Krajobraz narzędzi OSCAL

Młody ekosystem z jasnymi kategoriami

Jeśli szukasz narzędzi OSCAL po raz pierwszy, szybko otrzymasz długie listy: oficjalny katalog NIST, stronę narzędzi społeczności i wyselekcjonowane kolekcje, takie jak Awesome-oscal. Bardziej pomocna niż jakakolwiek lista jest prosta mapa, ponieważ prawie każde narzędzie należy do jednej z czterech kategorii: przeglądanie, sprawdzanie poprawności, przetwarzanie programowe lub wspieranie kompletnych przepływów pracy.

Ten przegląd umieszcza na tej mapie najbardziej znane narzędzia – i jest od razu widoczny tam, gdzie sami jesteśmy dostawcą. Jeśli OSCAL jest dla Ciebie nowy, zacznij od naszego wprowadzenia Co to jest OSCAL?

Przeglądarki: zapewnienie czytelności dokumentów OSCAL

To najbardziej dojrzała kategoria. OSCAL Viewer firmy Easy Dynamics jest faktycznym standardem: wystarczy przeciągnąć plik do przeglądarki, aby poruszać się po katalogu, SSP lub wynikach oceny. Całe przetwarzanie odbywa się lokalnie w przeglądarce i nic nie jest wysyłane. Społeczność rozwija wokół niego dokumentację i rejestry, takie jak OSCAL Hub, które umożliwiają otwieranie opublikowanych dokumentów bezpośrednio w przeglądarce.

• Siła: natychmiast zrozumiała, bez instalacji, bez przesyłania danych
• Limit: przeglądający są celowo tylko do odczytu – nie możesz niczego zmienić
• Użyj go do: recenzji, ocen dostawców, szybkiego zrozumienia nieznanych dokumentów

Walidatory: sprawdzaj wcześniej, zamiast popełniać błędy za późno

Zanim dokument OSCAL trafi do systemu docelowego, należy go sprawdzić. NIST udostępnia oscal-cli, narzędzie wiersza poleceń zbudowane na platformie Metaschema, które obsługuje sprawdzanie poprawności schematu oraz konwersję formatu.

Aby szybko sprawdzić bez instalowania czegokolwiek, zbudowaliśmy plik Walidator Secani OSCAL: sprawdź poprawność OSCAL 1.2 JSON względem oficjalnych schematów NIST bezpośrednio w przeglądarce, z czytelnymi komunikatami o błędach i bez konieczności opuszczania dokumentu przez komputer. Jedno ważne rozróżnienie: podstawą jest walidacja schematu. To, czy dokument jest również kompletny pod względem merytorycznym – na przykład spełnia wszystkie obowiązkowe treści programu takiego jak FedRAMP – to odrębny, bardziej rygorystyczny poziom kontroli.

• Walidacja schematu: czy dokument jest strukturalnie ważny OSCAL?
• Walidacja ograniczeń: czy spełnia dodatkowe zasady programu?
• Ogólna zasada: włącz oba elementy tak wcześnie, jak to możliwe

Biblioteki i interfejsy CLI dla własnych potoków

Jeśli chcesz zintegrować OSCAL z CI/CD rurociągów lub własnych produktów, sięgasz po biblioteki. IBM utrzymuje platformę zgodności – platformę Pythona, która traktuje artefakty zgodności jak kod i osadza je w przepływach pracy Git. Defense Unicorns buduje Lula, narzędzie, które wykorzystuje definicje komponentów do automatycznego sprawdzania poprawności kontroli w środowiskach takich jak Kubernetes. GovReady-Q ​​łączy kwestionariusze z importem i eksportem OSCAL.

Dla zespołów TypeScript budujemy secani/oscal: otwarta biblioteka do ładowania, sprawdzania poprawności i przekształcania dokumentów OSCAL we wszystkich ośmiu typach modeli – na tym samym fundamencie, na którym działa nasz walidator i nasza platforma.

Platformy: OSCAL w codziennej pracy

Na szczycie znajdują się platformy, które nie tylko importują OSCAL, ale także organizują w nim pracę. Na rynku amerykańskim widoczne są RegScale i Paramify, oba mocno zorientowane na pakiety FedRAMP. Z kolei wiele klasycznych pakietów GRC oferuje co najwyżej eksport – tam OSCAL jest dodatkiem, a nie podstawą.

Jak rozpoznać dobre narzędzie OSCAL

Niezależnie od kategorii, cztery pytania dobrze nam się przydały. Oddzielają narzędzia, które poważnie traktują OSCAL, od narzędzi, które jedynie zaznaczają pole.

• Czy wszystkie dane – łącznie z właściwościami, przestrzeniami nazw i rozszerzeniami – zostały zachowane, czy też szczegóły zostały utracone podczas importu?
• Czy dokument przetrwa cały cykl importu i eksportu bez cichej utraty danych?
• Czy obecne wersje OSCAL są obsługiwane, a aktualizacje wersji są obsługiwane w sposób przejrzysty?
• Czy potrafisz prześledzić, skąd wzięła się każda zmiana – zwłaszcza gdy w grę wchodzi sztuczna inteligencja?

Ekosystem rozwija się w szybkim tempie, napędzany przez FedRAMP w USA i BSI w Niemczech. Dobry moment na uporządkowanie własnego zestawu narzędzi – zaczynając od a zatwierdzony dokument.