Kaj je OSCAL?

Zakaj je skladnost podatkovni problem

Varnostne zahteve še vedno večinoma živijo v prozi: katalogi kot datoteke PDF, varnostni načrti kot dokumenti Word, ugotovitve ocen kot poročila. Proza je prilagodljiva, vendar ima svojo ceno. Različni bralci isto zahtevo razlagajo različno, navzkrižni sklici se z vsako novo različico pokvarijo, vsaka analiza pa se začne s kopiranjem, lepljenjem in ročnim vzdrževanjem preglednic.

Prav to težavo naslavlja OSCAL. Open Security Controls Assessment Language je odprt standard pod vodstvom NIST, razvit skupaj s programom FedRAMP in mednarodno skupnostjo. OSCAL varnostne zahteve, njihovo izvedbo in njihovo oceno opisuje kot strukturirane podatke – na voljo v formatih JSON, XML in YAML.

• Zahteve dobijo stabilne identifikatorje namesto številk strani in naslovov
• Razmerja med zahtevo, izvedbo in dokazi postanejo izrecna
• Orodja lahko vsebino validirajo, primerjajo in pretvarjajo

Osem modelov dokumentov

OSCAL ni en sam format datoteke, temveč družina modelov dokumentov, ki gradijo drug na drugem. Ko razumete plasti, se znajdete v vsakem dokumentu OSCAL.

Plast kontrol: katalog in profil

Katalog opredeljuje zahteve, na primer kontrole iz NIST SP 800-53 ali module nacionalnega standarda. Profil iz njega izbira, ga prilagaja in združuje: velik katalog postane konkreten nabor zahtev za en primer uporabe, na primer izhodišče za storitve v oblaku.

Plast izvedbe: definicija komponente in varnostni načrt sistema

Definicija komponente opisuje, kako lahko izdelek ali storitev izpolni zahteve – ponovno uporabno v številnih sistemih. Varnostni načrt sistema (SSP) nato za en konkreten sistem dokumentira, katere zahteve veljajo in kako so tam dejansko izvedene.

Plast ocenjevanja: načrt, rezultati in odprte točke

Načrt ocene opredeljuje, kaj se preizkusi in kako. Rezultati ocene strukturirano zajemajo opažanja, ugotovitve in tveganja. Načrt ukrepov in mejnikov (POA&M) upravlja odprte točke z lastniki in roki – kot podatke, ne kot prilogo.

OSCAL 1.2 je dodal še zbirko preslikav (mapping collection). Ta opisuje razmerja med zahtevami različnih katalogov, na primer med mednarodnim standardom in nacionalnim okvirom. Tudi preslikave med okviri same postanejo strojno berljive.

Kdo danes uporablja OSCAL

OSCAL je že zdavnaj prerasel svoje raziskovalne korenine. FedRAMP, ameriški program za avtorizacijo storitev v oblaku, se odmika od paketov v Wordu in Excelu ter zahteva strukturirane, strojno berljive avtorizacijske podatke – premik, ki ga podrobno opisujemo v članku FedRAMP prehaja na strojno berljivost.

Tudi Nemčija se je odločila: BSI vsebino svoje knjižnice Stand-der-Technik-Bibliothek – vključno s katalogom IT-Grundschutz++ – objavlja kot kataloge OSCAL v formatih XML, JSON in YAML. Utemeljitev BSI je osvežujoče pragmatična: OSCAL je mednarodno uveljavljen, nacionalni posebni format pa bi bil ovinek. Kaj to pomeni za ekipe, ki delajo z Grundschutzem, obravnavamo v članku o IT-Grundschutz++ in OSCAL.

• FedRAMP: strojno berljivi avtorizacijski paketi nadomeščajo predloge dokumentov
• BSI: IT-Grundschutz++ je na voljo kot katalog OSCAL na GitHubu
• Skupnost: pregledovalniki, validatorji, knjižnice in platforme se zbližujejo

Kako ekipe začnejo v praksi

Začetek dela z OSCAL ni nujno projekt. Dober prvi korak je, da si ogledate resničen dokument in ga validirate – na primer katalog iz repozitorija NIST ali lasten izvoz.

Z našim brezplačnim validatorjem OSCAL lahko kateri koli dokument OSCAL JSON preverite glede na uradne sheme neposredno v brskalniku, brez nalaganja in brez registracije. Če želite iti globlje, naš OSCAL Toolkit ponuja odprto knjižnico TypeScript za nalaganje, validacijo in pretvarjanje dokumentov OSCAL.

Od tu naprej postane OSCAL predvsem vprašanje vašega delovnega modela: kateri katalogi in profili veljajo za nas? Od kod prihajajo vsebina SSP in dokazi? Secani je od temeljev zgrajen na OSCAL – tako da lahko ekipe strukturirane podatke o skladnosti ne le uvozijo, ampak v njih dejansko delajo.