Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Шаблон отчета по компоненту
Назначение
Точечная оценка одной библиотеки в контексте конкретной поставки/релиза с фиксацией вердикта: разрешено, блокировано, доработка или риск принят. В отличие от паспорта (идентичность компонента), отчёт фиксирует решение на дату и доказательства, на которых оно построено.
Когда применяется
Формируется при оценке компонента в ходе приёмки поставки — когда по конкретной версии нужно принять решение (новая уязвимость, спорная лицензия, неподтверждённые координаты). Один компонент → много отчётов во времени; каждый ссылается на свой паспорт.
Карточка отчёта
| Поле | Значение |
|---|---|
Компонент (purl) |
pkg:.../...@... |
| Паспорт | Паспорт open source библиотеки (ссылка на конкретный) |
| Поставка / релиз | продукт, версия, дата |
| Соисполнитель | роль/организация (без ФИО) |
| Дата оценки | |
| Оценщик | роль (без ФИО) |
Факты (что увидели инструменты)
| Аспект | Источник факта | Результат |
|---|---|---|
| Координаты | SBOM / build evidence | purl/cpe подтверждены? |
| Уязвимости | сканер + БДУ ФСТЭК / OSV | список + severity |
| Лицензия | license scan | объявлено / заключено |
| Статус VEX | VDR/VEX поставки | applicable / not affected |
Факт ≠ вердикт Таблица выше — машинные факты (см. П09. VDR и VEX различие факта и решения). Решение ниже принимает человек/политика и обязано иметь автора, дату и срок пересмотра.
Вердикт
| Поле | Значение |
|---|---|
| Решение | ✅ разрешено · 🔴 блокировано · 🟡 доработка · ⚪ риск принят |
| Обоснование | почему именно так |
| Условия / компенсирующие меры | |
| Срок пересмотра | дата (для «риск принят» — обязательно) |
| Ссылка на исключение | П30. Исключения и принятие риска (если применимо) |
Evidence
- [ ] Указаны артефакты-источники (SBOM, build log, license report) и их версии инструментов.
- [ ] Решение трассируемо до версии компонента и даты поставки.
- [ ] Отчёт связан с паспортом и, при блокировке, с записью в Реестр unresolved libraries или реестре исключений.
Связь с курсом
- Модуль: М06. Уязвимости и VDR/VEX · М14. Политики и исключения
- Практики: П09. VDR и VEX различие факта и решения · П35. VEX triage · П30. Исключения и принятие риска
- Нормативка: БДУ ФСТЭК · NIST SP 800-218 SSDF · ГОСТ Р 56939-2024
- Связанные шаблоны: Паспорт open source библиотеки · Шаблон отчета по соисполнителю · Реестр unresolved libraries