Technik & Security

OSCAL

Open Security Controls Assessment Language

Kurz erklärt

OSCAL (Open Security Controls Assessment Language) ist ein offenes, maschinenlesbares Format des US-amerikanischen NIST, in dem sich Sicherheitsanforderungen, ihre Umsetzung und Prüfergebnisse einheitlich beschreiben lassen.

OSCAL wird vom National Institute of Standards and Technology (NIST) in Zusammenarbeit mit der Industrie entwickelt und steht in den Formaten XML, JSON und YAML zur Verfügung. Ziel ist, Sicherheits- und Compliance-Prozesse zu automatisieren: Anforderungen, Umsetzungsbeschreibungen und Prüfergebnisse liegen als strukturierte Daten vor, die Werkzeuge lesen und abgleichen können.

OSCAL ist in drei Ebenen gegliedert. Die Control-Ebene enthält Kataloge (Sammlungen von Anforderungen) und Profile (eine Auswahl und Anpassung daraus als Baseline). Die Implementierungs-Ebene beschreibt mit Komponentendefinitionen und Systembeschreibungen (System Security Plan), wie ein System die Anforderungen umsetzt. Die Prüf-Ebene enthält Prüfpläne, Prüfergebnisse und Pläne zur Behebung offener Feststellungen (Plan of Action and Milestones).

Das BSI veröffentlicht die Anforderungen von Grundschutz++ in diesem Format: Die Stand-der-Technik-Bibliothek mit dem Anwenderkatalog Grundschutz++ steht als OSCAL-Dokumente im öffentlichen GitHub-Repository BSI-Bund/Stand-der-Technik-Bibliothek. Das BSI nennt als Ziel, Sicherheitselemente konsistent zu beschreiben und den Aufwand klassischer Compliance-Dokumentation zu senken.

Verwandte Begriffe

Grundschutz++Grundschutz++ (GS++) ist die Neuentwicklung des Grundschutzes durch das BSI: eine entlang des PDCA-Zyklus aufgebaute Methodik für ein ISMS, beschrieben im BSI-Standard 300-1, die den bisherigen IT-Grundschutz ablösen soll.Stand der Technik„Stand der Technik“ ist ein unbestimmter Rechtsbegriff, der das Niveau technischer Maßnahmen beschreibt, das sich in der Praxis als wirksam bewährt hat und marktverfügbar ist, ohne dass es der neueste Forschungsstand sein muss.Control (Maßnahme)Ein Control (deutsch: Maßnahme oder Kontrolle) ist eine konkrete Sicherheitsvorkehrung, die ein Risiko vermindert, etwa eine Zugriffsbeschränkung, Verschlüsselung oder ein Schulungsprozess.ISO 27001ISO/IEC 27001 ist der international führende Standard für Informationssicherheits-Managementsysteme (ISMS) und definiert die Anforderungen, nach denen sich Organisationen zertifizieren lassen können.

Alle Begriffe im Lexikon

Bereit für ein ISMS, das nicht bei Excel endet?

Demo buchen

Kostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten