Ce este OSCAL?

De ce conformitatea este o problemă de date

Cerințele de securitate există încă în mare parte sub formă de text: cataloage în PDF, planuri de securitate în documente Word, constatări ale evaluărilor în rapoarte. Textul este flexibil, dar are un cost. Aceeași cerință este interpretată diferit de cititori diferiți, trimiterile încrucișate se rup la fiecare versiune nouă, iar orice analiză începe cu copiere, lipire și întreținerea manuală a foilor de calcul.

Exact aceasta este problema pe care o tratează OSCAL. Open Security Controls Assessment Language este un standard deschis condus de NIST, dezvoltat împreună cu FedRAMP și cu o comunitate internațională. OSCAL descrie cerințele de securitate, implementarea și evaluarea lor ca date structurate, disponibile în JSON, XML și YAML.

• Cerințele primesc identificatori stabili în locul numerelor de pagină și al titlurilor
• Relațiile dintre cerință, implementare și dovezi devin explicite
• Instrumentele pot valida, compara și transforma conținutul

Cele opt modele de documente

OSCAL nu este un singur format de fișier, ci o familie de modele de documente care se construiesc unele pe altele. Odată ce înțelegeți straturile, vă puteți orienta în orice document OSCAL.

Stratul de controale: catalog și profil

Un catalog definește cerințe, cum ar fi controalele din NIST SP 800-53 sau modulele unui standard național. Un profil selectează din acesta, adaptează și combină: un catalog mare devine setul concret de cerințe pentru un caz de utilizare, de exemplu o linie de bază pentru serviciile cloud.

Stratul de implementare: definiția componentei și planul de securitate al sistemului

O definiție a componentei descrie cum poate un produs sau un serviciu să îndeplinească cerințele, reutilizabil în multe sisteme. Planul de securitate al sistemului (SSP) documentează apoi, pentru un sistem concret, ce cerințe se aplică și cum sunt implementate efectiv acolo.

Stratul de evaluare: plan, rezultate și puncte deschise

Planul de evaluare definește ce se testează și cum. Rezultatele evaluării consemnează observațiile, constatările și riscurile într-un mod structurat. Planul de acțiune și etapele (POA&M) gestionează punctele deschise cu responsabili și termene, sub formă de date, nu ca anexă.

OSCAL 1.2 a adăugat în plus colecția de corespondențe (mapping collection). Aceasta descrie relațiile dintre cerințele unor cataloage diferite, de exemplu între un standard internațional și un cadru național. Corespondențele dintre cadre devin ele însele citibile de mașină.

Cine folosește OSCAL astăzi

OSCAL și-a depășit de mult rădăcinile din cercetare. FedRAMP, programul american de autorizare pentru cloud, renunță la pachetele Word și Excel și impune date de autorizare structurate, citibile de mașină, o schimbare pe care o descriem în detaliu în FedRAMP trece la formatul citibil de mașină.

Și Germania și-a făcut alegerea: BSI publică conținutul Stand-der-Technik-Bibliothek, inclusiv catalogul IT-Grundschutz++, sub formă de cataloage OSCAL în XML, JSON și YAML. Raționamentul BSI este remarcabil de pragmatic: OSCAL este consacrat la nivel internațional, iar un format național special ar fi un ocoliș. Ce înseamnă acest lucru pentru echipele Grundschutz este explicat în articolul nostru despre IT-Grundschutz++ și OSCAL.

• FedRAMP: pachetele de autorizare citibile de mașină înlocuiesc șabloanele de documente
• BSI: IT-Grundschutz++ este livrat ca un catalog OSCAL pe GitHub
• Comunitatea: vizualizatoarele, validatoarele, bibliotecile și platformele converg

Cum încep echipele în practică

Introducerea OSCAL nu trebuie să fie un proiect. Un prim pas bun este să examinați un document real și să-l validați, de exemplu un catalog din repository-ul NIST sau un export propriu.

Cu OSCAL Validator, instrumentul nostru gratuit, puteți verifica orice document OSCAL JSON în raport cu schemele oficiale direct în browser, fără încărcare și fără înregistrare. Dacă doriți să aprofundați, OSCAL Toolkit oferă o bibliotecă TypeScript deschisă pentru încărcarea, validarea și transformarea documentelor OSCAL.

Din acel moment, OSCAL devine în principal o chestiune legată de modelul dumneavoastră de lucru: ce cataloage și profiluri ni se aplică? De unde provin conținutul SSP și dovezile? Secani este construit de la bază ca platformă nativă OSCAL, astfel încât echipele să poată nu doar importa date de conformitate structurate, ci să și lucreze efectiv în ele.