IT-Grundschutz++ susreće OSCAL

Od PDF kompendija do strukturiranih podataka

Desetljećima je IT-Grundschutz, njemačka nacionalna sigurnosna osnovica, bio prije svega skup tekstova: kompendij, norme i smjernice za implementaciju u obliku PDF-ova, održavani u dokumentima i analizirani u proračunskim tablicama. Krajem rujna 2025. BSI je službeno okončao to razdoblje i objavio Stand-der-Technik-Bibliothek na GitHubu, s IT-Grundschutz++ kao strojno čitljivim katalogom.

To je više od novog formata pohrane. Zahtjevi su dostupni kao OSCAL katalog u XML-u, JSON-u i YAML-u. Alati ih mogu izravno čitati, referencirati i povezivati s vlastitom implementacijom organizacije, bez ponovnog prepisivanja, pogađanja verzija i brojeva stranica.

• Zahtjevi dobivaju stabilne, strojno čitljive identifikatore
• Ažuriranja se pojavljuju sljedivo u javnom repozitoriju
• Alati za ISMS izravno čitaju katalog umjesto ručnog ponovnog unosa

Zašto je BSI odabrao OSCAL

Odluka o formatu značajna je. BSI je mogao definirati vlastiti nacionalni format podataka, a namjerno je odlučio da to ne učini. OSCAL je međunarodno etablirana norma koju vodi NIST; njegovim usvajanjem njemačke organizacije ostaju kompatibilne s međunarodnim okvirima i s ekosustavom alata koji brzo raste.

Njemačka se time pridružuje širem pokretu: u SAD-u FedRAMP prelazi na strojno čitljive pakete za autorizaciju, a alati oko te norme brzo se razvijaju. Ako najprije želite osnove, naš uvod Što je OSCAL? objašnjava kako je norma strukturirana.

Što se mijenja u praksi Grundschutza

Za svakodnevni rad na ISMS-u promjena formata važnija je nego što se na prvi pogled čini. Danas se znatan dio rada na Grundschutzu sastoji od prenošenja zahtjeva iz dokumenata u vlastitu strukturu: u proračunske tablice, u GRC alate, u sigurnosne koncepte. Svako novo izdanje kompendija ponovno pokreće istu vježbu.

Sa strojno čitljivim katalogom logika se okreće. Alat već poznaje zahtjeve, a stvarni posao premješta se ondje gdje mu je mjesto: na dodjelu, implementaciju, dokaze i odluke.

• Usporedbe ciljanog i stvarnog stanja mogu se generirati automatski umjesto da se održavaju ručno
• Promjene između verzija kataloga postaju usporedive (diff) i objašnjive
• Dokazi i obrazloženja povezuju se sa stabilnim identifikatorima zahtjeva

Odmjeren prijelaz

Postojeći sigurnosni koncepti temeljeni na izdanju Edition 23 ne gube svoju vrijednost preko noći; modernizacija je prijelaz koji BSI razrađuje korak po korak. Smjer je, međutim, nedvosmislen, a timovi koji rano organiziraju svoju strukturu dvostruko profitiraju: današnji posao postaje uredniji, a kasniji prijelaz manji.

Tri pripreme pokazale su se, prema našem mišljenju, korisnima. One se isplate bez obzira na to kada organizacija formalno prijeđe na IT-Grundschutz++.

• Strukturirajte postojeće implementacije i dokaze tako da budu nedvosmisleno mapirani na zahtjeve
• Provjerite svoje alate: mogu li izvorno čitati OSCAL kataloge ili ih samo uvesti i zaboraviti?
• Steknite iskustvo s formatom iz prve ruke, primjerice otvaranjem i provjerom kataloga u OSCAL validatoru

Naše mišljenje

Secani smo od prvog dana gradili izvorno na OSCAL-u, iz uvjerenja da sadržaj o usklađenosti treba biti strukturirani podatak mnogo prije nego što to regulatori zatraže. To što BSI sada vodi IT-Grundschutz upravo onamo potvrđuje taj put. Ako pripremate prijelaz na IT-Grundschutz++ i želite više od ljepše arhive, razgovarajte s nama.