La CAM configuration du workflow vous permet de configurer des workflows et des cadres de travail personnalisés au lieu de restreindre les opérations au cadre de travail du National Institute of Standards and Technology (NIST). Cette flexibilité vous permet de vous adapter CAM à vos besoins spécifiques en matière de conformité et d’autorisation.

Auparavant, CAM il maintenait un lien étroit avec le cadre du NIST et son processus en sept étapes : Préparer, Catégoriser, Sélectionner, Implémenter, Évaluer, Autoriser et Surveiller. La configuration du workflow se dissocie CAM de ce cadre de travail unique, ce qui vous permet de créer et de mapper des workflows personnalisés aux packages d’autorisation et aux limites.

La configuration utilise les enregistrements de packages d’autorisations existants et ajoute des modèles d’état flexibles qui peuvent être mappés à différents workflows. Cette approche maintient la rétrocompatibilité tout en permettant la prise en charge de plusieurs workflows.

Configuration du workflow

Une configuration de workflow définit le workflow, le cadre de travail, la réglementation et ses versions, impacts et règles d’affichage associés. CAM fournit la configuration de workflow NIST, mais vous pouvez créer des workflows supplémentaires pour d’autres cadres de travail tels que le cadre de travail de politique de sécurité protectrice (PSPF) ou des cadres de travail internes personnalisés.

Chaque configuration de workflow comprend :

• Versions : différentes révisions du workflow (par exemple, NIST Rév. 4 et Rév. 5)
• Impacts sur le workflow : niveaux d’impact utilisés pour filtrer les objectifs de contrôle (par exemple, faible, modéré, élevé)
• Règles des vues : vues personnalisées qui ne s’appliquent qu’à des workflows spécifiques
• Modèle d’état : relie le workflow à un modèle d’état spécifique

Modèle d'état

Un modèle d’état définit les étapes, les transitions et les validations d’un workflow. Le modèle d’état est appliqué à la table des packages d’autorisation et contrôle la façon dont les packages se déplacent dans le cycle de vie du workflow.

Les modèles d’état comprennent :

• États du workflow : étapes individuelles dans le cadre de travail (par exemple, Préparer, Catégoriser, Sélectionner)
• Transitions d’états : chemins valides entre les étapes, avec les conditions de validation requises.
• Attributs du modèle d’état : options spéciales telles que les exigences d’approbation ou la génération de rapports. Les attributs du modèle d’état servent à contrôler les fonctionnalités disponibles à des étapes spécifiques du workflow.

Des transitions d'états

Les transitions d’états définissent la manière dont les packages passent d’une étape à une autre. Chaque transition peut inclure des conditions de validation qui doivent être remplies avant de poursuivre.

Exemples de conditions de validation :

• Le champ de limite d’autorisation ne peut pas être vide
• Tous les contrôles de base de référence doivent avoir « Créer des contrôles automatiquement » activé
• Les approbations requises doivent être terminées

Attributs du modèle d’état

Les attributs ajoutent des options spéciales aux états de workflow sans nécessiter de code personnalisé. Les attributs contrôlent des fonctionnalités telles que les exigences d’approbation, la génération de rapports, les actions de liste connexe et la visibilité de la page d’interface utilisateur pour des états de workflow spécifiques.

Pour obtenir la liste complète des attributs disponibles, reportez-vous à la section Ajouter des attributs existants à un état de GRC workflow.

Limitations du workflow

Sans le module d’extension CAM Avancé (app-grc-cont-auth-monitor-advanced), vous pouvez créer deux workflows au maximum (y compris le workflow NIST). L’installation du module d’extension Advanced supprime cette limitation et permet d’innombrables CAM configurations de workflow.

Activation de la configuration du workflow

Le configurateur de workflow n’est disponible que lorsque CAM Workspace est installé. Une propriété système contrôle si les workflows personnalisés sont activés. Pour plus d'informations, consultez Propriétés système de Autorisation et surveillance en continu.

Lorsque vous activez la propriété de configuration du workflow :

• Le système affiche une boîte de dialogue de confirmation expliquant les impacts
• Les packages et les limites existants doivent être migrés pour les associer à des workflows
• La propriété ne peut pas être inactive après l’activation
• Le système s’actualise pour appliquer la nouvelle configuration

Comportement de migration

Lors de la migration des données existantes, CAM affecte automatiquement tous les packages et limites au workflow.

Le processus de migration :

• Identifie tous les packages d’autorisation et les limites sans affectation de workflow
• Les associe à la configuration de workflow NIST par défaut
• Met à jour la page d’accueil pour afficher les onglets spécifiques au workflow
• Active le filtrage et la génération de rapports basés sur le workflow

Exportation et importation OSCAL

Lorsque la propriété de configuration du workflow est activée, l’exportation OSCAL inclut les métadonnées du workflow et du cadre de travail.

Exporter et importer des scénarios

Propriété désactivée (exportation) → Propriété activée (importation)

Les packages importés sont par défaut le workflow NIST, car aucune donnée de workflow n’existe dans l’exportation

Propriété activée (exportation) → Propriété désactivée (importation)

L’importation réussit, mais les packages ne disposent pas de fonctionnalités de workflow

Propriété activée (dans les deux instances)

• Si le workflow existe dans l’instance d’importation : le package utilise ce workflow
• Si le workflow n’existe pas dans l’instance d’importation : L’expérience du package est cassée et doit être corrigée manuellement

Options d’évaluation

Le bouton Envoyer l’évaluation active à la fois les évaluations classiques et les évaluations des risques (lorsque Gestion des risques avancée est installée).

Évaluations classiques

Évaluations de plateforme qui utilisent des types de mesures d’évaluation. Vous devez créer ou modifier des modèles d’évaluation dont la table est définie sur Package d’autorisation.

Évaluations des risques

Évaluations de la méthodologie d’évaluation des risques (RAM) qui évaluent les risques associés aux packages et aux limites. Les évaluations des risques figurent dans une liste connexe distincte sur le formulaire de package.