Para qué existe OSCAL

OSCAL es un conjunto de modelos de datos y de formatos para representar, de forma estandarizada y legible por máquina, la información de cumplimiento: qué controles existen, cuáles se eligieron para un sistema, cómo se implementan y qué se encontró al evaluarlos. Lo publica el NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos) y se desarrolla en abierto.

Es un lenguaje de intercambio, no una herramienta que audita. No mira ningún sistema, no prueba ningún control y no decide si algo cumple: guarda lo que una persona o un proceso determinó, de forma que otro programa pueda leerlo, compararlo y reutilizarlo sin que alguien tenga que copiarlo a mano.

OSCAL organiza sus modelos en tres capas, cada una apoyada en la de abajo. La capa de control guarda el catálogo (los controles) y el perfil (la selección de ellos para un caso); también incluye un modelo de mapeo entre controles. La capa de implementación guarda la definición de componentes y el plan de seguridad del sistema. La capa de evaluación guarda el plan de evaluación, sus resultados y el plan de acción y de hitos (POA&M).

Cada archivo OSCAL tiene un elemento raíz que dice qué modelo es. Lee el paquete y cruza el modelo de cada archivo con su capa.

Consulta SELECT * FROM paquete_de_archivos y SELECT * FROM capas_y_modelos.

OSCAL se escribe en XML, JSON o YAML, y los tres expresan el mismo modelo: un documento puede convertirse de uno a otro sin perder contenido, porque lo que define el estándar es la estructura de los datos y no la sintaxis. Qué formato se use depende de la herramienta y de quién lo vaya a leer: JSON y YAML son cómodos para programas y para personas, XML lo es para quien ya trabaja con ese ecosistema.

Consulta SELECT * FROM un_control_en_tres_formatos y confirma que el identificador y el título son los mismos en las tres filas.

Una de las ventajas de saber qué modelo es cada archivo es poder preguntarle al paquete cosas simples sin abrirlo: cuántos documentos hay de cada capa, cuáles están desactualizados respecto de otros, qué falta. Aquí el paquete trae siete modelos distintos y ningún mapeo.

El valor de OSCAL no está en que sea elegante, sino en lo que evita: volver a teclear el mismo control en el plan, en la hoja de evaluación y en el informe; comparar a ojo dos versiones de un perfil; y que cada herramienta use su propio formato y haya que traducir entre ellas. Con datos estructurados, un programa puede, por ejemplo, listar los controles de un perfil que no aparecen en un plan.