Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Контрольные вопросы
Уровень 1 — понимание 1. Чем отличается «артефакт» от «evidence»? Какие минимальные атрибуты превращают CycloneDX-файл в доказательство для аудита? 2. Почему по BSI TR-03183-2 SBOM не должен содержать сведений об уязвимостях? Где тогда живёт эта информация? 3. Назовите два обязательных поля самого SBOM по BSI §5.2.1 и три обязательных поля компонента по §5.2.2. 4. Что означает разница MUST / SHOULD / MAY (RFC 2119) применительно к доказательной силе артефакта? Приведите пример SHOULD из BSI.
Уровень 2 — связи 5. Перечислите пять требований КАПО из ГОСТ Р 56939-2024 и сопоставьте каждому артефакт-доказательство. 6. Какой класс SBOM по BSI §8.4 нужен для C/C++ legacy и почему именно он (что именно фиксирует Build SBOM)? 7. Почему маппинг ГОСТ ↔ SSDF ↔ BSI нельзя строить как соответствие 1:1? Приведите требование, у которого нет аналога в BSI, и норму BSI, у которой нет аналога в ГОСТе. 8. Какой практике SSDF соответствует «формирование ППК/SBOM», а какой — «контроль и актуализация ППК»?
Уровень 3 — оценка и применение 9. Аудитор просит доказать выполнение требования «контроль и актуализация ППК» за релиз трёхмесячной давности. Какие два-три артефакта вы предъявите и какие атрибуты в них проверит аудитор? 10. Почему строка матрицы без описанной процедуры воспроизведения не считается зачтённой? Что конкретно ломается при следующем релизе? 11. Чем VDR отличается от VEX как evidence, и почему ни один из них не самодостаточен без SBOM? 12. Цифровая подпись SBOM — нормативное требование (MUST/SHOULD заглавными) или рекомендация из пояснительного приложения BSI? Как отсутствие подписи влияет на конформность SBOM и на его доказательную силу при аудите? В чём разница между этими двумя последствиями?
Кейс-задачи
Кейс A. «Папка с двумя сотнями SBOM» В Организации хранятся 200+ SBOM, но при аудите не удаётся за разумное время сопоставить пункт требования с конкретным файлом за конкретный релиз. Процесс реально работает. Что именно отсутствует в доказательной базе и как это исправить минимальными средствами? Опишите недостающие поля трассировки.
Кейс B. «SBOM с уязвимостями внутри» Инструмент сгенерировал CycloneDX, в котором есть блок
vulnerabilities. Команда считает это плюсом: «всё в одном файле». Почему такой файл не конформен BSI TR-03183-2, какие проблемы это создаёт в цепочке поставки и как перестроить артефакты?Кейс C. «VEX без версии» Соисполнитель прислал VEX-вердикт «уязвимость не применима» для компонента, указанного только по имени, без версии и purl. Можно ли принять этот вердикт как evidence? Что запросить у соисполнителя и на какую норму сослаться?