesse, GRC-tööriistadesse, turvakontseptsioonidesse. Kompendiumi iga uus väljaanne käivitab sama harjutuse uuesti.

Masinloetava kataloogi puhul pöördub loogika ümber. Tööriist teab nõudeid juba ette ja tegelik töö nihkub sinna, kuhu see kuulub: määramisse, rakendamisse, tõenditesse ja otsustesse.

• Siht- ja tegeliku olukorra võrdlusi saab genereerida automaatselt, selle asemel et neid käsitsi hooldada
• Kataloogiversioonide vahelised muudatused muutuvad võrreldavaks ja selgitatavaks
• Tõendid ja põhjendused seotakse püsivate nõuete identifikaatoritega

Kaalutletud üleminek

Edition 23-l põhinevad olemasolevad turvakontseptsioonid ei kaota oma väärtust üleöö – moderniseerimine on üleminek, mida BSI täpsustab samm-sammult. Suund on aga ühemõtteline ja meeskonnad, kes oma struktuuri varakult korrastavad, võidavad kahekordselt: tänane töö muutub puhtamaks ja hilisem üleminek väiksemaks.

Meie hinnangul on end tõestanud kolm ettevalmistust. Need tasuvad end ära olenemata sellest, millal organisatsioon ametlikult IT-Grundschutz++-le üle läheb.

• Struktureerige olemasolevad rakendused ja tõendid nii, et need oleksid nõuetega ühemõtteliselt seotud
• Auditeerige oma tööriistu: kas need suudavad OSCAL-i katalooge natiivselt lugeda – või ainult importida ja unustada?
• Omandage vorminguga vahetu kogemus, näiteks avades ja kontrollides kataloogi OSCAL-i validaatoris

Meie seisukoht

Ehitasime Secani algusest peale OSCAL-põhiseks – veendumusest, et vastavussisu peaks olema struktureeritud andmed ammu enne, kui regulaatorid seda nõuavad. See, et BSI viib nüüd IT-Grundschutzi just sinna, kinnitab valitud teed. Kui valmistute üleminekuks IT-Grundschutz++-le ja soovite enamat kui ilusamat arhiivi, võtke meiega ühendust.