IT-Grundschutz++ întâlnește OSCAL

De la compendiul PDF la date structurate

Timp de decenii, IT-Grundschutz, nivelul național de bază de securitate al Germaniei, a fost înainte de toate un corp de texte: compendiu, standarde și ghiduri de implementare în format PDF, întreținute în documente și analizate în foi de calcul. La sfârșitul lui septembrie 2025, BSI a încheiat oficial această epocă și a publicat Stand-der-Technik-Bibliothek pe GitHub, cu IT-Grundschutz++ ca un catalog citibil automat.

Este mai mult decât un nou format de stocare. Cerințele sunt disponibile ca un catalog OSCAL în XML, JSON și YAML. Instrumentele le pot citi direct, le pot referenția și le pot lega de implementarea proprie a unei organizații: fără retranscriere, fără ghicirea versiunilor, fără numere de pagină.

• Cerințele primesc identificatori stabili, citibili automat
• Actualizările apar în mod trasabil într-un depozit public
• Instrumentele SMSI citesc catalogul direct, în loc să-l reintroducă manual

De ce a ales BSI formatul OSCAL

Decizia privind formatul este remarcabilă. BSI ar fi putut defini un format de date național propriu și a ales în mod deliberat să nu o facă. OSCAL este un standard consacrat la nivel internațional, coordonat de NIST; adoptarea lui menține organizațiile germane compatibile cu cadrele internaționale și cu un ecosistem de instrumente aflat în creștere rapidă.

Germania se alătură astfel unei mișcări mai ample: în SUA, FedRAMP trece la pachete de autorizare citibile automat, iar instrumentele din jurul standardului se dezvoltă rapid. Dacă doriți mai întâi noțiunile de bază, introducerea noastră Ce este OSCAL? explică modul în care este structurat standardul.

Ce se schimbă în practica Grundschutz

Pentru activitatea SMSI de zi cu zi, schimbarea de format contează mai mult decât pare la prima vedere. Astăzi, o parte substanțială a activității Grundschutz constă în transferarea cerințelor din documente în propria structură: în foi de calcul, în instrumente GRC, în concepte de securitate. Fiecare nouă ediție a compendiului declanșează din nou același exercițiu.

Cu un catalog citibil automat, logica se inversează. Instrumentul cunoaște deja cerințele, iar munca propriu-zisă se mută acolo unde îi este locul: atribuire, implementare, dovezi și decizii.

• Comparațiile între situația țintă și situația reală pot fi generate automat, în loc să fie întreținute manual
• Modificările dintre versiunile catalogului devin comparabile prin diff și explicabile
• Dovezile și justificările se leagă de identificatori stabili ai cerințelor

O tranziție măsurată

Conceptele de securitate existente, bazate pe Ediția 23, nu își pierd valoarea peste noapte: modernizarea este o tranziție pe care BSI o detaliază pas cu pas. Direcția este însă neechivocă, iar echipele care își organizează structura din timp au un dublu câștig: munca de astăzi devine mai curată, iar trecerea ulterioară devine mai mică.

Trei pregătiri s-au dovedit utile, din punctul nostru de vedere. Ele merită indiferent de momentul în care o organizație trece formal la IT-Grundschutz++.

• Structurați implementările și dovezile existente astfel încât să fie asociate fără ambiguitate cerințelor
• Verificați-vă instrumentele: pot citi cataloagele OSCAL în mod nativ sau doar le importă și le uită?
• Acumulați experiență directă cu formatul, de exemplu deschizând și verificând un catalog în OSCAL Validator

Punctul nostru de vedere

Am construit Secani nativ pe OSCAL încă din prima zi, din convingerea că un conținut de conformitate ar trebui să fie date structurate cu mult înainte ca autoritățile de reglementare să o ceară. Faptul că BSI duce acum IT-Grundschutz exact în această direcție confirmă drumul ales. Dacă pregătiți tranziția la IT-Grundschutz++ și doriți mai mult decât o arhivă mai frumoasă, discutați cu noi.