Pregled orodij OSCAL

Mlad ekosistem z jasnimi kategorijami

Kdor prvič išče orodja OSCAL, hitro naleti na dolge sezname: uradni imenik NIST, stran s skupnostnimi orodji in kurirane zbirke, kot je awesome-oscal. Bolj kot katerikoli seznam pomaga preprost zemljevid, saj skoraj vsako orodje sodi v eno od štirih kategorij: pregledovanje, validacija, programska obdelava ali podpora celovitim potekom dela.

Ta pregled umesti najbolj znana orodja na ta zemljevid – in odkrito pove, kje smo tudi sami ponudnik. Če je OSCAL za vas nov, začnite z našim uvodom Kaj je OSCAL?

Pregledovalniki: dokumenti OSCAL postanejo berljivi

To je najzrelejša kategorija. OSCAL Viewer podjetja Easy Dynamics je dejanski standard: datoteko povlečete v brskalnik, se pomikate po katalogu, SSP ali rezultatih ocene in to je to. Vsa obdelava poteka v brskalniku, nič se ne naloži na strežnik. Okrog njega skupnost gradi dokumentacijske in registrske ponudbe, kot je OSCAL Hub, ki objavljene dokumente odprejo neposredno v pregledovalniku.

• Prednost: takoj razumljivo, brez namestitve, brez prenosa podatkov
• Omejitev: pregledovalniki so namenoma samo za branje – ničesar ne morete spremeniti
• Uporabite jih za: preglede, ocene dobaviteljev, hitro razumevanje neznanih dokumentov

Validatorji: preverite zgodaj, namesto da pozneje spodletite

Preden dokument OSCAL odpotuje v ciljni sistem, ga je treba preveriti. NIST ponuja oscal-cli, orodje ukazne vrstice, zgrajeno na ogrodju Metaschema, ki opravlja tako validacijo sheme kot pretvorbo formatov.

Za hitro preverjanje brez nameščanja smo razvili Secani OSCAL Validator: JSON v OSCAL 1.2 validirate glede na uradne sheme NIST neposredno v brskalniku, z berljivimi sporočili o napakah in brez tega, da bi dokument kdaj zapustil vaš računalnik. Pomembno razlikovanje: validacija sheme je osnova. Ali je dokument tudi vsebinsko popoln – na primer, ali izpolnjuje vso obvezno vsebino programa, kot je FedRAMP –, je ločena, strožja raven preverjanja.

• Validacija sheme: ali je dokument strukturno veljaven OSCAL?
• Validacija omejitev: ali izpolnjuje dodatna pravila programa?
• Pravilo: obe preverjanji vključite v potek dela čim prej

Knjižnice in CLI-ji za lastne cevovode

Če želite OSCAL vključiti v cevovode CI/CD ali v lastne izdelke, posežete po knjižnicah. IBM vzdržuje compliance-trestle, ogrodje v Pythonu, ki artefakte skladnosti obravnava kot kodo in jih vgradi v poteke dela v Gitu. Defense Unicorns razvija Lula, orodje, ki s pomočjo definicij komponent samodejno validira kontrole v okoljih, kot je Kubernetes. GovReady-Q povezuje vprašalnike z uvozom in izvozom OSCAL.

Za ekipe, ki delajo s TypeScriptom, razvijamo secani/oscal: odprto knjižnico za nalaganje, validacijo in pretvarjanje dokumentov OSCAL vseh osmih vrst modelov – na istih temeljih delujeta naš validator in naša platforma.

Platforme: OSCAL v vsakdanjem delovanju

Na vrhu so platforme, ki OSCAL ne le uvažajo, temveč v njem organizirajo delo. Na ameriškem trgu sta vidni RegScale in Paramify, obe močno usmerjeni v pakete FedRAMP. Številni klasični paketi GRC pa v najboljšem primeru ponujajo izvoz – tam je OSCAL priloga, ne temelj.

Kako prepoznati dobro orodje OSCAL

Ne glede na kategorijo so se nam obnesla štiri vprašanja. Ločijo orodja, ki OSCAL jemljejo resno, od orodij, ki le odkljukajo zahtevo.

• Ali se ohranijo vsi podatki – vključno s props, imenskimi prostori in razširitvami – ali se podrobnosti pri uvozu izgubijo?
• Ali dokument preživi krožno pot uvoza in izvoza brez tihe izgube podatkov?
• Ali so podprte aktualne različice OSCAL in ali so nadgradnje različic izvedene čisto?
• Ali lahko izsledite, od kod izvira vsaka sprememba – zlasti kadar je vključena umetna inteligenca?

Ekosistem raste z veliko hitrostjo, poganjata pa ga FedRAMP v ZDA in BSI v Nemčiji. Dober trenutek, da uredite lastno verigo orodij – začenši z validiranim dokumentom.