Cos'è l'OSCAL?

Perché la conformità è un problema di dati

I requisiti di sicurezza risiedono ancora per lo più nella prosa: cataloghi come PDF, piani di sicurezza come documenti Word, risultati delle valutazioni come rapporti. La prosa è flessibile, ma ha un costo. Lo stesso requisito viene interpretato in modo diverso da lettori diversi, i riferimenti incrociati si interrompono con ogni nuova versione e ogni analisi inizia con il copiare, incollare e gestire manualmente i fogli di calcolo.

Questo è esattamente il problema affrontato da OSCAL. L'Open Security Controls Assessment Language è uno standard aperto guidato dal NIST, sviluppato insieme a FedRAMP e una comunità internazionale. OSCAL descrive i requisiti di sicurezza, la loro implementazione e la loro valutazione come dati strutturati, disponibili in JSON, XML e YAML.

• I requisiti ottengono identificatori stabili anziché numeri di pagina e intestazioni
• Le relazioni tra requisiti, implementazione e prove diventano esplicite
• Gli strumenti possono convalidare, confrontare e trasformare il contenuto

Gli otto modelli di documento

OSCAL non è un singolo formato di file ma una famiglia di modelli di documenti che si basano uno sull'altro. Una volta compresi i livelli, puoi orientarti in qualsiasi documento OSCAL.

Livello di controllo: catalogo e profilo

Un catalogo definisce i requisiti, come i controlli del NIST SP 800-53 o i moduli di uno standard nazionale. Un profilo seleziona da esso, lo adatta e lo combina: un ampio catalogo diventa l'insieme concreto di requisiti per un caso d'uso, ad esempio una base di riferimento per i servizi cloud.

Livello di implementazione: definizione dei componenti e piano di sicurezza del sistema

Una definizione di componente descrive come un prodotto o un servizio può soddisfare i requisiti – riutilizzabile in molti sistemi. Il piano di sicurezza del sistema (SSP) documenta quindi, per un sistema concreto, quali requisiti si applicano e come vengono effettivamente implementati lì.

Livello di valutazione: piano, risultati e voci aperte

Il piano di valutazione definisce cosa viene testato e come. I risultati della valutazione catturano osservazioni, risultati e rischi in modo strutturato. Il piano d'azione e le tappe fondamentali (POA&M) gestisce gli elementi aperti con proprietari e scadenze, come dati, non come allegati.

OSCAL 1.2 ha aggiunto il modello delle raccolte di mappature. Descrive le relazioni tra i requisiti di cataloghi diversi, per esempio tra uno standard internazionale e un framework nazionale. Le mappature incrociate tra framework diventano così leggibili dalle macchine.

Chi usa OSCAL oggi

OSCAL ha da tempo superato le sue radici di ricerca. FedRAMP, il programma di autorizzazione cloud statunitense, si sta allontanando dai pacchetti Word ed Excel e richiede dati di autorizzazione strutturati e leggibili dalle macchine: un cambiamento che descriviamo in dettaglio in FedRAMP diventa leggibile dalle macchine.

Anche la Germania ha lanciato la sua richiesta: la BSI pubblica il contenuto della sua Stand-der-Technik-Bibliothek – compreso il catalogo IT-Grundschutz++ – come cataloghi OSCAL in XML, JSON e YAML. Il ragionamento del BSI è piacevolmente pragmatico: l'OSCAL è affermato a livello internazionale e un formato speciale nazionale sarebbe una deviazione. Ciò che questo significa per i team Grundschutz è spiegato nel nostro post su IT-Grundschutz++ e OSCAL.

• FedRAMP: i pacchetti di autorizzazione leggibili dalla macchina sostituiscono i modelli di documenti
• BSI: IT-Grundschutz++ viene fornito come catalogo OSCAL su GitHub
• Comunità: visualizzatori, validatori, biblioteche e piattaforme stanno convergendo

Come i team iniziano nella pratica

Entrare in OSCAL non deve essere un progetto. Un buon primo passo è esaminare un documento reale e convalidarlo, ad esempio un catalogo dal repository NIST o una tua esportazione.

Con il nostro gratuito Validatore OSCAL puoi confrontare qualsiasi documento OSCAL JSON con gli schemi ufficiali direttamente nel browser, senza caricamento e senza registrazione. Se vuoi approfondire, il ns Kit di strumenti OSCAL fornisce una libreria TypeScript aperta per caricare, convalidare e trasformare documenti OSCAL.

Da quel momento in poi OSCAL diventa soprattutto una questione del tuo modello di lavoro: quali cataloghi e profili si applicano a noi? Da dove provengono i contenuti e le prove della SSP? Secani è costruito OSCAL-native da zero, in modo che i team non solo possano importare dati di conformità strutturati, ma possano effettivamente lavorarci.