Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

RACI для SCA OSA процесса

Назначение Распределяет ответственность по шагам регламента SCA/OSA между ролями: кто исполняет (R), кто отвечает за результат (A), с кем согласуют (C), кого информируют (I). Снимает спор «чья это задача» до старта релиза.

Когда применяется

При запуске процесса на новом продукте, при найме/смене ответственного, при разборе инцидента «никто не сделал шаг». Матрица заполняется один раз на продукт и пересматривается при изменении ролей.

Легенда RACI

Код Значение
R Responsible — выполняет работу
A Accountable — единолично отвечает за результат (один на строку)
C Consulted — даёт экспертизу до решения
I Informed — уведомляется о результате

Роли

Матрица роль × задача

Шаг регламента DEV REL SCA SEC LEG AUD OWN
1. Приёмка и фиксация входа R A C I — I I
2. Генерация/получение SBOM (+ build evidence) R C A I — I —
3. Контроль качества SBOM C I A/R I I C —
4. Идентификация компонентов C — A/R C C I —
5. Обогащение фактами (генератор фактов) — I A/R C C I —
6. Анализ уязвимостей (VDR/VEX) C I R A I C I
7. Анализ лицензий I — R I A C I
8. Триаж и решения по рискам C C R C C A I
9. Релизный gate (вердикт) I R C C C A I
10. Журналирование и audit trail I C R C I A I
11. Мониторинг в продуктиве I I R C I A A
Исключение / принятие риска C I C C C R A

Правило одного A В каждой строке ровно один A. Если за шаг «никто не A» — шаг выпадает; если «двое A» — конфликт ответственности. Проверять при заполнении.

Связь с курсом