第三方专家如何助力OSCAL技术落地

使用传统方法追踪网络安全合规性就像一场永无止境的上坡战斗，伴随着审计失败的持续焦虑。随着环境复杂度增加、新风险出现以及新法规叠加，这一过程只会更加艰难。

开放安全控制评估语言（OSCAL）通过以结构化、标准化、机器可读的格式表示安全数据，能够帮助更新和自动化整个网络安全合规与评估领域——从创建文档到生成审计报告。这使得原本孤立的主体能够实现电子化通信，甚至跨组织协作。

为了开始现代化其网络安全合规流程，一个常见的选择是在构建内部技能的同时利用第三方OSCAL专业知识。本文概述了这一过程的实现方式。

OSCAL带来哪些技术挑战？

将当前数据集导出/映射到OSCAL格式相对简单。OSCAL投资的巨大回报出现在当您的治理、风险与合规（GRC）系统能够自动摄取和管理OSCAL数据时。这 potentially 为您提供了一个端到端解决方案，可以"自动神奇地"生成和维护网络安全文档，驱动持续合规报告，简化评估，甚至改进风险管理和漏洞管理。

但OSCAL是一种编程语言，而不是一个现成的GRC工具，无法开箱即用地自动化您的网络安全合规体系。独自应对OSCAL需要大量的专业知识。

例如：

• 在当今的多云环境中，为可能数百个网络安全控制构建OSCAL文档，和/或将当前文档转换为OSCAL格式，既复杂又劳动密集型。
• OSCAL可以帮助自动化合规报告中的许多重复性任务，但仍然需要大量需要稀缺技能的手动工作。例如，与不同系统组件相关的控制必须在OSCAL中单独更新。这非常耗时，特别是当单个变更影响文档集的多个部分时。

顾问如何帮助OSCAL采用

为了缩短学习曲线、重建传统流程并最大化自动化，专业供应商现在提供可定制的GRC软件和服务平台，可以帮助服务提供商、美国政府机构等减少采用OSCAL的价值实现时间。这些和其他顾问可以帮助组织理解、实施和自动化OSCAL原生合规流程和文档，帮助简化所有形式的评估并降低整体合规风险。

Paramify创始人兼CEO Kenny Scott解释说：“网络风险管理对公司来说极具挑战性。我们并不试图成为一个处理所有问题的一站式解决方案。我们所做的是帮助专业人士利用现有技术栈构建可靠计划，自动化经理、评估者和客户所需的交付物。在存在差距的地方，我们将他们与优秀的合作伙伴和工具连接起来，以在很短时间内获得优秀的交付物。”

咨询服务可以帮助组织采用OSCAL的一些方式包括：

• 对团队进行OSCAL教育
• 制定路线图，构建符合网络安全和业务需求的OSCAL平台
• 支持使用OSCAL数据模型准确一致地表示其网络安全文档和其他数据，同时注重最大化重用
• 建立基于OSCAL的持续合规系统，报告合规状态并主动检测合规问题
• 准备基于OSCAL的文档，通过确保其完整性和正确性来用于审计目的
• 集成和应用基于OSCAL的工具来自动化合规任务，例如将当前系统安全计划（SSP）文档导入并转换为机器可读格式
• 将当前网络安全工具与OSCAL工具和工作流集成，以自动化合规并优化合规效率
• 将当前风险评估和风险管理流程映射到OSCAL，以帮助自动化文档更新
• 将OSCAL兼容的控制描述映射到适用标准和框架（例如NIST 800-53、NIST 800-171、FedRAMP Moderate、ISO 27001），以支持符合多项法规

开始使用OSCAL的技巧

OSCAL可以帮助您的组织大幅提高合规效率、降低合规成本、改善网络安全状况，并在以合规为中心的市场（如FedRAMP和CMMC）中磨练竞争优势。

如果您正在考虑采用OSCAL，以下是一些入门技巧：

• 评估您当前的合规流程，确定潜在的"快速胜利"，即OSCAL可以用最少的前期努力增加最大价值的领域。示例包括将当前文档映射到OSCAL格式或自动化合规报告以帮助简化审计。
• 调查OSCAL工具市场。成熟的和新兴的GRC供应商正在寻找创新方法，帮助联邦机构、其服务提供商和其他利益相关者使用OSCAL自动化手动合规流程。
• 推荐的方法是通过试点项目积累经验，了解OSCAL、咨询合作伙伴和/或新的OSCAL工具。
• 投资培训并帮助内部团队构建OSCAL技能。

下一步是什么？

有关此主题的更多指导，请收听第150期虚拟CISO播客，嘉宾是Paramify创始人兼CEO Kenny Scott。