Čo je OSCAL?

Prečo je compliance dátový problém

Bezpečnostné požiadavky dodnes žijú prevažne v próze: katalógy ako PDF, bezpečnostné plány ako dokumenty Word, zistenia z hodnotení ako správy. Próza je flexibilná, no má svoju cenu. Rôzni čitatelia tú istú požiadavku interpretujú rôzne, krížové odkazy sa rozpadajú s každou novou verziou a každá analýza sa začína kopírovaním, vkladaním a ručnou údržbou tabuliek.

Presne tento problém rieši OSCAL. Open Security Controls Assessment Language je otvorený štandard pod vedením NIST, vyvíjaný spolu s FedRAMP a medzinárodnou komunitou. OSCAL opisuje bezpečnostné požiadavky, ich implementáciu a ich hodnotenie ako štruktúrované dáta – dostupné v JSON, XML a YAML.

• Požiadavky dostávajú stabilné identifikátory namiesto čísel strán a nadpisov
• Vzťahy medzi požiadavkou, implementáciou a dôkazom sa stávajú explicitnými
• Nástroje môžu obsah validovať, porovnávať a transformovať

Osem dokumentových modelov

OSCAL nie je jediný formát súboru, ale rodina dokumentových modelov, ktoré na seba nadväzujú. Keď pochopíte jednotlivé vrstvy, zorientujete sa v akomkoľvek dokumente OSCAL.

Vrstva opatrení: katalóg a profil

Katalóg definuje požiadavky, napríklad opatrenia NIST SP 800-53 alebo moduly národného štandardu. Profil z neho vyberá, prispôsobuje a kombinuje: z rozsiahleho katalógu sa tak stáva konkrétny súbor požiadaviek pre jeden prípad použitia, napríklad základná úroveň (baseline) pre cloudové služby.

Implementačná vrstva: definícia komponentu a bezpečnostný plán systému

Definícia komponentu opisuje, ako môže produkt alebo služba splniť požiadavky – opakovane použiteľne naprieč mnohými systémami. Bezpečnostný plán systému (SSP) potom pre jeden konkrétny systém dokumentuje, ktoré požiadavky platia a ako sú v ňom skutočne implementované.

Vrstva hodnotenia: plán, výsledky a otvorené body

Plán hodnotenia určuje, čo sa testuje a ako. Výsledky hodnotenia štruktúrovane zachytávajú pozorovania, zistenia a riziká. Plán opatrení a míľnikov (POA&M) spravuje otvorené body s vlastníkmi a termínmi – ako dáta, nie ako prílohu.

OSCAL 1.2 k tomu pridal kolekciu mapovaní (mapping collection). Opisuje vzťahy medzi požiadavkami rôznych katalógov, napríklad medzi medzinárodným štandardom a národným rámcom. Samotné prevodníky medzi rámcami (crosswalks) sa tak stávajú strojovo čitateľnými.

Kto dnes používa OSCAL

OSCAL už dávno prerástol svoje výskumné korene. FedRAMP, americký program autorizácie cloudových služieb, opúšťa balíky vo Worde a Exceli a vyžaduje štruktúrované, strojovo čitateľné autorizačné dáta – tento posun podrobne opisujeme v článku FedRAMP prechádza na strojovo čitateľné dáta.

Aj Nemecko sa rozhodlo: BSI publikuje obsah svojej knižnice Stand-der-Technik-Bibliothek – vrátane katalógu IT-Grundschutz++ – ako katalógy OSCAL v XML, JSON a YAML. Zdôvodnenie BSI je osviežujúco pragmatické: OSCAL je medzinárodne etablovaný a národný špeciálny formát by bol zbytočnou obchádzkou. Čo to znamená pre tímy pracujúce s Grundschutz, rozoberáme v článku o IT-Grundschutz++ a OSCAL.

• FedRAMP: strojovo čitateľné autorizačné balíky nahrádzajú dokumentové šablóny
• BSI: IT-Grundschutz++ vychádza ako katalóg OSCAL na GitHube
• Komunita: prehliadače, validátory, knižnice a platformy sa zbiehajú

Ako tímy začínajú v praxi

Začať s OSCAL nemusí byť projekt. Dobrým prvým krokom je pozrieť sa na reálny dokument a zvalidovať ho – napríklad katalóg z repozitára NIST alebo vlastný export.

S naším bezplatným OSCAL Validatorom môžete akýkoľvek dokument OSCAL vo formáte JSON overiť voči oficiálnym schémam priamo v prehliadači, bez nahrávania a bez registrácie. Ak chcete ísť hlbšie, náš OSCAL Toolkit ponúka otvorenú knižnicu v TypeScripte na načítanie, validáciu a transformáciu dokumentov OSCAL.

Od tej chvíle je OSCAL najmä otázkou vášho pracovného modelu: ktoré katalógy a profily sa na nás vzťahujú? Odkiaľ pochádza obsah SSP a dôkazy? Secani je od základu postavený natívne na OSCAL – aby tímy štruktúrované dáta o súlade nielen importovali, ale v nich aj skutočne pracovali.