Το τοπίο των εργαλείων OSCAL

Ένα νέο οικοσύστημα με σαφείς κατηγορίες

Αν αναζητήσετε εργαλεία OSCAL για πρώτη φορά, θα καταλήξετε γρήγορα σε μακριές λίστες: τον επίσημο κατάλογο του NIST, τη σελίδα εργαλείων της κοινότητας και επιμελημένες συλλογές όπως το awesome-oscal. Πιο χρήσιμος από οποιαδήποτε λίστα είναι ένας απλός χάρτης, επειδή σχεδόν κάθε εργαλείο εμπίπτει σε μία από τέσσερις κατηγορίες: προβολή, επικύρωση, προγραμματιστική επεξεργασία ή υποστήριξη ολοκληρωμένων ροών εργασιών.

Αυτή η επισκόπηση τοποθετεί τα πιο γνωστά εργαλεία σε αυτόν τον χάρτη και δηλώνει ανοιχτά πού είμαστε κι εμείς προμηθευτές. Αν το OSCAL είναι καινούργιο για εσάς, ξεκινήστε με την εισαγωγή μας Τι είναι το OSCAL;

Προβολείς: κάνοντας τα έγγραφα OSCAL αναγνώσιμα

Η πιο ώριμη κατηγορία. Ο OSCAL Viewer της Easy Dynamics είναι το de facto πρότυπο: σύρετε ένα αρχείο στο πρόγραμμα περιήγησης, πλοηγηθείτε σε έναν κατάλογο, ένα SSP ή αποτελέσματα αξιολόγησης, και τελειώσατε. Όλη η επεξεργασία γίνεται στο πρόγραμμα περιήγησης και τίποτα δεν μεταφορτώνεται. Γύρω του, η κοινότητα δημιουργεί προσφορές τεκμηρίωσης και μητρώων, όπως το OSCAL Hub, που σας επιτρέπουν να ανοίγετε δημοσιευμένα έγγραφα απευθείας σε έναν προβολέα.

• Δύναμη: άμεσα κατανοητός, χωρίς εγκατάσταση, χωρίς μεταφορά δεδομένων
• Όριο: οι προβολείς είναι σκόπιμα μόνο για ανάγνωση και δεν μπορείτε να αλλάξετε τίποτα
• Χρησιμοποιήστε τον για: επισκοπήσεις, αξιολογήσεις προμηθευτών, γρήγορη κατανόηση άγνωστων εγγράφων

Εργαλεία επικύρωσης: ελέγξτε νωρίς αντί να αποτύχετε αργά

Πριν ένα έγγραφο OSCAL ταξιδέψει σε ένα σύστημα-στόχο, πρέπει να ελεγχθεί. Το NIST παρέχει το oscal-cli, ένα εργαλείο γραμμής εντολών βασισμένο στο πλαίσιο Metaschema, που χειρίζεται τόσο την επικύρωση σχήματος όσο και τη μετατροπή μορφής.

Για έναν γρήγορο έλεγχο χωρίς εγκατάσταση, δημιουργήσαμε τον Secani OSCAL Validator: επικυρώστε OSCAL 1.2 JSON έναντι των επίσημων σχημάτων του NIST απευθείας στο πρόγραμμα περιήγησης, με ευανάγνωστα μηνύματα σφάλματος και χωρίς το έγγραφο να φύγει ποτέ από τον υπολογιστή σας. Μια σημαντική διάκριση: η επικύρωση σχήματος είναι η βάση. Το αν ένα έγγραφο είναι επίσης πλήρες επί της ουσίας, για παράδειγμα αν καλύπτει όλο το υποχρεωτικό περιεχόμενο ενός προγράμματος όπως το FedRAMP, είναι ένα χωριστό, αυστηρότερο επίπεδο ελέγχου.

• Επικύρωση σχήματος: είναι το έγγραφο δομικά έγκυρο OSCAL;
• Επικύρωση περιορισμών: ικανοποιεί τους πρόσθετους κανόνες ενός προγράμματος;
• Πρακτικός κανόνας: φέρτε και τα δύο όσο το δυνατόν νωρίτερα στη ροή εργασιών

Βιβλιοθήκες και CLI για τις δικές σας διαδικασίες

Αν θέλετε να ενσωματώσετε το OSCAL σε διαδικασίες CI/CD ή στα δικά σας προϊόντα, καταφεύγετε σε βιβλιοθήκες. Η IBM συντηρεί το compliance-trestle, ένα πλαίσιο Python που αντιμετωπίζει τα τεκμήρια συμμόρφωσης ως κώδικα και τα ενσωματώνει σε ροές εργασιών Git. Η Defense Unicorns αναπτύσσει το Lula, ένα εργαλείο που χρησιμοποιεί ορισμούς στοιχείων (component definitions) για την αυτόματη επικύρωση δικλίδων σε περιβάλλοντα όπως το Kubernetes. Το GovReady-Q συνδέει ερωτηματολόγια με εισαγωγή και εξαγωγή OSCAL.

Για ομάδες TypeScript αναπτύσσουμε το secani/oscal: μια ανοιχτή βιβλιοθήκη για τη φόρτωση, την επικύρωση και τον μετασχηματισμό εγγράφων OSCAL σε όλους τους οκτώ τύπους μοντέλων, την ίδια βάση πάνω στην οποία λειτουργούν ο validator και η πλατφόρμα μας.

Πλατφόρμες: το OSCAL στην καθημερινή λειτουργία

Στην κορυφή βρίσκονται οι πλατφόρμες που δεν απλώς εισάγουν OSCAL, αλλά οργανώνουν την εργασία μέσα σε αυτό. Στην αγορά των ΗΠΑ ξεχωρίζουν η RegScale και η Paramify, αμφότερες με έντονο προσανατολισμό στα πακέτα FedRAMP. Πολλές κλασικές σουίτες GRC, αντίθετα, προσφέρουν στην καλύτερη περίπτωση μια εξαγωγή: εκεί, το OSCAL είναι συνοδευτικό, όχι θεμέλιο.

Πώς να αναγνωρίζετε ένα καλό εργαλείο OSCAL

Ανεξάρτητα από την κατηγορία, τέσσερα ερωτήματα μας έχουν φανεί χρήσιμα. Ξεχωρίζουν τα εργαλεία που παίρνουν το OSCAL στα σοβαρά από τα εργαλεία που απλώς τσεκάρουν το κουτάκι.

• Διατηρούνται όλα τα δεδομένα, συμπεριλαμβανομένων των props, των χώρων ονομάτων (namespaces) και των επεκτάσεων, ή χάνονται λεπτομέρειες κατά την εισαγωγή;
• Επιβιώνει ένα έγγραφο από τη διαδρομή εισαγωγής και εξαγωγής χωρίς σιωπηρή απώλεια δεδομένων;
• Υποστηρίζονται οι τρέχουσες εκδόσεις του OSCAL και γίνονται σωστά οι αναβαθμίσεις εκδόσεων;
• Μπορείτε να ανιχνεύσετε από πού προήλθε κάθε αλλαγή, ιδίως όταν εμπλέκεται ΤΝ;

Το οικοσύστημα αναπτύσσεται με υψηλό ρυθμό, με κινητήρια δύναμη το FedRAMP στις ΗΠΑ και το BSI στη Γερμανία. Μια καλή στιγμή για να τακτοποιήσετε τη δική σας αλυσίδα εργαλείων, ξεκινώντας με ένα επικυρωμένο έγγραφο.