Az OSCAL-eszközök áttekintése

Fiatal ökoszisztéma, világos kategóriákkal

Aki először keres OSCAL-eszközöket, hamar hosszú listákon találja magát: a NIST hivatalos jegyzékén, a közösségi eszközoldalon és az olyan válogatott gyűjteményeken, mint az awesome-oscal. Minden listánál hasznosabb egy egyszerű térkép, mert szinte minden eszköz négy kategória egyikébe tartozik: megjelenítés, validálás, programozott feldolgozás vagy teljes munkafolyamatok támogatása.

Ez az áttekintés a legismertebb eszközöket helyezi el ezen a térképen – és nyíltan jelzi, ahol mi magunk is szállítók vagyunk. Ha az OSCAL újdonság az Ön számára, kezdje a bevezetőnkkel: Mi az OSCAL?

Megjelenítők: az OSCAL-dokumentumok olvashatóvá tétele

Ez a legérettebb kategória. Az Easy Dynamics OSCAL Viewer eszköze a de facto szabvány: húzzon be egy fájlt a böngészőbe, navigáljon végig egy katalóguson, SSP-n vagy értékelési eredményeken, és kész. Minden feldolgozás a böngészőben történik, semmi sem kerül feltöltésre. Körülötte a közösség dokumentációs és nyilvántartási szolgáltatásokat épít, például az OSCAL Hubot, amelyekkel a közzétett dokumentumok közvetlenül megnyithatók egy megjelenítőben.

• Erősség: azonnal érthető, nincs szükség telepítésre, nincs adatátvitel
• Korlát: a megjelenítők szándékosan csak olvashatók – semmit sem lehet módosítani
• Mire használja: felülvizsgálatokhoz, szállítói értékelésekhez, ismeretlen dokumentumok gyors megértéséhez

Validátorok: korai ellenőrzés a késői kudarc helyett

Mielőtt egy OSCAL-dokumentum egy célrendszerbe kerül, ellenőrizni kell. A NIST biztosítja az oscal-cli-t, egy Metaschema keretrendszerre épülő parancssori eszközt, amely a sémavalidálást és a formátumkonverziót is elvégzi.

A telepítés nélküli gyors ellenőrzéshez készítettük el a Secani OSCAL Validatort: az OSCAL 1.2 JSON-dokumentumokat közvetlenül a böngészőben validálja a NIST hivatalos sémái alapján, olvasható hibaüzenetekkel, és anélkül, hogy a dokumentum valaha is elhagyná az Ön gépét. Egy fontos különbségtétel: a sémavalidálás az alapszint. Az, hogy egy dokumentum tartalmilag is teljes-e – például megfelel-e egy olyan program összes kötelező tartalmi elemének, mint a FedRAMP –, egy különálló, szigorúbb ellenőrzési réteg.

• Sémavalidálás: szerkezetileg érvényes OSCAL-e a dokumentum?
• Megkötések szerinti validálás: megfelel-e egy program további szabályainak?
• Ökölszabály: mindkettőt a lehető legkorábban építse be a munkafolyamatba

Könyvtárak és CLI-k saját feldolgozási láncokhoz

Ha az OSCAL-t CI/CD-folyamatokba vagy saját termékekbe szeretné integrálni, könyvtárakhoz nyúl. Az IBM tartja karban a compliance-trestle-t, egy Python-keretrendszert, amely a megfelelőségi dokumentumokat kódként kezeli, és Git-munkafolyamatokba ágyazza. A Defense Unicorns fejleszti a Lulát, egy olyan eszközt, amely komponensdefiníciók segítségével automatikusan validálja a kontrollokat például Kubernetes-környezetekben. A GovReady-Q a kérdőíveket OSCAL-importtal és -exporttal kapcsolja össze.

TypeScript-csapatok számára fejlesztjük a secani/oscal könyvtárat: egy nyílt könyvtárat OSCAL-dokumentumok betöltésére, validálására és átalakítására mind a nyolc modelltípusban – ugyanazt az alapot, amelyen a validátorunk és a platformunk is fut.

Platformok: OSCAL a napi működésben

A csúcson azok a platformok állnak, amelyek nemcsak importálják az OSCAL-t, hanem a munkát is abban szervezik. Az amerikai piacon a RegScale és a Paramify látható, mindkettő erősen a FedRAMP-csomagokra orientálódik. Ezzel szemben sok klasszikus GRC-csomag legfeljebb exportot kínál – ott az OSCAL mellékes, nem pedig az alap.

Hogyan ismerhető fel egy jó OSCAL-eszköz

Kategóriától függetlenül négy kérdés vált be nálunk. Ezek elválasztják azokat az eszközöket, amelyek komolyan veszik az OSCAL-t, azoktól, amelyek csak kipipálják.

• Megmarad-e minden adat – beleértve a propokat, a névtereket és a kiterjesztéseket –, vagy részletek vesznek el az importáláskor?
• Túléli-e egy dokumentum az importálás és exportálás oda-vissza útját csendes adatvesztés nélkül?
• Támogatottak-e az aktuális OSCAL-verziók, és tisztán kezeli-e az eszköz a verziófrissítéseket?
• Visszakövethető-e, honnan származik minden változtatás – különösen, ha MI is részt vesz a folyamatban?

Az ökoszisztéma gyors ütemben bővül, amit az Egyesült Államokban a FedRAMP, Németországban pedig a BSI hajt. Jó alkalom a saját eszközlánc rendbetételére – kezdve egy validált dokumentummal.