Publikation von Christoph Puppe
Vom Dokument zum Datensatz: Grundschutz++ und OSCAL in der Praxis
Zwei Stunden Schulung, vollständig und kostenlos auf YouTube: der Weg des Sicherheitskonzepts vom Dokument zum Datensatz. Über dreißig Jahre lang war ein Grundschutz-Sicherheitskonzept vor allem ein Stapel Papier; der Grundschutz++ liefert Katalog, Modellierung und Nachweise als OSCAL-JSON, und damit ändert sich die tägliche Arbeit, nicht nur das Dateiformat. Die Schulung nimmt die Methodik ohne Schönfärberei durch, erklärt die sieben OSCAL-Formate vom Catalog über Profile und System Security Plan bis zum POA&M mit der Frage, welches Artefakt im ISMS welche Aufgabe übernimmt, und zeigt in Live-Demos die Open-Source-Werkzeuge im Einsatz, von der Blaupause des Informationsverbunds bis zum fertigen Maßnahmenplan. Die Brücke zur alten Welt schlägt die Edition-2023-Pipeline, die das auslaufende Kompendium in dasselbe Format überführt; wer noch klassisch arbeitet, kann die Werkzeuge heute schon benutzen. Den Abschluss bildet die Rechtslage: NIS2 und Paragraf 5c EnWG machen aus der Kür eine Pflicht, Stichtag für alle Grundschutz-Anwender ist der 1. Januar 2031. Die englischsprachige Schwester dieser Schulung, konzentriert auf die OSCAL-Lektionen, lief eine Woche vorher beim NIST OSCAL Adopters Workshop; das zweitägige Training bei der Haufe Akademie führt das Material weiter. Die Aufzeichnung ist der Praxistest in Echtzeit: zwei Stunden Zuschauen, wie der maschinenlesbare Grundschutz tatsächlich funktioniert.