CRML

CRML은 사이버 리스크 모델을 적어 두기 위한 언어이지, 계산하기 위한 언어가 아니다. 이 구분은 중요하다. 이 형식은 시나리오, 입력, 통제 가정, 예상 출력을 기술하고, 실제 계산은 선택한 엔진에 남는다. FAIR 방식의 몬테카를로 구성이든, 베이즈나 QBER 접근이든, 사내 플랫폼이든 상관없다. 선언적 리스크 모델은 그저 텍스트이므로 Git에 둘 수 있고, 검토를 거치고, 몇 달 뒤에도 같은 결과로 다시 실행할 수 있다.

이것이 코드로서의 리스크라는 발상이다. 컴플라이언스와 보안 가정이 버전 관리되는 산출물이 되면, 감사인과 분석가는 무엇을 모델링했고 어떤 파라미터를 썼으며 어떤 데이터가 결과를 뒷받침했는지 볼 수 있다. 아무도 재현할 수 없는 슬라이드 자료와는 큰 차이다.

그러면 이건 누구를 위한 것인가. 주로 설정을 이미 코드로 다루는 팀을 위한 것이다. 선언적 리스크 모델은 버전 관리에 넣어 둘 때만 값을 한다. 아니면 그냥 넘기면 된다.

지금 가장 큰 한계는 성숙도다. 이 프로젝트는 스스로를 활발히 개발 중인 초안이라고 부르므로 형식과 도구가 버전 사이에서 바뀔 수 있고, 그 위에 무언가를 만드는 사람은 변화를 각오해야 한다. 이는 실제 비용이다. 그래도 범위는 좁고 핵심 발상은 버틴다.

시작하기

1. Python 3를 설치한 뒤 PyPI에서 pip install crml-lang과 pip install crml-engine으로 패키지를 추가한다.
2. 리스크 모델, 텔레메트리 매핑, 출력 요건을 기술한 시나리오 문서를 YAML이나 JSON으로 작성한다.
3. 함께 제공되는 JSON 스키마로 검증한다. 예를 들어 crml-lang의 validate 헬퍼로 파일을 불러오면 된다.
4. 여러 시나리오가 공유 pack을 참조하면 포트폴리오를 묶어 자족적인 산출물 하나를 만든다.
5. 계획을 정량화 엔진에 넘기거나 crml-engine의 결정적 파이프라인 단계로 실행한다.