Kas yra OSCAL?

Kodėl atitiktis yra duomenų problema

Saugumo reikalavimai vis dar daugiausia gyvena prozoje: katalogai – PDF failuose, saugumo planai – Word dokumentuose, vertinimų radiniai – ataskaitose. Proza lanksti, tačiau tai turi savo kainą. Tą patį reikalavimą skirtingi skaitytojai aiškina skirtingai, kryžminės nuorodos nutrūksta su kiekviena nauja versija, o kiekviena analizė prasideda nuo kopijavimo, įklijavimo ir rankinio skaičiuoklių tvarkymo.

Būtent šią problemą sprendžia OSCAL. Open Security Controls Assessment Language yra atviras standartas, kuriam vadovauja NIST ir kuris kuriamas kartu su FedRAMP ir tarptautine bendruomene. OSCAL saugumo reikalavimus, jų įgyvendinimą ir vertinimą aprašo kaip struktūrizuotus duomenis – JSON, XML ir YAML formatais.

• Reikalavimai gauna stabilius identifikatorius vietoj puslapių numerių ir antraščių
• Ryšiai tarp reikalavimo, įgyvendinimo ir įrodymų tampa aiškūs
• Įrankiai gali turinį validuoti, lyginti ir transformuoti

Aštuoni dokumentų modeliai

OSCAL nėra vienas failo formatas, o vienas kitu besiremiančių dokumentų modelių šeima. Supratę šiuos sluoksnius, galėsite orientuotis bet kuriame OSCAL dokumente.

Kontrolės priemonių sluoksnis: katalogas ir profilis

Katalogas apibrėžia reikalavimus, pavyzdžiui, NIST SP 800-53 kontrolės priemones ar nacionalinio standarto modulius. Profilis iš jo atrenka, pritaiko ir sujungia: didelis katalogas tampa konkrečiu reikalavimų rinkiniu vienam naudojimo atvejui, pavyzdžiui, bazine linija debesijos paslaugoms.

Įgyvendinimo sluoksnis: komponento apibrėžtis ir sistemos saugumo planas

Komponento apibrėžtis aprašo, kaip produktas ar paslauga gali įvykdyti reikalavimus – pakartotinai naudojamai daugelyje sistemų. Tada sistemos saugumo planas (SSP) vienai konkrečiai sistemai dokumentuoja, kurie reikalavimai taikomi ir kaip jie ten iš tikrųjų įgyvendinti.

Vertinimo sluoksnis: planas, rezultatai ir atviri klausimai

Vertinimo planas apibrėžia, kas ir kaip bus testuojama. Vertinimo rezultatai struktūrizuotai užfiksuoja pastebėjimus, radinius ir rizikas. Veiksmų ir etapų planas (POA&M) valdo atvirus klausimus su savininkais ir terminais – kaip duomenis, o ne kaip priedą.

OSCAL 1.2 papildomai pridėjo atitikmenų rinkinį (mapping collection). Jis aprašo ryšius tarp skirtingų katalogų reikalavimų, pavyzdžiui, tarp tarptautinio standarto ir nacionalinės sistemos. Patys sistemų atitikmenys tampa mašininiu būdu nuskaitomi.

Kas šiandien naudoja OSCAL

OSCAL jau seniai peraugo savo mokslinių tyrimų šaknis. FedRAMP, JAV debesijos paslaugų autorizavimo programa, atsisako Word ir Excel paketų ir reikalauja struktūrizuotų, mašininiu būdu nuskaitomų autorizavimo duomenų – šį pokytį išsamiai aprašome straipsnyje FedRAMP pereina prie mašininiu būdu nuskaitomų duomenų.

Savo sprendimą priėmė ir Vokietija: BSI skelbia savo Stand-der-Technik-Bibliothek turinį – įskaitant IT-Grundschutz++ katalogą – kaip OSCAL katalogus XML, JSON ir YAML formatais. BSI argumentai maloniai pragmatiški: OSCAL yra tarptautiniu mastu įsitvirtinęs, o nacionalinis specialus formatas būtų aplinkkelis. Ką tai reiškia Grundschutz komandoms, aptariame įraše apie IT-Grundschutz++ ir OSCAL.

• FedRAMP: mašininiu būdu nuskaitomi autorizavimo paketai pakeičia dokumentų šablonus
• BSI: IT-Grundschutz++ platinamas kaip OSCAL katalogas GitHub platformoje
• Bendruomenė: peržiūros priemonės, validatoriai, bibliotekos ir platformos artėja viena prie kitos

Kaip komandos pradeda praktikoje

Pradžia su OSCAL neturi būti projektas. Geras pirmasis žingsnis – pažvelgti į tikrą dokumentą ir jį validuoti, pavyzdžiui, katalogą iš NIST repozitorijos ar savo paties eksportą.

Mūsų nemokamu OSCAL validatoriumi galite bet kurį OSCAL JSON dokumentą patikrinti pagal oficialias schemas tiesiog naršyklėje, be įkėlimo ir registracijos. Jei norite gilintis, mūsų OSCAL Toolkit suteikia atvirą TypeScript biblioteką OSCAL dokumentams įkelti, validuoti ir transformuoti.

Nuo šio momento OSCAL daugiausia tampa jūsų darbo modelio klausimu: kurie katalogai ir profiliai taikomi mums? Iš kur atsiranda SSP turinys ir įrodymai? Secani nuo pat pradžių sukurta kaip OSCAL-native platforma – kad komandos galėtų ne tik importuoti struktūrizuotus atitikties duomenis, bet ir iš tikrųjų juose dirbti.