Što je OSCAL?

Zašto je usklađenost problem podataka

Sigurnosni zahtjevi i dalje uglavnom postoje u obliku proze: katalozi kao PDF-ovi, sigurnosni planovi kao dokumenti u Wordu, nalazi procjena kao izvješća. Proza je fleksibilna, ali ima svoju cijenu. Različiti čitatelji isti zahtjev tumače različito, unakrsna upućivanja prestaju vrijediti sa svakom novom verzijom, a svaka analiza počinje kopiranjem, lijepljenjem i ručnim održavanjem proračunskih tablica.

Upravo tim problemom bavi se OSCAL. Open Security Controls Assessment Language otvoreni je standard koji vodi NIST, a razvija se zajedno s FedRAMP-om i međunarodnom zajednicom. OSCAL opisuje sigurnosne zahtjeve, njihovu provedbu i njihovu procjenu kao strukturirane podatke, dostupne u formatima JSON, XML i YAML.

• Zahtjevi dobivaju stabilne identifikatore umjesto brojeva stranica i naslova
• Odnosi između zahtjeva, provedbe i dokaza postaju izričiti
• Alati mogu validirati, uspoređivati i transformirati sadržaj

Osam modela dokumenata

OSCAL nije jedan format datoteke, nego obitelj modela dokumenata koji se nadovezuju jedan na drugi. Kada razumijete slojeve, snaći ćete se u svakom OSCAL dokumentu.

Sloj kontrola: katalog i profil

Katalog definira zahtjeve, primjerice kontrole iz NIST SP 800-53 ili module nacionalnog standarda. Profil iz njega odabire, prilagođava i kombinira: velik katalog postaje konkretan skup zahtjeva za jedan slučaj uporabe, primjerice osnovna razina za usluge u oblaku.

Sloj provedbe: definicija komponente i sigurnosni plan sustava

Definicija komponente opisuje kako proizvod ili usluga može ispuniti zahtjeve i može se ponovno koristiti u mnogim sustavima. Sigurnosni plan sustava (SSP) zatim za jedan konkretan sustav dokumentira koji se zahtjevi primjenjuju i kako su ondje stvarno provedeni.

Sloj procjene: plan, rezultati i otvorene stavke

Plan procjene definira što se testira i kako. Rezultati procjene strukturirano bilježe zapažanja, nalaze i rizike. Plan radnji i prekretnica (POA&M) upravlja otvorenim stavkama s vlasnicima i rokovima, i to kao podacima, a ne kao privitkom.

OSCAL 1.2 tome je dodao zbirku mapiranja. Ona opisuje odnose između zahtjeva različitih kataloga, primjerice između međunarodne norme i nacionalnog okvira. Same usporedne tablice okvira tako postaju strojno čitljive.

Tko danas koristi OSCAL

OSCAL je odavno prerastao svoje istraživačke korijene. FedRAMP, američki program autorizacije usluga u oblaku, napušta pakete u Wordu i Excelu i zahtijeva strukturirane, strojno čitljive podatke za autorizaciju, a taj pomak detaljno opisujemo u članku FedRAMP prelazi na strojno čitljive podatke.

I Njemačka je donijela odluku: BSI objavljuje sadržaj svoje knjižnice Stand-der-Technik-Bibliothek, uključujući katalog IT-Grundschutz++, kao OSCAL kataloge u formatima XML, JSON i YAML. Obrazloženje BSI-ja osvježavajuće je pragmatično: OSCAL je međunarodno etabliran, a poseban nacionalni format bio bi zaobilazni put. Što to znači za timove koji rade s Grundschutzom, opisujemo u članku o IT-Grundschutz++ i OSCAL-u.

• FedRAMP: strojno čitljivi autorizacijski paketi zamjenjuju predloške dokumenata
• BSI: IT-Grundschutz++ objavljuje se kao OSCAL katalog na GitHubu
• Zajednica: preglednici, validatori, knjižnice i platforme se približavaju

Kako timovi počinju u praksi

Početak rada s OSCAL-om ne mora biti projekt. Dobar prvi korak je pogledati stvaran dokument i validirati ga, primjerice katalog iz NIST-ova repozitorija ili vlastiti izvoz.

Našim besplatnim OSCAL Validatorom možete bilo koji OSCAL JSON dokument provjeriti u odnosu na službene sheme izravno u pregledniku, bez učitavanja i bez registracije. Ako želite ići dublje, naš OSCAL Toolkit pruža otvorenu TypeScript knjižnicu za učitavanje, validaciju i transformaciju OSCAL dokumenata.

Od tog trenutka OSCAL postaje uglavnom pitanje vašeg radnog modela: koji se katalozi i profili primjenjuju na nas? Odakle dolaze sadržaj SSP-a i dokazi? Secani je od temelja izgrađen kao OSCAL-native platforma, tako da timovi strukturirane podatke o usklađenosti ne mogu samo uvesti, nego u njima i stvarno raditi.