Wat is OSCAL?

Waarom compliance een gegevensprobleem is

Beveiligingseisen staan nog grotendeels in lopende tekst: catalogi als pdf, beveiligingsplannen als Word-document, beoordelingsbevindingen als rapport. Tekst is flexibel, maar dat heeft een prijs. Dezelfde eis wordt door verschillende lezers verschillend geïnterpreteerd, kruisverwijzingen breken bij elke nieuwe versie en elke analyse begint met kopiëren, plakken en het handmatig bijhouden van spreadsheets.

Precies dat probleem pakt OSCAL aan. De Open Security Controls Assessment Language is een open standaard onder leiding van NIST, ontwikkeld samen met FedRAMP en een internationale community. OSCAL beschrijft beveiligingseisen, de implementatie ervan en de beoordeling ervan als gestructureerde gegevens, beschikbaar in JSON, XML en YAML.

• Eisen krijgen stabiele identificatoren in plaats van paginanummers en koppen
• Relaties tussen eis, implementatie en bewijs worden expliciet
• Tools kunnen de inhoud valideren, vergelijken en transformeren

De acht documentmodellen

OSCAL is geen enkel bestandsformaat, maar een familie van documentmodellen die op elkaar voortbouwen. Wie de lagen begrijpt, kan zich in elk OSCAL-document oriënteren.

Maatregelenlaag: catalogus en profiel

Een catalogus definieert eisen, zoals de maatregelen van NIST SP 800-53 of de modules van een nationale standaard. Een profiel maakt daaruit een selectie, past aan en combineert: een grote catalogus wordt zo de concrete set eisen voor één toepassing, bijvoorbeeld een baseline voor clouddiensten.

Implementatielaag: componentdefinitie en systeembeveiligingsplan

Een componentdefinitie beschrijft hoe een product of dienst aan eisen kan voldoen, herbruikbaar voor veel systemen. Het system security plan (SSP) documenteert vervolgens voor één concreet systeem welke eisen van toepassing zijn en hoe ze daar werkelijk zijn geïmplementeerd.

Beoordelingslaag: plan, resultaten en openstaande punten

Het assessment plan legt vast wat wordt getest en hoe. De assessment results leggen observaties, bevindingen en risico's gestructureerd vast. Het plan of action and milestones (POA&M) beheert openstaande punten met eigenaren en termijnen, als gegevens en niet als bijlage.

OSCAL 1.2 voegde daar de mapping collection aan toe. Die beschrijft relaties tussen eisen uit verschillende catalogi, bijvoorbeeld tussen een internationale standaard en een nationaal kader. Zo worden ook de koppelingen tussen kaders zelf machineleesbaar.

Wie gebruikt OSCAL vandaag?

OSCAL is zijn oorsprong in het onderzoek allang ontgroeid. FedRAMP, het Amerikaanse autorisatieprogramma voor clouddiensten, stapt af van Word- en Excel-pakketten en vereist gestructureerde, machineleesbare autorisatiegegevens. Die verschuiving beschrijven we uitgebreid in FedRAMP wordt machineleesbaar.

Ook Duitsland heeft zijn keuze gemaakt: het BSI publiceert de inhoud van zijn Stand-der-Technik-Bibliothek, waaronder de IT-Grundschutz++-catalogus, als OSCAL-catalogi in XML, JSON en YAML. De redenering van het BSI is verfrissend pragmatisch: OSCAL is internationaal gevestigd, en een eigen nationaal formaat zou een omweg zijn. Wat dit betekent voor Grundschutz-teams, behandelen we in ons artikel over IT-Grundschutz++ en OSCAL.

• FedRAMP: machineleesbare autorisatiepakketten vervangen documentsjablonen
• BSI: IT-Grundschutz++ verschijnt als OSCAL-catalogus op GitHub
• Community: viewers, validators, bibliotheken en platforms groeien naar elkaar toe

Hoe teams in de praktijk beginnen

Instappen in OSCAL hoeft geen project te zijn. Een goede eerste stap is een echt document te bekijken en te valideren, bijvoorbeeld een catalogus uit de NIST-repository of een eigen export.

Met onze gratis OSCAL Validator kunt u elk OSCAL JSON-document rechtstreeks in de browser controleren tegen de officiële schema's, zonder upload en zonder registratie. Wie dieper wil gaan, vindt in onze OSCAL Toolkit een open TypeScript-bibliotheek voor het laden, valideren en transformeren van OSCAL-documenten.

Vanaf dat punt wordt OSCAL vooral een vraag over uw werkmodel: welke catalogi en profielen zijn op ons van toepassing? Waar komen SSP-inhoud en bewijs vandaan? Secani is vanaf de basis OSCAL-native gebouwd, zodat teams gestructureerde compliancegegevens niet alleen kunnen importeren, maar er ook werkelijk in kunnen werken.