IT-Grundschutz++ ir OSCAL

Nuo PDF kompendiumo prie struktūrizuotų duomenų

Dešimtmečius IT-Grundschutz – Vokietijos nacionalinis saugumo bazinis lygis – pirmiausia buvo tekstų rinkinys: kompendiumas, standartai ir įgyvendinimo gairės PDF formatu, tvarkomi dokumentuose, analizuojami skaičiuoklėse. 2025 m. rugsėjo pabaigoje BSI oficialiai užbaigė šią erą ir paskelbė „Stand-der-Technik-Bibliothek“ „GitHub“ platformoje, kurioje IT-Grundschutz++ pateikiamas kaip mašininiu būdu nuskaitomas katalogas.

Tai daugiau nei naujas saugojimo formatas. Reikalavimai pateikiami kaip OSCAL katalogas XML, JSON ir YAML formatais. Įrankiai gali juos nuskaityti tiesiogiai, į juos nurodyti ir susieti su organizacijos įgyvendinimu – be perrašinėjimo, be spėliojimų dėl versijų, be puslapių numerių.

• Reikalavimai gauna stabilius, mašininiu būdu nuskaitomus identifikatorius
• Atnaujinimai atsekamai atsiranda viešoje saugykloje
• ISMS įrankiai katalogą nuskaito tiesiogiai, o ne reikalauja rankinio įvedimo iš naujo

Kodėl BSI pasirinko OSCAL

Formato pasirinkimas vertas dėmesio. BSI galėjo apibrėžti savo nacionalinį duomenų formatą, tačiau sąmoningai to nepadarė. OSCAL yra tarptautiniu mastu įsitvirtinęs standartas, kurio plėtrai vadovauja NIST; jį pasirinkus Vokietijos organizacijos išlieka suderinamos su tarptautinėmis sistemomis ir sparčiai augančia įrankių ekosistema.

Taip Vokietija prisijungia prie platesnio judėjimo: JAV FedRAMP pereina prie mašininiu būdu nuskaitomų autorizacijos paketų, o standarto įrankių sparčiai daugėja. Jei pirmiausia norite susipažinti su pagrindais, mūsų įvadas Kas yra OSCAL? paaiškina, kaip standartas sudarytas.

Kas keičiasi Grundschutz praktikoje

Kasdieniam ISMS darbui formato pasikeitimas reiškia daugiau, nei iš pradžių atrodo. Šiandien nemaža Grundschutz darbo dalis – reikalavimų perkėlimas iš dokumentų į savo struktūrą: į skaičiuokles, į GRC įrankius, į saugumo koncepcijas. Kiekvienas naujas kompendiumo leidimas vėl sukelia tą patį pratimą.

Su mašininiu būdu nuskaitomu katalogu logika apsiverčia. Įrankis reikalavimus jau žino, o tikrasis darbas persikelia ten, kur jam ir vieta: į priskyrimą, įgyvendinimą, įrodymus ir sprendimus.

• Siekiamos ir esamos būklės palyginimai gali būti generuojami automatiškai, o ne palaikomi rankiniu būdu
• Pokyčius tarp katalogo versijų galima palyginti ir paaiškinti
• Įrodymai ir pagrindimai susiejami su stabiliais reikalavimų identifikatoriais

Saikingas perėjimas

Esamos saugumo koncepcijos, parengtos pagal 2023 m. leidimą, vertės per naktį nepraranda – modernizavimas yra perėjimas, kurį BSI detalizuoja žingsnis po žingsnio. Tačiau kryptis yra nedviprasmiška, o komandos, kurios savo struktūrą susitvarko anksti, laimi dvigubai: šiandienos darbas tampa tvarkingesnis, o vėlesnis perėjimas – mažesnis.

Mūsų nuomone, pasiteisino trys pasiruošimo žingsniai. Jie atsiperka nepriklausomai nuo to, kada organizacija oficialiai pereina prie IT-Grundschutz++.

• Struktūrizuokite esamą įgyvendinimą ir įrodymus taip, kad jie būtų vienareikšmiškai susieti su reikalavimais
• Patikrinkite savo įrankius: ar jie gali OSCAL katalogus nuskaityti natūraliai, ar tik importuoti ir pamiršti?
• Įgykite tiesioginės patirties su formatu, pavyzdžiui, atidarykite ir patikrinkite katalogą OSCAL Validator įrankyje

Mūsų požiūris

Secani nuo pirmos dienos kūrėme kaip OSCAL-native sprendimą, nes esame įsitikinę, kad atitikties turinys turėtų būti struktūrizuoti duomenys gerokai anksčiau, nei to pareikalaus reguliuotojai. Tai, kad BSI dabar IT-Grundschutz veda būtent ten, patvirtina mūsų kelią. Jei rengiatės perėjimui prie IT-Grundschutz++ ir norite daugiau nei gražesnio archyvo, susisiekite su mumis.