Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 07
Теоретический вопрос
Зачем в процессе SCA нужен национальный источник уязвимостей БДУ ФСТЭК России наряду с CVE/NVD? Объясните, почему идентификаторы БДУ и CVE — это не дубликаты, а разные системы регистрации, и почему для защищаемого ПО Организации опора только на зарубежные базы — это пробел. Что значит «мост BDU/CVE» и почему его нельзя свести к простому сопоставлению номеров один-к-одному?
Практический вопрос
Мини-кейс Сканер по CVE/NVD дал чистый результат на компонент, но в БДУ ФСТЭК для той же библиотеки есть запись с актуальной угрозой. Опишите порядок: где взять идентификатор БДУ, как сопоставить его с компонентом SBOM, как организовать офлайн-обновление базы в закрытом контуре и куда занести результат, чтобы он попал в вердикт. Почему расхождение CVE и БДУ — это не ошибка сканера, а ожидаемая ситуация?
Что должен показать ответ
- Источник факта: БДУ ФСТЭК как национальный реестр; CVE/NVD как дополняющий, не замещающий источник.
- Инструмент: мост BDU/CVE в портфеле SBOM; офлайн-обновление базы по регламенту.
- Владелец решения: трактовка расхождения CVE↔БДУ и итоговый статус — за сервисом аудита/вердиктов.
- Нормативная опора: БДУ ФСТЭК, ГОСТ Р 56939-2024, NIST SP 800-161 Rev.1.
- Evidence: запись соответствия компонент↔БДУ; порядок обновления БДУ и журнал офлайн-обновления.