OSCAL能否帮助实现FedRAMP和CMMC合规？

合规不等于安全，但若执行得当，它可以验证甚至加强安全性。合规性验证越频繁，识别差距和降低网络风险的能力就越强。

这就是为什么美国政府部门如国防部（DoD）和云服务联邦风险与授权管理计划（FedRAMP）正在推动市场走向持续合规、持续运营授权（cATO）和合规即代码框架。目标是自动化劳动密集型、易出错、不一致的手动合规流程，以改善结果、减少资源需求并简化评估。

但如何克服长期存在的挑战，如缺乏标准化、集成、自动化和实时数据？方程中的一个关键新因素是开放安全控制评估语言（OSCAL）。由NIST和FedRAMP与行业“众包”输入共同开发，OSCAL提供标准化数据格式来描述和评估网络安全控制，支持实时状态跟踪和自动化报告，以持续证明控制按预期运行并跟上不断发展的法规。

什么是持续合规？

持续合规是实时验证组织的系统和流程是否符合监管标准和内部政策的持续过程。其网络安全态势的“实时视图”帮助公司管理不断演变的网络风险，并更快甚至主动地应对新出现的威胁。

推动持续合规的关键流程包括持续监控、按需文档、定期审计以及POA&Ms或战略路线图，以推进网络安全计划并解决差距和漏洞。

为了在当今复杂的IT环境中扩展，监控、文档和报告活动必须尽可能自动化。OSCAL在持续合规中的作用是实现在广泛文档、报告和审计流程中的自动化和动态更新。

持续合规、持续监控和合规即代码——有什么区别？

持续合规、持续监控和合规即代码都涉及使用自动化维护可证明的健壮和合规的网络安全态势。它们之间的区别在于在整个工作中的范围：

• 持续合规是主动确保业务满足监管、合同和内部治理要求的整体战略过程。
• 持续监控是实时跟踪公司网络安全性能和合规性的自动化过程。
• 合规即代码在软件开发生命周期（SDLC）内自动化网络合规检查，以帮助在软件用于生产之前使代码、基础设施和开发环境本身安全且合规。

持续合规有哪些业务好处？

持续合规不仅降低业务风险，还赋予竞争优势。这使其成为企业可以开发的最具战略优势的能力之一。持续合规的具体好处包括：

• 由于提高高效识别和缓解安全风险、差距和漏洞的能力，增强网络安全。
• 改善对法规、标准和客户要求的合规性，降低不合规风险。
• 提高报告和评估效率，节省时间和成本。
• 简化审计准备和内部审计流程，以及简化第三方风险评估/报告。
• 减少实现合规的劳动力和其他资源及运营成本。
• 降低不合规处罚、失去客户或市场份额、数据泄露损失、声誉损害和其他潜在繁重或灾难性成本的风险。
• 增强品牌声誉，提高赢得新业务（尤其是与大公司）的能力，并与当前客户和利益相关者建立忠诚度。

持续合规和OSCAL如何加强网络安全？

在当今复杂、多云的环境中尝试手动方法实现持续合规是不可持续的，传统上会导致“偷工减料”和整体结果不佳。这就是为什么美国政府倡导使用OSCAL格式的机器可读数据来简化持续合规并自动化文档、报告和审计。

当然，政府的总体目标不是合规，而是安全。使合规持续化确保您拥有工具和流程来面对持续变化保持健壮的安全性。一个关键的起点是自动化OSCAL格式的机器可读文档，该文档与监控和审计流程集成。

持续合规工具和OSCAL驱动的自动化加强网络安全的另一种方式是提供实时数据以评估环境中的差距，并更好地告知您的持续改进路线图。快速的合规报告周期还可以支持更好的事件检测和改进的事件响应，从而减少网络安全事件对业务的影响。

FedRAMP和CMMC是否强制要求持续合规？

FedRAMP和国防部的网络安全成熟度模型认证（CMMC）目前都不强制要求持续合规以实现或维持授权/认证。但两者都需要频繁（例如每月）漏洞评估、渗透测试和自动化扫描，以及定期网络安全评估。CMMC和FedRAMP也都要求及时事件报告。

简而言之，合规越来越不被视为一次性事件，而是一个具有定期里程碑的持续过程，以跟踪动态需求、构建流程成熟度并推动网络安全态势的持续改进。

OSCAL如何促进持续合规？

如上所述，NIST和FedRAMP倡导OSCAL，因为它通过提供标准化、机器可读的数据格式来自动化网络安全控制的文档和审计，显著支持持续合规。

OSCAL帮助推动持续合规的一些具体方式包括：

• 流程自动化以减少手动工作和错误。
• 简化网络安全文档（例如SSP）的创建和维护以显示合规性。
• 跨监控、报告和审计工具的数据集成以简化审计/检查并实现主动风险管理。
• 由于标准化的OSCAL数据格式，审计过程更加自动化，这使得报告合规性和评估报告都更容易。
• 由于对网络安全控制有效性的可见性大大提高，更好的风险评估、主动风险管理和改进的整体决策。
• 更简单、更可重复的方式来响应供应商风险问卷，并向客户、合作伙伴和其他利益相关者展示网络安全和合规性。
• 提高向多个框架和标准证明合规性的能力。
• 改善服务提供商和美国政府机构之间的自动化、互操作性和数据共享，并有可能在国际上扩展互操作性。

下一步是什么？

有关此主题的更多指导，请收听第150期虚拟CISO播客，嘉宾是Paramify的创始人兼首席执行官Kenny Scott。