Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Минимальный набор полей ППК

Назначение

Спецификация обязательных полей записи перечня программных компонентов (ППК) — долговечного учётного слоя Организации, дедуплицированного по purl. Задаёт минимум, без которого компонент не считается учтённым: координаты, лицензия, владелец, статусы. Это эталон полей, а не заполненная карточка.

Когда применяется

При проектировании структуры ППК и при приёмке: каждая запись ППК (и каждый SBOM-компонент, попадающий в ППК) проверяется на наличие этих полей. Опирается на минимальные элементы SBOM (см. NTIA Minimum Elements for SBOM, CISA Minimum Elements for SBOM).

ППК ≠ SBOM SBOM — одноразовый снимок сборки. ППК — долговечный реестр Организации: дедупликация по purl, владельцы, юридические вердикты, статусы уязвимостей, история решений (см. М02). Минимум ниже шире минимума SBOM на учётный слой.

Обязательные поля

Поле Обязательно Источник Назначение
purl (ключ дедупликации) да SBOM / порядок идентификации уникальный учётный ключ
Имя компонента да SBOM человекочитаемая идентификация
Версия да SBOM точная, не диапазон
cpe / alias где применимо alias worklist сопоставление с уязвимостями
Поставщик/апстрим да SBOM / паспорт происхождение
Лицензия (declared) да license scan юридический вход
Лицензия (concluded) да юр. заключение юридический вердикт
Тип линковки для C/C++ build evidence слепые зоны статической линковки
Владелец компонента да учётная модель роль/команда, без ФИО
Статус уязвимостей да портфель/VEX актуальное состояние
Решение/вердикт да политика приёмки разрешён/риск/блок
Срок пересмотра для исключений реестр исключений нет бессрочных
Ссылка на evidence да хранилище трассируемость

Правила минимума

Происхождение требований

Источник минимума Что берём
NTIA Minimum Elements for SBOM базовые data fields (supplier, name, version, ids, dependency)
CISA Minimum Elements for SBOM актуализация минимальных элементов
Проект ГОСТ Р КАПО модель ППК в контролируемом репозитории

Связь с курсом