OSCAL rīku ainava

Jauna ekosistēma ar skaidrām kategorijām

Ja jūs pirmo reizi meklējat OSCAL rīkus, ātri nonākat pie gariem sarakstiem: oficiālā NIST direktorija, kopienas rīku lapas un kurētām kolekcijām, piemēram, awesome-oscal. Noderīgāka par jebkuru sarakstu ir vienkārša karte, jo gandrīz katrs rīks ietilpst vienā no četrām kategorijām: skatīšana, validācija, programmatiska apstrāde vai pilnu darba plūsmu atbalsts.

Šis pārskats izvieto pazīstamākos rīkus šajā kartē un atklāti norāda, kur mēs paši esam piegādātājs. Ja OSCAL jums ir jaunums, sāciet ar mūsu ievadu Kas ir OSCAL?

Skatītāji: OSCAL dokumentu padarīšana lasāmiem

Visnobriedušākā kategorija. Easy Dynamics izstrādātais OSCAL Viewer ir de facto standarts: ievelciet failu pārlūkprogrammā, pārvietojieties pa katalogu, SSP vai novērtējuma rezultātiem, un viss. Visa apstrāde notiek pārlūkprogrammā, nekas netiek augšupielādēts. Ap to kopiena veido dokumentācijas un reģistru piedāvājumus, piemēram, OSCAL Hub, kas ļauj publicētus dokumentus atvērt tieši skatītājā.

• Stiprā puse: uzreiz saprotams, bez instalēšanas, bez datu pārsūtīšanas
• Ierobežojums: skatītāji apzināti ir tikai lasāmi – neko nevar mainīt
• Izmantojiet tos: pārskatīšanām, piegādātāju novērtējumiem, ātrai nepazīstamu dokumentu izpratnei

Validatori: pārbaudiet agri, nevis kļūdieties vēlu

Pirms OSCAL dokuments nonāk mērķa sistēmā, tas būtu jāpārbauda. NIST nodrošina oscal-cli – komandrindas rīku, kas veidots uz Metaschema ietvara un veic gan shēmas validāciju, gan formātu konvertēšanu.

Ātrai pārbaudei bez jebkādas instalēšanas mēs izveidojām Secani OSCAL Validator: validējiet OSCAL 1.2 JSON pret oficiālajām NIST shēmām tieši pārlūkprogrammā, ar lasāmiem kļūdu ziņojumiem un dokumentam nekad neatstājot jūsu datoru. Viena svarīga atšķirība: shēmas validācija ir pamatlīmenis. Tas, vai dokuments ir arī saturiski pilnīgs – piemēram, atbilst visam tādas programmas kā FedRAMP obligātajam saturam –, ir atsevišķs, stingrāks pārbaudes slānis.

• Shēmas validācija: vai dokuments ir strukturāli derīgs OSCAL?
• Ierobežojumu validācija: vai tas atbilst programmas papildu noteikumiem?
• Īkšķa likums: ievietojiet abas darba plūsmā pēc iespējas agrāk

Bibliotēkas un CLI jūsu pašu konveijeriem

Ja vēlaties integrēt OSCAL CI/CD konveijeros vai savos produktos, jūs izmantojat bibliotēkas. IBM uztur compliance-trestle – Python ietvaru, kas atbilstības artefaktus apstrādā kā kodu un iegulda tos Git darba plūsmās. Defense Unicorns izstrādā Lula – rīku, kas izmanto komponentu definīcijas, lai automātiski validētu kontroles tādās vidēs kā Kubernetes. GovReady-Q savieno anketas ar OSCAL importu un eksportu.

TypeScript komandām mēs veidojam secani/oscal: atvērtu bibliotēku OSCAL dokumentu ielādei, validācijai un pārveidošanai visos astoņos modeļu veidos – to pašu pamatu, uz kura darbojas mūsu validators un mūsu platforma.

Platformas: OSCAL ikdienas darbībā

Augšējā līmenī atrodas platformas, kas OSCAL ne tikai importē, bet arī organizē darbu tajā. ASV tirgū ir redzamas RegScale un Paramify, kas abas ir izteikti orientētas uz FedRAMP paketēm. Daudzi klasiskie GRC komplekti, turpretī, labākajā gadījumā piedāvā eksportu – tur OSCAL ir piedeva, nevis pamats.

Kā atpazīt labu OSCAL rīku

Neatkarīgi no kategorijas mums ir labi kalpojuši četri jautājumi. Tie nošķir rīkus, kas OSCAL uztver nopietni, no rīkiem, kas tikai atzīmē izvēles rūtiņu.

• Vai visi dati tiek saglabāti – ieskaitot props, nosaukumvietas un paplašinājumus –, vai arī importējot detaļas zūd?
• Vai dokuments iztur importa un eksporta pilnu ciklu bez klusa datu zuduma?
• Vai tiek atbalstītas aktuālās OSCAL versijas un vai versiju jauninājumi tiek apstrādāti korekti?
• Vai var izsekot, no kurienes radusies katra izmaiņa – īpaši tad, ja ir iesaistīts MI?

Ekosistēma aug strauji, to virza FedRAMP ASV un BSI Vācijā. Labs brīdis sakārtot savu rīku ķēdi – sākot ar validētu dokumentu.