Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Канбан внедрения OSA-SCA процесса

📥 Бэклог

[ ] Утвердить регламент композиционного анализа #процесс
[ ] Описать контракт поставки SBOM для соисполнителей #поставка
[ ] Согласовать политику лицензионной чистоты с юристами #лицензии
[ ] Определить пороги в политике уязвимостей (CVSS, БДУ) #уязвимости
[ ] Закрепить порядок выпуска VEX в регламенте РБПО и релизном evidence #уязвимости
[ ] Выбрать целевой вариант поставки инструмента: on-premise vs offline #codescoring

🚧 В работе

[ ] Поднять стенд WSL2 + Docker #стенд
[ ] Настроить Dependency-Track как портфель SBOM #инструменты
[ ] Пилот инструмента на make/CMake/qmake @{2026-06-25} #codescoring
[ ] Инвентаризация C/C++ legacy без Conan #cpp

🔍 На проверке

[ ] Матрица соответствия CodeScoring — снять открытые статусы 🟡🔴 в ходе пилота @{2026-06-25} #codescoring
[ ] Проверить статическую линковку на реальных сборках #cpp
[ ] Прогнать security gate на тестовом пайплайне #cicd

✅ Готово

[x] Аудит текущего состояния vault (2026-06-17)
[x] Схема метаданных и стиль (служебная заметка автора)
[x] Пересборка матрицы соответствия для пилота
[x] Методическая справка VEX встроена в курс (2026-06-18)