Mis on OSCAL?

Miks vastavus on andmeprobleem

Turvanõuded elavad endiselt peamiselt proosas: kataloogid PDF-failidena, turvaplaanid Wordi dokumentidena, hindamisleiud aruannetena. Proosa on paindlik, kuid sellel on oma hind. Eri lugejad tõlgendavad sama nõuet erinevalt, ristviited katkevad iga uue versiooniga ja iga analüüs algab kopeerimise, kleepimise ja arvutustabelite käsitsi haldamisega.

Just seda probleemi OSCAL lahendabki. Open Security Controls Assessment Language on NIST-i juhitud avatud standard, mis on välja töötatud koos FedRAMP-i ja rahvusvahelise kogukonnaga. OSCAL kirjeldab turvanõudeid, nende rakendamist ja hindamist struktureeritud andmetena – saadaval JSON-, XML- ja YAML-vormingus.

• Nõuded saavad leheküljenumbrite ja pealkirjade asemel püsivad tunnused
• Seosed nõude, rakenduse ja tõendite vahel muutuvad selgesõnaliseks
• Tööriistad saavad sisu valideerida, võrrelda ja teisendada

Kaheksa dokumendimudelit

OSCAL ei ole üks failivorming, vaid üksteisele tuginevate dokumendimudelite perekond. Kui mõistate kihte, oskate orienteeruda igas OSCAL-dokumendis.

Meetmete kiht: kataloog ja profiil

Kataloog määratleb nõuded, näiteks NIST SP 800-53 meetmed või riikliku standardi moodulid. Profiil teeb sellest valiku, kohandab ja kombineerib: suurest kataloogist saab konkreetse kasutusjuhu nõuete kogum, näiteks pilveteenuste baastase.

Rakenduskiht: komponendi määratlus ja süsteemi turvaplaan

Komponendi määratlus kirjeldab, kuidas toode või teenus saab nõudeid täita – korduvkasutatavana paljudes süsteemides. Süsteemi turvaplaan (SSP) dokumenteerib seejärel ühe konkreetse süsteemi puhul, millised nõuded kohalduvad ja kuidas neid seal tegelikult rakendatakse.

Hindamiskiht: plaan, tulemused ja avatud punktid

Hindamisplaan määratleb, mida ja kuidas testitakse. Hindamistulemused talletavad tähelepanekud, leiud ja riskid struktureeritud kujul. Tegevuste ja verstapostide kava (POA&M) haldab avatud punkte koos omanike ja tähtaegadega – andmetena, mitte manusena.

OSCAL 1.2 lisas sellele vastenduste kogumi (mapping collection). See kirjeldab seoseid eri kataloogide nõuete vahel, näiteks rahvusvahelise standardi ja riikliku raamistiku vahel. Raamistike vastavustabelid ise muutuvad masinloetavaks.

Kes OSCAL-it täna kasutab

OSCAL on oma uurimistöö juurtest ammu välja kasvanud. USA pilveteenuste autoriseerimisprogramm FedRAMP loobub Wordi ja Exceli pakettidest ning nõuab struktureeritud, masinloetavaid autoriseerimisandmeid – seda muutust kirjeldame üksikasjalikult artiklis FedRAMP muutub masinloetavaks.

Ka Saksamaa on oma otsuse teinud: BSI avaldab oma Stand-der-Technik-Bibliothek'i sisu – sealhulgas IT-Grundschutz++ kataloogi – OSCAL-kataloogidena XML-, JSON- ja YAML-vormingus. BSI põhjendus on värskendavalt pragmaatiline: OSCAL on rahvusvaheliselt väljakujunenud ja riiklik erivorming oleks kõrvalepõige. Mida see Grundschutzi meeskondade jaoks tähendab, käsitleme oma postituses IT-Grundschutz++ ja OSCAL.

• FedRAMP: masinloetavad autoriseerimispaketid asendavad dokumendimalle
• BSI: IT-Grundschutz++ avaldatakse GitHubis OSCAL-kataloogina
• Kogukond: vaaturid, valideerijad, teegid ja platvormid lähenevad üksteisele

Kuidas meeskonnad praktikas alustavad

OSCAL-iga alustamine ei pea olema projekt. Hea esimene samm on vaadata tegelikku dokumenti ja see valideerida – näiteks kataloogi NIST-i hoidlast või oma eksportfaili.

Meie tasuta OSCAL Validatoriga saate kontrollida mis tahes OSCAL JSON-dokumenti ametlike skeemide suhtes otse brauseris, ilma üleslaadimise ja registreerumiseta. Kui soovite süveneda, pakub meie OSCAL Toolkit avatud TypeScripti teeki OSCAL-dokumentide laadimiseks, valideerimiseks ja teisendamiseks.

Sellest hetkest alates muutub OSCAL peamiselt teie töömudeli küsimuseks: millised kataloogid ja profiilid meie suhtes kehtivad? Kust tulevad SSP sisu ja tõendid? Secani on algusest peale ehitatud OSCAL-põhiseks – nii et meeskonnad saavad struktureeritud vastavusandmeid mitte ainult importida, vaid nendega ka tegelikult töötada.