OpenSCAP ist eine Sammlung quelloffener Werkzeuge, die das Security Content Automation Protocol (SCAP) umsetzen, einen Standard des NIST zur Beschreibung und Prüfung von Sicherheitskonfigurationen und Schwachstellen. Enthalten sind ein Scanner, eine Bibliothek und Kommandozeilenprogramme, mit denen Systeme gegen Sicherheitsbaselines wie Härtungs- und Compliance-Vorgaben geprüft werden. Administratoren betreiben die Werkzeuge auf eigenen Linux-Systemen und Servern. Sie sind für wiederholbare und nachprüfbare Konfigurationskontrollen gedacht.
OpenSCAP wurde von Red Hat als quelloffenes Community-Projekt gestartet. Red Hat hat seinen Hauptsitz in Raleigh, North Carolina, und ist eine Tochtergesellschaft von IBM. Das Projekt steht unter der LGPL-2.1-Lizenz und wird auf GitHub entwickelt, mit einer öffentlichen Mailingliste für Mitwirkende. Da der Anbieter keinen Cloud-Dienst betreibt, bleiben Scanergebnisse auf den eigenen Systemen der Organisation. Europäische Organisationen können die Werkzeuge daher prüfen und betreiben, ohne von einem in den USA gehosteten Dienst abhängig zu sein; Entwicklung und Support bleiben jedoch an einen US-amerikanischen Sponsor gebunden.