Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Контрольные вопросы: ориентация и карта решений
Базовый уровень 1. Чем отличается вопрос, на который отвечает SCA, от вопроса, на который отвечает OSA? Дайте по одной формулировке. 2. Назовите четыре «входных вопроса» курса и канонический выходной артефакт для каждого. 3. Почему SBOM не является финальным артефактом, а служит входом для других? Для чего именно он вход? 4. В чём разница между VDR и VEX? Что фиксирует каждый? 5. Что такое readiness-сводка и почему она собирается из нескольких артефактов, а не из одного?
Средний уровень 6. Почему за один артефакт обычно отвечают разные роли: одна порождает его, другая принимает решение? Приведите пример из карты решений. 7. Команда говорит: «У нас всё закрыто, мы прогнали сканер». Какие три уточняющих вопроса вы зададите, чтобы понять, что именно закрыто? 8. Где в vault лежат: машинный факт о составе, решение по уязвимости, юридический вывод, правило допуска извне? Назовите тип артефакта и примерный модуль/практику. 9. Чем «вердикт допуска OSA на входе» отличается от «поиска CVE внутри SBOM»? Почему это не одно и то же действие. 10. Как по Главной карте спланировать «быстрый старт» для команды, которой срочно нужен только состав релиза?
Кейс-задачи 11. Кейс «лицензия». В продукт под проприетарной лицензией затащили компонент с AGPL-3.0. Какой это вопрос (SCA/OSA), какой артефакт должен дать ответ, кто принимает финальное решение и какая практика курса это отрабатывает? 12. Кейс «новая зависимость». Разработчик хочет добавить пакет, которого нет во внутреннем репозитории, прямо из публичного реестра. Это SCA или OSA? Какой артефакт нужен до допуска, что в нём проверяется (происхождение, репутация), куда вести по карте? 13. Кейс «много findings». Сканер выдал 600 уязвимостей по релизу. С какого артефакта начать, как превратить «список findings» в управляемый VDR и чем закрыть незатрагивающие нас CVE? Назовите роль-решателя и практику.
Ориентиры для самопроверки
- На вопросы 1–5 ответ должен опираться на карту решений из конспекта.
- В кейсах 11–13 обязательно называйте и артефакт, и роль-решателя, а не только инструмент.
- Сверьте распределение ролей с RACI для SCA/OSA процесса.