O que é o OSCAL?

Porque é que a conformidade é um problema de dados

Os requisitos de segurança continuam a existir sobretudo em texto corrido: catálogos em PDF, planos de segurança em documentos Word, constatações de avaliações em relatórios. O texto corrido é flexível, mas tem um custo. O mesmo requisito é interpretado de forma diferente por leitores diferentes, as referências cruzadas quebram-se a cada nova versão e cada análise começa com copiar, colar e manter manualmente folhas de cálculo.

É exatamente este o problema que o OSCAL resolve. A Open Security Controls Assessment Language é uma norma aberta liderada pelo NIST, desenvolvida em conjunto com o FedRAMP e uma comunidade internacional. O OSCAL descreve os requisitos de segurança, a sua implementação e a sua avaliação como dados estruturados, disponíveis em JSON, XML e YAML.

• Os requisitos recebem identificadores estáveis em vez de números de página e títulos
• As relações entre requisito, implementação e evidência tornam-se explícitas
• As ferramentas podem validar, comparar e transformar o conteúdo

Os oito modelos de documentos

O OSCAL não é um formato de ficheiro único, mas uma família de modelos de documentos que se apoiam uns nos outros. Depois de compreender as camadas, consegue orientar-se em qualquer documento OSCAL.

Camada de controlos: catálogo e perfil

Um catálogo define requisitos, como os controlos da NIST SP 800-53 ou os módulos de uma norma nacional. Um perfil seleciona a partir dele, adapta e combina: um catálogo extenso transforma-se no conjunto concreto de requisitos para um caso de utilização, por exemplo uma linha de base para serviços cloud.

Camada de implementação: definição de componente e plano de segurança do sistema

Uma definição de componente descreve como um produto ou serviço pode cumprir requisitos, de forma reutilizável em muitos sistemas. O plano de segurança do sistema (SSP) documenta depois, para um sistema concreto, que requisitos se aplicam e como são efetivamente implementados nesse sistema.

Camada de avaliação: plano, resultados e pontos em aberto

O plano de avaliação define o que é testado e como. Os resultados da avaliação registam observações, constatações e riscos de forma estruturada. O plano de ação e marcos (POA&M) gere os pontos em aberto com responsáveis e prazos, como dados e não como anexo.

O OSCAL 1.2 acrescentou a coleção de mapeamentos. Esta descreve as relações entre requisitos de catálogos diferentes, por exemplo entre uma norma internacional e um quadro nacional. Os próprios mapeamentos entre quadros tornam-se legíveis por máquina.

Quem utiliza o OSCAL hoje

O OSCAL há muito que ultrapassou as suas raízes de investigação. O FedRAMP, o programa norte-americano de autorização de serviços cloud, está a abandonar os pacotes em Word e Excel e exige dados de autorização estruturados e legíveis por máquina, uma mudança que descrevemos em pormenor em O FedRAMP torna-se legível por máquina.

A Alemanha também tomou a sua decisão: o BSI publica o conteúdo da sua Stand-der-Technik-Bibliothek, incluindo o catálogo IT-Grundschutz++, como catálogos OSCAL em XML, JSON e YAML. A fundamentação do BSI é refrescantemente pragmática: o OSCAL está estabelecido a nível internacional, e um formato nacional próprio seria um desvio. O que isto significa para as equipas de Grundschutz é tratado no nosso artigo sobre o IT-Grundschutz++ e o OSCAL.

• FedRAMP: os pacotes de autorização legíveis por máquina substituem os modelos de documentos
• BSI: o IT-Grundschutz++ é disponibilizado como catálogo OSCAL no GitHub
• Comunidade: visualizadores, validadores, bibliotecas e plataformas estão a convergir

Como as equipas começam na prática

Começar a utilizar o OSCAL não tem de ser um projeto. Um bom primeiro passo é olhar para um documento real e validá-lo, por exemplo um catálogo do repositório do NIST ou uma exportação própria.

Com o nosso OSCAL Validator gratuito, pode verificar qualquer documento OSCAL em JSON face aos esquemas oficiais diretamente no browser, sem carregamento e sem registo. Se quiser aprofundar, o nosso OSCAL Toolkit disponibiliza uma biblioteca TypeScript aberta para carregar, validar e transformar documentos OSCAL.

A partir daí, o OSCAL torna-se sobretudo uma questão do seu modelo de trabalho: que catálogos e perfis se aplicam a nós? De onde vêm o conteúdo do SSP e as evidências? A Secani foi construída de raiz de forma nativa em OSCAL, para que as equipas não só possam importar dados de conformidade estruturados, mas também trabalhar efetivamente com eles.