Az IT-Grundschutz++ és az OSCAL találkozása

A PDF-kompendiumtól a strukturált adatokig

Évtizedeken át az IT-Grundschutz, Németország nemzeti biztonsági alapkövetelmény-rendszere, mindenekelőtt szövegek gyűjteménye volt: kompendium, szabványok és megvalósítási útmutatók PDF-ben, dokumentumokban karbantartva, táblázatokban elemezve. 2025 szeptemberének végén a BSI hivatalosan lezárta ezt a korszakot, és közzétette a Stand-der-Technik-Bibliotheket a GitHubon, benne az IT-Grundschutz++-szal mint géppel olvasható katalógussal.

Ez több, mint egy új tárolási formátum. A követelmények OSCAL-katalógusként érhetők el XML, JSON és YAML formátumban. Az eszközök közvetlenül beolvashatják, hivatkozhatnak rájuk, és összekapcsolhatják őket a szervezet saját megvalósításával: nincs újragépelés, nincs verziótalálgatás, nincsenek oldalszámok.

• A követelmények stabil, géppel olvasható azonosítókat kapnak
• A frissítések nyomon követhetően jelennek meg egy nyilvános tárolóban
• Az IBIR-eszközök közvetlenül olvassák a katalógust kézi újrarögzítés helyett

Miért választotta a BSI az OSCAL-t

A formátumválasztás figyelemre méltó. A BSI meghatározhatott volna saját nemzeti adatformátumot, de tudatosan nem ezt tette. Az OSCAL a NIST által vezetett, nemzetközileg elfogadott szabvány; alkalmazása révén a német szervezetek kompatibilisek maradnak a nemzetközi keretrendszerekkel és egy gyorsan bővülő eszköz-ökoszisztémával.

Németország ezzel egy nagyobb mozgalomhoz csatlakozik: az Egyesült Államokban a FedRAMP géppel olvasható engedélyezési csomagokra tér át, és a szabvány körüli eszközök gyorsan fejlődnek. Ha előbb az alapokat szeretné megismerni, a Mi az OSCAL? című bevezetőnk elmagyarázza a szabvány felépítését.

Mi változik a Grundschutz-gyakorlatban

A mindennapi IBIR-munka szempontjából a formátumváltás többet jelent, mint elsőre hangzik. Ma a Grundschutz-munka jelentős része abból áll, hogy a követelményeket dokumentumokból a saját struktúrába viszik át: táblázatokba, GRC-eszközökbe, biztonsági koncepciókba. A kompendium minden új kiadása újra elindítja ugyanezt a gyakorlatot.

Egy géppel olvasható katalógussal a logika megfordul. Az eszköz már ismeri a követelményeket, a tényleges munka pedig oda kerül, ahová való: a hozzárendeléshez, a megvalósításhoz, a bizonyítékokhoz és a döntésekhez.

• A cél- és tényállapot összevetése automatikusan előállítható kézi karbantartás helyett
• A katalógusverziók közötti változások összehasonlíthatók és megmagyarázhatók
• A bizonyítékok és indoklások stabil követelményazonosítókhoz kapcsolódnak

Megfontolt átmenet

A 2023-as kiadáson alapuló meglévő biztonsági koncepciók nem veszítik el egyik napról a másikra az értéküket: a modernizáció átmenet, amelyet a BSI lépésről lépésre részletez. Az irány azonban egyértelmű, és azok a csapatok, amelyek korán rendbe teszik a struktúrájukat, kétszeresen nyernek: a mai munka tisztábbá válik, a későbbi átállás pedig kisebb lesz.

Véleményünk szerint három előkészület bizonyult hasznosnak. Ezek attól függetlenül megtérülnek, hogy egy szervezet mikor tér át hivatalosan az IT-Grundschutz++-ra.

• Strukturálja a meglévő megvalósításokat és bizonyítékokat úgy, hogy egyértelműen a követelményekhez legyenek rendelve
• Vizsgálja felül az eszközeit: képesek natívan olvasni az OSCAL-katalógusokat, vagy csak importálnak és elfelejtenek?
• Szerezzen közvetlen tapasztalatot a formátummal, például úgy, hogy megnyit és ellenőriz egy katalógust az OSCAL Validatorban

A mi álláspontunk

A Secanit az első naptól OSCAL-natívként építettük, abból a meggyőződésből, hogy a megfelelési tartalmaknak strukturált adatoknak kell lenniük, jóval azelőtt, hogy a szabályozók ezt megkövetelnék. Az, hogy a BSI most éppen ide viszi az IT-Grundschutzot, megerősíti ezt az utat. Ha az IT-Grundschutz++-ra való átállásra készül, és többet szeretne egy szebb archívumnál, beszéljen velünk.