IT-Grundschutz++ se sreča z OSCAL

Od kompendija v PDF do strukturiranih podatkov

Desetletja je bil IT-Grundschutz, nemško nacionalno varnostno izhodišče, predvsem besedilo: kompendij, standardi in smernice za izvedbo v obliki PDF, vzdrževani v dokumentih in analizirani v preglednicah. Konec septembra 2025 je BSI to obdobje uradno končal in objavil Stand-der-Technik-Bibliothek na GitHubu, z IT-Grundschutz++ kot strojno berljivim katalogom.

To je več kot nova oblika shranjevanja. Zahteve so na voljo kot katalog OSCAL v formatih XML, JSON in YAML. Orodja jih lahko neposredno berejo, se nanje sklicujejo in jih povezujejo z lastno izvedbo organizacije: brez ponovnega pretipkavanja, brez ugibanja različic, brez številk strani.

• Zahteve dobijo stabilne, strojno berljive identifikatorje
• Posodobitve se sledljivo pojavljajo v javnem repozitoriju
• Orodja ISMS katalog berejo neposredno, namesto ročnega ponovnega vnosa

Zakaj se je BSI odločil za OSCAL

Odločitev o formatu je izjemna. BSI bi lahko opredelil lasten nacionalni podatkovni format, a se je namenoma odločil, da tega ne stori. OSCAL je mednarodno uveljavljen standard pod vodstvom NIST; njegova uporaba nemškim organizacijam ohranja združljivost z mednarodnimi okviri in s hitro rastočim ekosistemom orodij.

Nemčija se s tem pridružuje širšemu gibanju: v ZDA FedRAMP prehaja na strojno berljive pooblastitvene pakete, orodja okoli standarda pa hitro rastejo. Če želite najprej spoznati osnove, naš uvod Kaj je OSCAL? pojasnjuje, kako je standard zgrajen.

Kaj se spreminja v praksi Grundschutz

Za vsakodnevno delo v ISMS je sprememba formata pomembnejša, kot se sprva zdi. Danes znaten del dela po Grundschutz sestoji iz prenašanja zahtev iz dokumentov v lastno strukturo: v preglednice, v orodja GRC, v varnostne koncepte. Vsaka nova izdaja kompendija znova sproži isto vajo.

S strojno berljivim katalogom se logika obrne. Orodje zahteve že pozna, dejansko delo pa se premakne tja, kamor spada: k dodeljevanju, izvedbi, dokazom in odločitvam.

• Primerjave ciljnega in dejanskega stanja je mogoče ustvarjati samodejno, namesto da bi jih vzdrževali ročno
• Spremembe med različicami kataloga postanejo primerljive (diff) in razložljive
• Dokazi in utemeljitve se povezujejo s stabilnimi identifikatorji zahtev

Premišljen prehod

Obstoječi varnostni koncepti na podlagi izdaje 23 čez noč ne izgubijo vrednosti; posodobitev je prehod, ki ga BSI podrobneje opredeljuje korak za korakom. Smer pa je nedvoumna in ekipe, ki svojo strukturo uredijo zgodaj, pridobijo dvakrat: današnje delo postane čistejše, poznejši prehod pa manjši.

Po našem mnenju so se izkazale za koristne tri priprave. Splačajo se ne glede na to, kdaj organizacija formalno preide na IT-Grundschutz++.

• Obstoječe izvedbe in dokaze strukturirajte tako, da so nedvoumno preslikani na zahteve
• Preverite svoja orodja: ali znajo kataloge OSCAL brati izvorno ali jih zgolj uvozijo in pozabijo?
• S formatom pridobite izkušnje iz prve roke, na primer tako, da katalog odprete in preverite v validatorju OSCAL

Naše stališče

Secani smo od prvega dne zgradili kot izvorno OSCAL rešitev, iz prepričanja, da bi morala biti vsebina o skladnosti strukturirani podatki že dolgo preden to zahtevajo regulatorji. Da BSI zdaj IT-Grundschutz vodi prav tja, potrjuje to pot. Če pripravljate prehod na IT-Grundschutz++ in želite več kot lepši arhiv, se pogovorite z nami.