OSCAL įrankių panorama

Jauna ekosistema su aiškiomis kategorijomis

Pirmą kartą ieškodami OSCAL įrankių greitai atsiduriate prie ilgų sąrašų: oficialaus NIST katalogo, bendruomenės įrankių puslapio ir tokių kuruojamų rinkinių kaip awesome-oscal. Už bet kurį sąrašą naudingesnis paprastas žemėlapis, nes beveik kiekvienas įrankis patenka į vieną iš keturių kategorijų: peržiūra, validavimas, programinis apdorojimas arba visų darbo procesų palaikymas.

Šioje apžvalgoje žinomiausius įrankius sudėliojame į tą žemėlapį ir atvirai nurodome, kur patys esame tiekėjai. Jei OSCAL jums naujiena, pradėkite nuo mūsų įvado Kas yra OSCAL?

Peržiūros priemonės: OSCAL dokumentai tampa skaitomi

Brandžiausia kategorija. „Easy Dynamics“ sukurta OSCAL Viewer yra de facto standartas: nuvilkite failą į naršyklę, naršykite katalogą, SSP ar vertinimo rezultatus, ir viskas. Visas apdorojimas vyksta naršyklėje, niekas neįkeliama. Aplink ją bendruomenė kuria dokumentacijos ir registrų pasiūlymus, pavyzdžiui, OSCAL Hub, leidžiančius paskelbtus dokumentus atidaryti tiesiai peržiūros priemonėje.

• Stiprybė: iškart suprantama, nereikia diegti, jokio duomenų perdavimo
• Riba: peržiūros priemonės sąmoningai skirtos tik skaityti, nieko pakeisti negalima
• Naudokite: peržiūroms, tiekėjų vertinimams, greitam nepažįstamų dokumentų supratimui

Validatoriai: tikrinkite anksti, užuot klydę vėlai

Prieš OSCAL dokumentui keliaujant į tikslinę sistemą, jį reikėtų patikrinti. NIST teikia oscal-cli – komandinės eilutės įrankį, sukurtą Metaschema sistemos pagrindu, kuris atlieka tiek schemos validavimą, tiek formatų konvertavimą.

Greitam patikrinimui be jokio diegimo sukūrėme Secani OSCAL Validator: validuokite OSCAL 1.2 JSON pagal oficialias NIST schemas tiesiai naršyklėje, su suprantamais klaidų pranešimais ir dokumentui niekada nepaliekant jūsų kompiuterio. Vienas svarbus skirtumas: schemos validavimas yra bazinis lygis. Ar dokumentas yra išsamus ir turinio požiūriu, pavyzdžiui, atitinka visą privalomą tokios programos kaip FedRAMP turinį, yra atskiras, griežtesnis tikrinimo lygmuo.

• Schemos validavimas: ar dokumentas struktūriškai yra galiojantis OSCAL?
• Apribojimų validavimas: ar jis atitinka papildomas programos taisykles?
• Nykščio taisyklė: abu patikrinimus perkelkite į darbo procesą kuo anksčiau

Bibliotekos ir CLI jūsų pačių konvejeriams

Jei norite integruoti OSCAL į CI/CD konvejerius ar savo produktus, griebiatės bibliotekų. IBM prižiūri compliance-trestle – Python sistemą, kuri atitikties artefaktus traktuoja kaip kodą ir įtraukia juos į Git darbo procesus. „Defense Unicorns“ kuria Lula – įrankį, kuris pagal komponentų apibrėžtis automatiškai validuoja kontroles tokiose aplinkose kaip Kubernetes. GovReady-Q sujungia klausimynus su OSCAL importu ir eksportu.

TypeScript komandoms kuriame secani/oscal: atvirą biblioteką OSCAL dokumentams įkelti, validuoti ir transformuoti visuose aštuoniuose modelių tipuose. Tai tas pats pagrindas, ant kurio veikia mūsų validatorius ir mūsų platforma.

Platformos: OSCAL kasdienėje veikloje

Viršutiniame gale yra platformos, kurios OSCAL ne tik importuoja, bet ir organizuoja jame darbą. JAV rinkoje matomos „RegScale“ ir „Paramify“, abi stipriai orientuotos į FedRAMP paketus. Daugelis klasikinių GRC rinkinių, priešingai, geriausiu atveju siūlo eksportą: ten OSCAL yra garnyras, o ne pagrindas.

Kaip atpažinti gerą OSCAL įrankį

Nepriklausomai nuo kategorijos, mums gerai pasitarnavo keturi klausimai. Jie atskiria įrankius, kurie OSCAL vertina rimtai, nuo įrankių, kurie tik pažymi varnelę.

• Ar išsaugomi visi duomenys, įskaitant props, vardų sritis ir plėtinius, ar importuojant prarandamos detalės?
• Ar dokumentas išlaiko importo ir eksporto ciklą be tylaus duomenų praradimo?
• Ar palaikomos dabartinės OSCAL versijos ir ar versijų atnaujinimai atliekami tvarkingai?
• Ar galite atsekti, iš kur kilo kiekvienas pakeitimas, ypač kai dalyvauja DI?

Ekosistema auga dideliu tempu, ją skatina FedRAMP JAV ir BSI Vokietijoje. Geras metas susitvarkyti savo įrankių grandinę, pradedant nuo validuoto dokumento.