OSCAL能否助力FedRAMP与CMMC合规？

合规不等于安全，但正确的合规实践能够验证并增强安全性。合规验证频率越高，识别漏洞和降低网络风险的能力就越强。

这正是美国国防部（DoD）和联邦风险与授权管理计划（FedRAMP）等政府实体推动市场采用持续合规、持续运营授权（cATO）和合规即代码框架的原因。目标是自动化劳动密集型、易出错且不一致的手动合规流程，以改善结果、减少资源需求并简化评估。

但如何克服长期存在的挑战，如缺乏标准化、集成性、自动化和实时数据？开放安全控制评估语言（OSCAL）成为关键新因素。由NIST和FedRAMP联合开发，并吸收行业“众包”意见，OSCAL提供标准化数据格式来描述和评估网络安全控制，支持实时状态跟踪和自动化报告，持续证明控制措施按预期运行并跟上不断发展的法规。

什么是持续合规？

持续合规是实时验证组织系统和流程是否符合监管标准和内部政策的持续过程。其网络安全态势的“实时视图”帮助企业管理不断变化的网络风险，并更快甚至主动地应对新出现的威胁。

推动持续合规的关键流程包括持续监控、按需文档编制、定期审计以及POA&Ms或战略路线图，以推进网络安全计划并解决漏洞。

在当今复杂的IT环境中，监控、文档编制和报告活动必须尽可能自动化。OSCAL通过实现跨文档、报告和审计流程的自动化和动态更新，融入持续合规图景。

持续合规、持续监控和合规即代码有何区别？

持续合规、持续监控和合规即代码都涉及使用自动化维护可证明的强大且合规的网络安全态势。它们的区别在于整体工作中的范围：

• 持续合规是主动确保业务满足监管、合同和内部治理要求的整体战略过程。
• 持续监控是实时跟踪公司网络安全性能和合规性的自动化过程。
• 合规即代码在软件开发生命周期（SDLC）内自动化网络安全合规检查，帮助在软件投入生产前确保代码、基础设施和开发环境本身的安全合规。

持续合规有哪些业务益处？

持续合规不仅降低业务风险，还赋予竞争优势，成为企业可发展的最具战略优势的能力之一。具体益处包括：

• 增强网络安全，因能更高效地识别和缓解安全风险、漏洞。
• 改善对法规、标准和客户要求的合规性，降低违规风险。
• 提高报告和评估效率，节省时间和成本。
• 简化审计准备和内部审计流程，以及第三方风险评估/报告。
• 降低实现合规的人力、其他资源和运营成本。
• 减少违规处罚、客户或市场份额损失、数据泄露损失、声誉损害等潜在繁重或灾难性成本的风险。
• 提升品牌声誉，增强获取新业务（尤其是与大公司合作）的能力，并建立与当前客户和利益相关者的忠诚度。

持续合规和OSCAL如何加强网络安全？

在当今复杂的多云环境中，尝试手动方法实现持续合规不可持续，传统上会导致“偷工减料”和整体结果不佳。这就是为什么美国政府倡导使用OSCAL格式的机器可读数据来简化持续合规并自动化文档、报告和审计。

当然，政府的整体目标不是合规，而是安全。使合规持续化确保您拥有工具和流程，以在持续变化中保持强大的安全性。关键起点是自动化OSCAL格式的机器可读文档，并与监控和审计流程集成。

持续合规工具和OSCAL驱动的自动化加强网络安全的另一种方式是提供实时数据，以评估环境中的漏洞并更好地告知持续改进路线图。快速的合规报告周期还可以支持更好的事件检测和改进的事件响应，从而减少网络安全事件对业务的影响。

FedRAMP和CMMC是否强制要求持续合规？

目前，FedRAMP和国防部的网络安全成熟度模型认证（CMMC）均未强制要求持续合规以获得或维持授权/认证。但两者都需要频繁（例如每月）的漏洞评估、渗透测试和自动扫描，以及定期的网络安全评估。CMMC和FedRAMP还要求及时的事件报告。

简而言之，合规日益被视为不是一次性事件，而是一个具有定期里程碑的持续过程，以跟踪动态需求、构建流程成熟度并推动网络安全态势的持续改进。

OSCAL如何促进持续合规？

如上所述，NIST和FedRAMP倡导OSCAL，因为它通过提供标准化的机器可读数据格式来自动化网络安全控制的文档和审计，显著支持持续合规。

OSCAL帮助推动持续合规的一些具体方式包括：

• 流程自动化以减少人工工作和错误。
• 简化网络安全文档（如SSP）的创建和维护以显示合规性。
• 跨监控、报告和审计工具的数据集成，以简化审计/检查并实现主动风险管理。
• 更自动化的审计过程，得益于标准化的OSCAL数据格式，使报告合规性和评估报告更容易。
• 更好的风险评估、主动风险管理和改进的整体决策，得益于对网络安全控制有效性的极大改善可见性。
• 更简单和可重复的方式来响应供应商风险问卷，并向客户、合作伙伴和其他利益相关者展示网络安全和合规性。
• 提高向多个框架和标准证明合规性的能力。
• 改善服务提供商和美国政府机构之间的自动化、互操作性和数据共享，并有可能在国际上扩展互操作性。

下一步是什么？

有关此主题的更多指导，请收听第150期虚拟CISO播客，嘉宾是Paramify的创始人兼CEO Kenny Scott。