O panorama das ferramentas OSCAL

Um ecossistema jovem com categorias claras

Quem pesquisa ferramentas OSCAL pela primeira vez depara-se rapidamente com listas longas: o diretório oficial do NIST, a página de ferramentas da comunidade e coleções selecionadas como a awesome-oscal. Mais útil do que qualquer lista é um mapa simples, porque quase todas as ferramentas se enquadram numa de quatro categorias: visualizar, validar, processar programaticamente ou suportar fluxos de trabalho completos.

Esta visão geral situa as ferramentas mais conhecidas nesse mapa – e é transparente quando nós próprios somos fornecedores. Se o OSCAL é novo para si, comece pela nossa introdução O que é o OSCAL?

Visualizadores: tornar legíveis os documentos OSCAL

A categoria mais madura. O OSCAL Viewer da Easy Dynamics é o padrão de facto: arraste um ficheiro para o navegador, navegue por um catálogo, um SSP ou resultados de avaliação, e está feito. Todo o processamento acontece no navegador e nada é carregado. À sua volta, a comunidade está a construir ofertas de documentação e de registo, como o OSCAL Hub, que permitem abrir documentos publicados diretamente num visualizador.

• Ponto forte: compreensível de imediato, sem instalação, sem transferência de dados
• Limite: os visualizadores são deliberadamente só de leitura – não é possível alterar nada
• Utilize-os para: revisões, avaliações de fornecedores, compreender rapidamente documentos desconhecidos

Validadores: verificar cedo em vez de falhar tarde

Antes de um documento OSCAL seguir para um sistema de destino, deve ser verificado. O NIST disponibiliza o oscal-cli, uma ferramenta de linha de comandos baseada no framework Metaschema que trata tanto da validação de esquemas como da conversão de formatos.

Para uma verificação rápida sem instalar nada, criámos o Secani OSCAL Validator: valide JSON OSCAL 1.2 face aos esquemas oficiais do NIST diretamente no navegador, com mensagens de erro legíveis e sem que o documento alguma vez saia do seu computador. Uma distinção importante: a validação do esquema é a base. Saber se um documento está também completo em substância – por exemplo, se cumpre todos os conteúdos obrigatórios de um programa como o FedRAMP – é uma camada de verificação separada e mais rigorosa.

• Validação do esquema: o documento é OSCAL estruturalmente válido?
• Validação de restrições: cumpre as regras adicionais de um programa?
• Regra prática: trazer ambas tão cedo quanto possível para o fluxo de trabalho

Bibliotecas e CLI para os seus próprios pipelines

Se quiser integrar o OSCAL em pipelines de CI/CD ou nos seus próprios produtos, recorre a bibliotecas. A IBM mantém o compliance-trestle, um framework Python que trata os artefactos de conformidade como código e os integra em fluxos de trabalho Git. A Defense Unicorns desenvolve o Lula, uma ferramenta que utiliza definições de componentes para validar automaticamente controlos em ambientes como o Kubernetes. O GovReady-Q liga questionários à importação e exportação OSCAL.

Para equipas TypeScript, estamos a desenvolver a secani/oscal: uma biblioteca aberta para carregar, validar e transformar documentos OSCAL de todos os oito tipos de modelo – a mesma base sobre a qual funcionam o nosso validador e a nossa plataforma.

Plataformas: o OSCAL nas operações diárias

No topo estão as plataformas que não se limitam a importar OSCAL, mas organizam o trabalho nele. No mercado norte-americano, destacam-se a RegScale e a Paramify, ambas fortemente orientadas para pacotes FedRAMP. Muitas suites GRC clássicas, pelo contrário, oferecem, quando muito, uma exportação – aí, o OSCAL é um acompanhamento, não a base.

Como reconhecer uma boa ferramenta OSCAL

Independentemente da categoria, quatro perguntas têm-nos sido úteis. Separam as ferramentas que levam o OSCAL a sério das que apenas cumprem o requisito no papel.

• Todos os dados são preservados – incluindo props, namespaces e extensões – ou perdem-se pormenores na importação?
• Um documento sobrevive ao ciclo completo de importação e exportação sem perda silenciosa de dados?
• As versões atuais do OSCAL são suportadas e as atualizações de versão são tratadas de forma limpa?
• Consegue rastrear a origem de cada alteração – sobretudo quando há IA envolvida?

O ecossistema está a crescer a um ritmo elevado, impulsionado pelo FedRAMP nos EUA e pelo BSI na Alemanha. É um bom momento para pôr ordem na sua própria cadeia de ferramentas – a começar por um documento validado.