IT-Grundschutz++ kohtaa OSCALin

PDF-kompendiumista jäsenneltyyn dataan

Vuosikymmenten ajan IT-Grundschutz – Saksan kansallinen tietoturvan perustaso – oli ennen kaikkea tekstikokonaisuus: kompendium, standardit ja toteutusohjeet PDF-tiedostoina, joita ylläpidettiin asiakirjoissa ja analysoitiin taulukkolaskentaohjelmissa. Syyskuun 2025 lopussa BSI päätti virallisesti tämän aikakauden ja julkaisi Stand-der-Technik-Bibliothekin GitHubissa – ja sen mukana IT-Grundschutz++:n koneluettavana katalogina.

Kyse on muustakin kuin uudesta tallennusmuodosta. Vaatimukset ovat saatavilla OSCAL-katalogina XML-, JSON- ja YAML-muodoissa. Työkalut voivat lukea niitä suoraan, viitata niihin ja linkittää ne organisaation omaan toteutukseen – ilman uudelleenkirjoittamista, versioiden arvailua tai sivunumeroita.

• Vaatimukset saavat pysyvät, koneluettavat tunnisteet
• Päivitykset näkyvät jäljitettävästi julkisessa repositoriossa
• ISMS-työkalut lukevat katalogin suoraan manuaalisen uudelleensyötön sijaan

Miksi BSI valitsi OSCALin

Muotoa koskeva päätös on merkittävä. BSI olisi voinut määritellä oman kansallisen tietomuotonsa – ja päätti tietoisesti olla tekemättä niin. OSCAL on NIST:n johtama, kansainvälisesti vakiintunut standardi; sen omaksuminen pitää saksalaiset organisaatiot yhteensopivina kansainvälisten viitekehysten ja nopeasti kasvavan työkaluekosysteemin kanssa.

Saksa liittyy näin laajempaan liikkeeseen: Yhdysvalloissa FedRAMP on siirtymässä koneluettaviin valtuutuspaketteihin, ja standardin ympärillä oleva työkaluvalikoima kasvaa nopeasti. Jos haluat ensin perusteet, johdantomme Mikä on OSCAL? selittää, miten standardi on rakennettu.

Mikä muuttuu Grundschutz-käytännössä

Päivittäisessä ISMS-työssä muodon muutos on merkittävämpi kuin miltä se aluksi kuulostaa. Nykyään huomattava osa Grundschutz-työstä on vaatimusten siirtämistä asiakirjoista omaan rakenteeseen: taulukoihin, GRC-työkaluihin ja tietoturvakonsepteihin. Jokainen kompendiumin uusi painos käynnistää saman harjoituksen uudelleen.

Koneluettavan katalogin myötä logiikka kääntyy. Työkalu tuntee jo vaatimukset, ja varsinainen työ siirtyy sinne, minne se kuuluu: vastuiden osoittamiseen, toteutukseen, näyttöön ja päätöksiin.

• Tavoite- ja nykytilan vertailut voidaan tuottaa automaattisesti käsin ylläpitämisen sijaan
• Katalogiversioiden väliset muutokset voidaan vertailla ja selittää
• Näyttö ja perustelut linkittyvät pysyviin vaatimustunnisteisiin

Hallittu siirtymä

Edition 23:een perustuvat olemassa olevat tietoturvakonseptit eivät menetä arvoaan yhdessä yössä – uudistus on siirtymä, jota BSI tarkentaa vaihe vaiheelta. Suunta on kuitenkin yksiselitteinen, ja tiimit, jotka järjestävät rakenteensa ajoissa, hyötyvät kahdesti: tämän päivän työ selkeytyy ja myöhempi siirtymä pienenee.

Näkemyksemme mukaan kolme valmistelutoimea on osoittautunut hyödylliseksi. Ne kannattavat riippumatta siitä, milloin organisaatio virallisesti siirtyy IT-Grundschutz++:aan.

• Jäsennelkää olemassa olevat toteutukset ja näyttö niin, että ne on yksiselitteisesti kohdistettu vaatimuksiin
• Arvioikaa työkalunne: pystyvätkö ne lukemaan OSCAL-katalogeja natiivisti – vai vain tuomaan ne ja unohtamaan?
• Hankkikaa omakohtaista kokemusta muodosta esimerkiksi avaamalla ja tarkistamalla katalogi OSCAL-validaattorissa

Näkemyksemme

Rakensimme Secanin OSCAL-natiiviksi alusta alkaen – siinä vakaumuksessa, että vaatimustenmukaisuuden sisällön tulee olla jäsenneltyä dataa jo kauan ennen kuin sääntelijät sitä vaativat. Se, että BSI vie nyt IT-Grundschutzin juuri tähän suuntaan, vahvistaa valitsemamme polun. Jos valmistelette siirtymää IT-Grundschutz++:aan ja haluatte enemmän kuin kauniimman arkiston, ottakaa yhteyttä.