Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Итоговый проект
Задание
Спроектировать SCA/OSA процесс для C/C++ legacy-продукта с несколькими исполнителями. Процесс должен покрывать генерацию SBOM/ППК, качество координат, controlled repository, лицензионный workflow, уязвимости, BDU/VDR/VEX, CI/CD gate и готовность релиза.
Состав сдачи
- архитектурная схема;
- регламент поставки артефактов;
- пример SBOM quality checklist;
- license policy;
- vulnerability triage policy с порядком выпуска VEX, issuer, justification, evidence и сроками пересмотра;
- acceptance criteria для пилота инструмента;
- матрица соответствия ГОСТ Р 56939-2024, проекту КАПО, NIST SSDF и BSI TR-03183-2.
Опорная справка для блока уязвимостей: VEX в процессе РБПО.
Критерии оценки
| Блок | Баллы |
|---|---|
| Полнота процесса и ролей | 20 |
| Качество технической архитектуры | 20 |
| Учет C/C++ legacy и сборочного контекста | 20 |
| Лицензионная чистота и юридический workflow | 15 |
| Уязвимости, БДУ, VDR/VEX и readiness | 15 |
| Нормативная трассировка и evidence | 10 |