Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Огнестойкость РБПО через композиционный анализ
Педагогическая модель
Идея "огнестойкости РБПО" полезна как сильная метафора для объяснения процесса. Композиционный анализ проверяет не только наличие сканера, а способность процесса сохранять управляемость под нагрузкой: при большом числе компонентов, поставок, соисполнителей, уязвимостей, легаси и срочных релизов.
Три свойства
| Свойство | Перевод на SCA/OSA |
|---|---|
| Несущая способность | Процесс выдерживает масштаб: много компонентов, версий, исполнителей, build variants, контейнеров, исключений и юридических решений |
| Целостность | В сборку не попадает неподтвержденный или запрещенный состав; контролируются входы, сборки, лицензии, vulnerabilities, unresolved libraries |
| Теплоизолирующая способность | Процесс ограничивает развитие атаки: учитывает reachability, поверхность атаки, быстрый выпуск безопасной версии и SCA-to-SOC |
Как использовать на занятии
Дайте слушателям критический сценарий: обнаружена высокая уязвимость в библиотеке, которая входит в несколько C/C++ сборок, контейнерный образ и поставку соисполнителя. Задача — оценить, сколько времени процесс сохраняет "несущую способность", где нарушается "целостность" и какие меры дают "теплоизоляцию".
Практический вывод
Хороший SCA/OSA процесс не блокирует разработку без необходимости, но и не пропускает неизвестность как норму. Он создает понятный маршрут: обнаружение -> владелец -> evidence -> reachability/impact -> license/security verdict -> исправление, исключение или принятие риска -> retest -> readiness.
Связанные материалы
Карта огнестойкости SCA процесса · П40. Огнестойкость РБПО и SCA процесс · ГОСТ Р 56939-2024 · reachability · SCA-to-SOC