OSCAL-työkalujen kenttä

Nuori ekosysteemi selkein luokin

Kun etsit OSCAL-työkaluja ensimmäistä kertaa, päädyt nopeasti pitkiin luetteloihin: NISTin viralliseen hakemistoon, yhteisön työkalusivuun ja koottuihin kokoelmiin, kuten awesome-oscaliin. Mitä tahansa luetteloa hyödyllisempi on yksinkertainen kartta, koska lähes jokainen työkalu kuuluu yhteen neljästä luokasta: katselu, validointi, ohjelmallinen käsittely tai kokonaisten työnkulkujen tukeminen.

Tämä katsaus sijoittaa tunnetuimmat työkalut tälle kartalle – ja kertoo avoimesti, missä olemme itse toimittaja. Jos OSCAL on sinulle uusi, aloita johdannostamme Mikä on OSCAL?

Katseluohjelmat: OSCAL-asiakirjat luettaviksi

Kypsin luokka. Easy Dynamicsin OSCAL Viewer on tosiasiallinen standardi: vedä tiedosto selaimeen, liiku luettelossa, SSP:ssä tai arviointituloksissa, ja valmista. Kaikki käsittely tapahtuu selaimessa, mitään ei ladata palvelimelle. Sen ympärille yhteisö rakentaa dokumentaatio- ja rekisteripalveluja, kuten OSCAL Hubin, joiden avulla julkaistut asiakirjat voi avata suoraan katseluohjelmassa.

• Vahvuus: heti ymmärrettävä, ei asennusta, ei tiedonsiirtoa
• Rajoitus: katseluohjelmat ovat tarkoituksella vain luku -tilassa – mitään ei voi muuttaa
• Käytä esimerkiksi: katselmointeihin, toimittaja-arviointeihin ja vieraiden asiakirjojen nopeaan ymmärtämiseen

Validaattorit: tarkista ajoissa sen sijaan, että epäonnistuisit myöhään

Ennen kuin OSCAL-asiakirja siirtyy kohdejärjestelmään, se pitää tarkistaa. NIST tarjoaa oscal-cli-työkalun, Metaschema-viitekehykseen perustuvan komentorivityökalun, joka hoitaa sekä skeemavalidoinnin että muotomuunnokset.

Nopeaa tarkistusta varten ilman asennuksia rakensimme Secani OSCAL Validatorin: validoi OSCAL 1.2 -JSON NISTin virallisia skeemoja vasten suoraan selaimessa, luettavin virheilmoituksin ja ilman, että asiakirja koskaan poistuu koneeltasi. Yksi tärkeä erottelu: skeemavalidointi on perustaso. Se, onko asiakirja myös sisällöllisesti täydellinen – esimerkiksi täyttääkö se FedRAMPin kaltaisen ohjelman kaiken pakollisen sisällön – on erillinen, tiukempi tarkistuskerros.

• Skeemavalidointi: onko asiakirja rakenteellisesti kelvollinen OSCAL-asiakirja?
• Rajoitevalidointi: täyttääkö se ohjelman lisäsäännöt?
• Nyrkkisääntö: tuo molemmat työnkulkuun mahdollisimman aikaisin

Kirjastot ja komentorivityökalut omiin putkiin

Jos haluat integroida OSCALin CI/CD-putkiin tai omiin tuotteisiisi, tarvitset kirjastoja. IBM ylläpitää compliance-trestleä, Python-viitekehystä, joka käsittelee vaatimustenmukaisuusaineistoja koodin tavoin ja upottaa ne Git-työnkulkuihin. Defense Unicorns kehittää Lulaa, työkalua, joka käyttää komponenttimäärittelyjä hallintakeinojen automaattiseen validointiin esimerkiksi Kubernetes-ympäristöissä. GovReady-Q yhdistää kyselylomakkeet OSCAL-tuontiin ja -vientiin.

TypeScript-tiimeille rakennamme secani/oscal-kirjastoa: avointa kirjastoa OSCAL-asiakirjojen lataamiseen, validointiin ja muuntamiseen kaikissa kahdeksassa mallityypissä – samaa perustaa, jonka varassa validaattorimme ja alustamme toimivat.

Alustat: OSCAL päivittäisessä toiminnassa

Huipulla ovat alustat, jotka eivät vain tuo OSCALia vaan järjestävät työn sen varaan. Yhdysvaltojen markkinoilla näkyvillä ovat RegScale ja Paramify, jotka molemmat ovat vahvasti suuntautuneet FedRAMP-paketteihin. Monet perinteiset GRC-ohjelmistot sen sijaan tarjoavat parhaimmillaankin vain viennin – niissä OSCAL on sivuseikka, ei perusta.

Miten hyvän OSCAL-työkalun tunnistaa

Luokasta riippumatta neljä kysymystä on palvellut meitä hyvin. Ne erottavat OSCALin vakavasti ottavat työkalut niistä, jotka vain rastittavat ruudun.

• Säilyvätkö kaikki tiedot – myös propsit, nimiavaruudet ja laajennukset – vai katoavatko yksityiskohdat tuonnissa?
• Selviääkö asiakirja tuonnin ja viennin edestakaisesta siirrosta ilman huomaamatonta tietojen menetystä?
• Tuetaanko ajantasaisia OSCAL-versioita, ja hoidetaanko versiopäivitykset siististi?
• Voiko jokaisen muutoksen alkuperän jäljittää – erityisesti silloin, kun mukana on tekoälyä?

Ekosysteemi kasvaa kovaa vauhtia, ja sitä vauhdittavat FedRAMP Yhdysvalloissa ja BSI Saksassa. Hyvä hetki järjestää oma työkaluketju – alkaen validoidusta asiakirjasta.