IT-Grundschutz++ satiekas ar OSCAL

No PDF kompendija uz strukturētiem datiem

Gadu desmitiem IT-Grundschutz, Vācijas nacionālā drošības bāzes līnija, galvenokārt bija tekstu kopums: kompendijs, standarti un ieviešanas vadlīnijas PDF formātā, uzturēti dokumentos un analizēti izklājlapās. 2025. gada septembra beigās BSI oficiāli noslēdza šo laikmetu un publicēja Stand-der-Technik-Bibliothek vietnē GitHub ar IT-Grundschutz++ kā mašīnlasāmu katalogu.

Tas ir vairāk nekā jauns glabāšanas formāts. Prasības ir pieejamas kā OSCAL katalogs XML, JSON un YAML formātā. Rīki var tās nolasīt tieši, atsaukties uz tām un sasaistīt tās ar organizācijas pašas ieviešanu: bez pārrakstīšanas, bez versiju minēšanas, bez lappušu numuriem.

• Prasības saņem stabilus, mašīnlasāmus identifikatorus
• Atjauninājumi izsekojami parādās publiskā repozitorijā
• ISMS rīki nolasa katalogu tieši, nevis ievada to manuāli no jauna

Kāpēc BSI izvēlējās OSCAL

Formāta izvēle ir ievērības cienīga. BSI varēja definēt savu nacionālo datu formātu, taču apzināti no tā atteicās. OSCAL ir starptautiski atzīts standarts, ko vada NIST; tā pieņemšana saglabā Vācijas organizāciju saderību ar starptautiskajiem ietvariem un strauji augošo rīku ekosistēmu.

Tādējādi Vācija pievienojas plašākai kustībai: ASV FedRAMP pāriet uz mašīnlasāmām autorizācijas paketēm, un rīku klāsts ap šo standartu strauji aug. Ja vispirms vēlaties pamatus, mūsu ievads Kas ir OSCAL? izskaidro, kā standarts ir veidots.

Kas mainās Grundschutz praksē

Ikdienas ISMS darbā formāta maiņa ir svarīgāka, nekā sākumā šķiet. Šodien ievērojamu daļu Grundschutz darba veido prasību pārnešana no dokumentiem savā struktūrā: izklājlapās, GRC rīkos, drošības koncepcijās. Katrs jauns kompendija izdevums atkal ierosina to pašu vingrinājumu.

Ar mašīnlasāmu katalogu loģika apgriežas. Rīks jau zina prasības, un faktiskais darbs pārvietojas tur, kur tam jābūt: uz piešķiršanu, ieviešanu, pierādījumiem un lēmumiem.

• Mērķa un faktiskā stāvokļa salīdzinājumus var ģenerēt automātiski, nevis uzturēt manuāli
• Izmaiņas starp kataloga versijām kļūst salīdzināmas un izskaidrojamas
• Pierādījumi un pamatojumi tiek sasaistīti ar stabiliem prasību identifikatoriem

Pakāpeniska pāreja

Esošās drošības koncepcijas, kas balstītas uz 23. izdevumu, nezaudē savu vērtību vienas nakts laikā: modernizācija ir pāreja, ko BSI pakāpeniski precizē. Tomēr virziens ir nepārprotams, un komandas, kas savu struktūru sakārto agri, iegūst divkārt: šodienas darbs kļūst tīrāks, un vēlākā pāreja kļūst mazāka.

Mūsuprāt, noderīgi izrādījušies trīs sagatavošanās pasākumi. Tie atmaksājas neatkarīgi no tā, kad organizācija formāli pāriet uz IT-Grundschutz++.

• Strukturējiet esošās ieviešanas un pierādījumus tā, lai tie būtu nepārprotami sasaistīti ar prasībām
• Pārbaudiet savus rīkus: vai tie spēj nolasīt OSCAL katalogus dabīgi vai tikai importēt un aizmirst?
• Iegūstiet tiešu pieredzi ar formātu, piemēram, atverot un pārbaudot katalogu OSCAL validatorā

Mūsu viedoklis

Mēs veidojām Secani kā OSCAL dabīgu risinājumu jau no pirmās dienas, pārliecībā, ka atbilstības saturam jābūt strukturētiem datiem ilgi pirms regulatori to pieprasa. Tas, ka BSI tagad virza IT-Grundschutz tieši šajā virzienā, apstiprina izvēlēto ceļu. Ja gatavojat pāreju uz IT-Grundschutz++ un vēlaties vairāk nekā glītāku arhīvu, sazinieties ar mums.