Mikä on OSCAL?

Miksi vaatimustenmukaisuus on dataongelma

Tietoturvavaatimukset ovat yhä enimmäkseen proosamuodossa: katalogit PDF-tiedostoina, tietoturvasuunnitelmat Word-asiakirjoina ja arviointien havainnot raportteina. Proosa on joustavaa, mutta sillä on hintansa. Eri lukijat tulkitsevat saman vaatimuksen eri tavoin, ristiviittaukset rikkoutuvat jokaisen uuden version myötä, ja jokainen analyysi alkaa kopioinnilla, liittämisellä ja taulukoiden manuaalisella ylläpidolla.

Juuri tähän ongelmaan OSCAL vastaa. Open Security Controls Assessment Language on NISTin johtama avoin standardi, jota on kehitetty yhdessä FedRAMPin ja kansainvälisen yhteisön kanssa. OSCAL kuvaa tietoturvavaatimukset, niiden toteutuksen ja niiden arvioinnin jäsenneltynä datana – JSON-, XML- ja YAML-muodossa.

• Vaatimukset saavat pysyvät tunnisteet sivunumeroiden ja otsikoiden sijaan
• Vaatimuksen, toteutuksen ja näytön väliset suhteet tulevat näkyviksi
• Työkalut voivat validoida, vertailla ja muuntaa sisältöä

Kahdeksan asiakirjamallia

OSCAL ei ole yksittäinen tiedostomuoto vaan toisiinsa perustuvien asiakirjamallien perhe. Kun ymmärrät kerrokset, löydät tiesi minkä tahansa OSCAL-asiakirjan läpi.

Kontrollikerros: katalogi ja profiili

Katalogi määrittelee vaatimukset, kuten NIST SP 800-53:n kontrollit tai kansallisen standardin moduulit. Profiili valitsee niistä, mukauttaa ja yhdistelee: laajasta katalogista tulee yhden käyttötapauksen konkreettinen vaatimuskokonaisuus, esimerkiksi pilvipalvelujen perustaso.

Toteutuskerros: komponenttimääritys ja järjestelmän tietoturvasuunnitelma

Komponenttimääritys kuvaa, miten tuote tai palvelu voi täyttää vaatimukset – uudelleenkäytettävästi monissa järjestelmissä. Järjestelmän tietoturvasuunnitelma (SSP) dokumentoi sitten yhden konkreettisen järjestelmän osalta, mitkä vaatimukset koskevat sitä ja miten ne siinä todellisuudessa toteutetaan.

Arviointikerros: suunnitelma, tulokset ja avoimet kohdat

Arviointisuunnitelma määrittää, mitä testataan ja miten. Arviointitulokset kirjaavat havainnot, löydökset ja riskit jäsennellysti. Toimenpide- ja välitavoitesuunnitelma (POA&M) hallitsee avoimia kohtia omistajineen ja määräaikoineen – datana, ei liitteenä.

OSCAL 1.2 toi lisäksi mukaan mapping collection -mallin. Se kuvaa eri katalogien vaatimusten välisiä suhteita, esimerkiksi kansainvälisen standardin ja kansallisen viitekehyksen välillä. Viitekehysten väliset vastaavuudet muuttuvat itsessään koneluettaviksi.

Kuka käyttää OSCALia tänään

OSCAL on jo kauan sitten kasvanut ulos tutkimusjuuristaan. FedRAMP, Yhdysvaltain pilvipalvelujen hyväksyntäohjelma, on luopumassa Word- ja Excel-paketeista ja edellyttää jäsenneltyä, koneluettavaa hyväksyntädataa – muutos, jota kuvaamme yksityiskohtaisesti artikkelissa FedRAMP siirtyy koneluettavaan muotoon.

Myös Saksa on tehnyt valintansa: BSI julkaisee Stand-der-Technik-Bibliothek-kirjastonsa sisällön – mukaan lukien IT-Grundschutz++-katalogin – OSCAL-katalogeina XML-, JSON- ja YAML-muodossa. BSI:n perustelu on virkistävän käytännöllinen: OSCAL on kansainvälisesti vakiintunut, ja kansallinen erikoismuoto olisi kiertotie. Mitä tämä tarkoittaa Grundschutz-tiimeille, käsitellään artikkelissamme IT-Grundschutz++ ja OSCAL.

• FedRAMP: koneluettavat hyväksyntäpaketit korvaavat asiakirjamallipohjat
• BSI: IT-Grundschutz++ julkaistaan OSCAL-katalogina GitHubissa
• Yhteisö: katseluohjelmat, validaattorit, kirjastot ja alustat lähentyvät toisiaan

Miten tiimit pääsevät alkuun käytännössä

OSCALiin tutustumisen ei tarvitse olla projekti. Hyvä ensimmäinen askel on tarkastella todellista asiakirjaa ja validoida se – esimerkiksi katalogi NISTin koodivarastosta tai oma vienti.

Maksuttomalla OSCAL-validaattorillamme voit tarkistaa minkä tahansa OSCAL JSON -asiakirjan virallisia skeemoja vasten suoraan selaimessa ilman latausta ja rekisteröitymistä. Jos haluat syventyä pidemmälle, OSCAL Toolkit tarjoaa avoimen TypeScript-kirjaston OSCAL-asiakirjojen lataamiseen, validointiin ja muuntamiseen.

Siitä eteenpäin OSCAL on lähinnä työskentelymallin kysymys: mitkä katalogit ja profiilit koskevat meitä? Mistä SSP:n sisältö ja näyttö tulevat? Secani on rakennettu alusta alkaen OSCAL-natiiviksi – jotta tiimit voivat paitsi tuoda jäsenneltyä vaatimustenmukaisuusdataa myös todella työskennellä sen parissa.