<div dir="ltr">Several participants in the thread &quot;<span style="font-family:arial,sans-serif;font-size:13px;white-space:nowrap">Re: New report and guide in openscap 1.1.0&quot; </span><div><span style="font-family:arial,sans-serif;font-size:13px;white-space:nowrap">raised concerned over a language </span><span style="font-family:arial,sans-serif;font-size:13px">&quot;The system is not </span><span style="font-family:arial,sans-serif;font-size:13px">compliant!&quot; in the report.</span></div>
<div><span style="font-family:arial,sans-serif;font-size:13px"><br></span></div><div><font face="arial, sans-serif">I agree. &quot;not compliant&quot; ideally should only be done against a policy established by an organization for that system. The assessment and passing of any set of controls != compliance, it is a step toward compliance.</font></div>
<div><font face="arial, sans-serif"><br></font></div><div><span style="font-family:arial,sans-serif">Public profiles are, generally speaking, against *baselines*. </span> <span style="font-family:arial,sans-serif">It would be great if the use of OpenSCAP and SSG inspired/encouraged Departments and Agencies to develop and manage their own profiles that build on top of the baseline profiles. </span></div>
<div><span style="font-family:arial,sans-serif"><br></span></div><div><span style="font-family:arial,sans-serif">For example, if a test is run against a default profile, feedback should emphasize the profile is a default profile and encourage organization to maintain their own organizational profiles. </span></div>
<div><span style="font-family:arial,sans-serif"><br></span></div><div><font face="arial, sans-serif">Imagine if by default OpenSCAP tried to find to an agency&#39;s default repository of profiles. If no agency-defined repository existed, OpenSCAP would communicate it &quot;No agency-specific profiles available. To create agency specific profiles blah, blah...OpenSCAP using default SCAP-Security-Guide baseline profile blah, blah, blah.&quot; This would constantly remind users they should be managing their own set of profiles. </font></div>
<div><font face="arial, sans-serif"><br></font></div><div><font face="arial, sans-serif">Of course, managing drift among agency specific profiles vs the baselines becomes another issue -- but that is something further for OpenSCAP and SSG to assist.</font></div>
<div><font face="arial, sans-serif"><br></font></div><div><font face="arial, sans-serif">Greg Elin</font></div><div><font face="arial, sans-serif"><a href="http://govready.org">http://govready.org</a> - Making FISMA compliance easier for innovators</font></div>
<div><font face="arial, sans-serif"><br></font></div><div><font face="arial, sans-serif">email: <a href="mailto:gregelin@gitmachines.com">gregelin@gitmachines.com</a></font></div><div><font face="arial, sans-serif">phone: 917-304-3488</font></div>
<div><font face="arial, sans-serif"><br></font></div><div><span style="font-family:arial,sans-serif"><br></span></div><div><br></div></div>