OSCAL-i tööriistade maastik

Noor ökosüsteem selgete kategooriatega

Kui otsite OSCAL-i tööriistu esimest korda, jõuate kiiresti pikkade loeteluteni: NIST-i ametlik kataloog, kogukonna tööriistade leht ja kureeritud kogumikud nagu awesome-oscal. Kasulikum kui ükski loetelu on lihtne kaart, sest peaaegu iga tööriist kuulub ühte neljast kategooriast: vaatamine, valideerimine, programmiline töötlemine või terviklike töövoogude toetamine.

See ülevaade paigutab tuntuimad tööriistad sellele kaardile – ja ütleb ausalt välja, kus oleme ise tarnija. Kui OSCAL on teie jaoks uus, alustage meie sissejuhatusest Mis on OSCAL?

Vaaturid: OSCAL-dokumendid loetavaks

Kõige küpsem kategooria. Easy Dynamicsi OSCAL Viewer on de facto standard: lohistage fail brauserisse, liikuge kataloogis, SSP-s või hindamistulemustes ringi, valmis. Kogu töötlus toimub brauseris, midagi ei laadita üles. Selle ümber loob kogukond dokumentatsiooni- ja registrilahendusi, näiteks OSCAL Hub, mis võimaldavad avaldatud dokumente otse vaaturis avada.

• Tugevus: kohe arusaadav, paigaldust ega andmeedastust pole vaja
• Piirang: vaaturid on teadlikult ainult lugemiseks – midagi muuta ei saa
• Kasutage seda: ülevaatusteks, tarnijate hindamiseks, võõraste dokumentide kiireks mõistmiseks

Valideerijad: kontrollige varakult, mitte ärge kukkuge läbi hilja

Enne kui OSCAL-dokument sihtsüsteemi liigub, tuleks seda kontrollida. NIST pakub oscal-cli-d – Metaschema raamistikule ehitatud käsureatööriista, mis teeb nii skeemivalideerimist kui ka vormingute teisendamist.

Kiireks kontrolliks ilma midagi paigaldamata ehitasime Secani OSCAL-i valideerija: valideerige OSCAL 1.2 JSON-i NIST-i ametlike skeemide vastu otse brauseris, loetavate veateadetega ja ilma, et dokument kunagi teie arvutist lahkuks. Üks oluline eristus: skeemivalideerimine on baastase. See, kas dokument on ka sisuliselt täielik – näiteks vastab kõigile sellise programmi nagu FedRAMP kohustuslikele sisunõuetele –, on eraldi ja rangem kontrollikiht.

• Skeemivalideerimine: kas dokument on struktuurilt kehtiv OSCAL?
• Piirangute valideerimine: kas see täidab programmi lisareegleid?
• Rusikareegel: tooge mõlemad töövoos nii varaseks kui võimalik

Teegid ja käsureatööriistad oma torustike jaoks

Kui soovite OSCAL-i integreerida CI/CD-torustikesse või oma toodetesse, võtate kasutusele teegid. IBM haldab compliance-trestle'it – Pythoni raamistikku, mis käsitleb vastavusartefakte nagu koodi ja põimib need Giti töövoogudesse. Defense Unicorns arendab Lulat – tööriista, mis kasutab komponendimääratlusi kontrollimeetmete automaatseks valideerimiseks sellistes keskkondades nagu Kubernetes. GovReady-Q ühendab küsimustikud OSCAL-i impordi ja ekspordiga.

TypeScripti meeskondade jaoks ehitame secani/oscal: avatud teeki OSCAL-dokumentide laadimiseks, valideerimiseks ja teisendamiseks kõigi kaheksa mudelitüübi lõikes – sama vundament, millel töötavad meie valideerija ja meie platvorm.

Platvormid: OSCAL igapäevatöös

Tipus on platvormid, mis ei ainult impordi OSCAL-i, vaid korraldavad selles tööd. USA turul on nähtavad RegScale ja Paramify, mõlemad tugevalt suunatud FedRAMP-i pakettidele. Paljud klassikalised GRC-komplektid pakuvad seevastu parimal juhul eksporti – seal on OSCAL lisand, mitte vundament.

Kuidas head OSCAL-i tööriista ära tunda

Kategooriast sõltumata on meid hästi aidanud neli küsimust. Need eristavad tööriistu, mis võtavad OSCAL-i tõsiselt, nendest, mis lihtsalt linnukese kirja saavad.

• Kas kõik andmed säilivad – sealhulgas props, nimeruumid ja laiendused – või lähevad üksikasjad importimisel kaduma?
• Kas dokument elab impordi ja ekspordi ringtee üle ilma vaikse andmekaota?
• Kas OSCAL-i ajakohaseid versioone toetatakse ja versiooniuuendusi käsitletakse korrektselt?
• Kas saate jälgida, kust iga muudatus pärineb – eriti kui mängus on tehisintellekt?

Ökosüsteem kasvab kiires tempos, mida veavad USA-s FedRAMP ja Saksamaal BSI. Hea hetk oma tööriistaahel korda teha – alustades valideeritud dokumendist.