El panorama de las herramientas OSCAL

Un ecosistema joven con categorías claras

Si busca herramientas OSCAL por primera vez, rápidamente terminará con listas largas: el directorio oficial del NIST, la página de herramientas de la comunidad y colecciones seleccionadas como awesome-oscal. Más útil que cualquier lista es un mapa simple, porque casi todas las herramientas se clasifican en una de cuatro categorías: visualización, validación, procesamiento mediante programación o soporte de flujos de trabajo completos.

Esta descripción general sitúa las herramientas más conocidas en ese mapa y es una muestra clara de que nosotros mismos somos proveedores. Si OSCAL es nuevo para usted, comience con nuestra introducción ¿Qué es OSCAL?

Visores: hacer legibles los documentos OSCAL

La categoría más madura. El Visor OSCAL de Easy Dynamics es el estándar de facto: arrastre un archivo al navegador, navegue por un catálogo, SSP o resultados de evaluación, y listo. Todo el procesamiento ocurre en el navegador, no se carga nada. A su alrededor, la comunidad está creando ofertas de documentación y registro, como OSCAL Hub, que le permiten abrir documentos publicados directamente en un visor.

• Fortaleza: comprensible al instante, sin instalación, sin transferencia de datos
• Límite: los espectadores son deliberadamente de solo lectura; no se puede cambiar nada
• Úselo para: revisiones, evaluaciones de proveedores, comprensión rápida de documentos desconocidos

Validadores: verifique temprano en lugar de fallar tarde

Antes de que un documento OSCAL viaje a un sistema de destino, se debe verificar. NIST proporciona oscal-cli, una herramienta de línea de comandos creada en el marco Metaschema que maneja la validación del esquema y la conversión de formato.

Para una verificación rápida sin instalar nada, creamos el Validador OSCAL Secani: valide OSCAL 1.2 JSON con los esquemas oficiales de NIST directamente en el navegador, con mensajes de error legibles y sin que el documento salga de su máquina. Una distinción importante: la validación del esquema es la base. Si un documento también está completo en esencia (por ejemplo, cumple con todo el contenido obligatorio de un programa como FedRAMP) es un nivel de verificación separado y más estricto.

• Validación del esquema: ¿el documento es OSCAL estructuralmente válido?
• Validación de restricciones: ¿satisface las reglas adicionales de un programa?
• Regla general: incorporar ambos al flujo de trabajo lo antes posible

Bibliotecas y CLI para sus propios canales

Si desea integrar OSCAL en CI/CD tuberías o sus propios productos, recurre a las bibliotecas. IBM mantiene cumplimiento-trestle, un marco de Python que trata los artefactos de cumplimiento como código y los integra en los flujos de trabajo de Git. Defense Unicorns crea Lula, una herramienta que utiliza definiciones de componentes para validar automáticamente controles en entornos como Kubernetes. GovReady-Q ​​conecta cuestionarios con la importación y exportación de OSCAL.

Para equipos de TypeScript que estamos construyendo secani/oscal: una biblioteca abierta para cargar, validar y transformar documentos OSCAL en los ocho tipos de modelos: la misma base sobre la que se ejecutan nuestro validador y nuestra plataforma.

Plataformas: OSCAL en las operaciones diarias

En el extremo superior se encuentran plataformas que no solo importan OSCAL sino que organizan el trabajo en él. En el mercado estadounidense, son visibles RegScale y Paramify, ambos fuertemente orientados hacia los paquetes FedRAMP. Por el contrario, muchas suites GRC clásicas ofrecen, en el mejor de los casos, una exportación: en ellas, OSCAL es un acompañamiento, no la base.

Cómo reconocer una buena herramienta OSCAL

Independientemente de la categoría, cuatro preguntas nos han resultado muy útiles. Separan las herramientas que toman en serio OSCAL de las herramientas que simplemente marcan la casilla.

• ¿Se conservan todos los datos (incluidos los accesorios, los espacios de nombres y las extensiones) o se pierden los detalles durante la importación?
• ¿Sobrevive un documento al viaje de ida y vuelta de importación y exportación sin una pérdida silenciosa de datos?
• ¿Se admiten las versiones actuales de OSCAL y las actualizaciones de versiones se manejan limpiamente?
• ¿Puedes rastrear de dónde vino cada cambio, especialmente cuando está involucrada la IA?

El ecosistema está creciendo a un ritmo elevado, impulsado por FedRAMP en EE. UU. y BSI en Alemania. Un buen momento para ordenar su propia cadena de herramientas, comenzando con una documento validado.