TQI как дополнительный контур

О чём

TQI (Teams & Quality Intelligence) — это аналитика команд и качества кода в разрезе авторов: профили проектов и разработчиков, метрики коммитов/MR, поиск заимствований (дубликатов кода), цикломатическая сложность, ретроспективные карты развития. Предмет проверки здесь двойной: (1) насколько TQI вообще входит в закупаемый контур и в ту же лицензию, что OSA/SCA, и (2) что метрики TQI не являются показателями безопасности и их нельзя смешивать с security-готовностью.

Что подтверждено

TQI оценивался по требованиям, но не по продукту Требования к TQI присутствуют только в расширенной редакции ТЗ (OSA/SCA/TQI/Secrets, §4.4). Основное исследование соответствия CodeScoring построено на базовой редакции ТЗ — OSA/SCA, — и возможности TQI в нём не оценивались. Поэтому ниже зафиксированы требования, а не подтверждённая функциональность продукта.

Что требует расширенная редакция ТЗ от подсистемы TQI (§4.4):

• профили проектов (технический и авторский состав разработки) и профили разработчиков;
• автоматический скоринг схожих разработчиков; поиск активности авторов в Open Source по адресу e-mail;
• поиск заимствований (дубликатов кода) с нечётким поиском — внутри- и кросс-проектные, с привязкой авторства и временем возникновения; языки: Python, Java, Kotlin, Swift, Go, JS, TS, Ruby, PHP, C, C++, C#, Objective-C;
• цикломатическая сложность в разрезе проекта, автора и коммитов;
• ретроспективные карты (история проектов, работа авторов, эволюция сложности) с экспортом в изображение;
• оценка изменений (коммиты/MR-коммиты, авторы по периодам, новизна/рефакторинг) и экспорт табличных данных (CSV);
• интеграция с системами версионирования исходного кода.

Что не подтверждено или ограничено

Соответствие TQI требованиям ТЗ не подтверждено материалами Ни документация, ни демо, ни бюджетная оценка в проанализированных материалах не дают подтверждения по конкретным пунктам §4.4. Любое «CodeScoring это умеет» по TQI на данном этапе — предположение, а не факт из источника.

• Объём лицензии и поставки. TQI может быть отдельным модулем/SKU и отдельной строкой лицензии относительно OSA/SCA на 50 авторов; в материалах это не разделено. Нужно подтвердить, входит ли TQI в ту же поставку.
• Egress персональных данных. Поиск авторов по e-mail в Open Source — исходящий запрос с ПДн разработчиков наружу; отключаемость и допустимость в контуре Организации не зафиксированы, см. Данные которые покидают контур.

TQI — не сигнал безопасности Метрики TQI (авторство, заимствования, цикломатическая сложность) измеряют качество и динамику разработки, а не защищённость цепочки поставки. Их нельзя засчитывать как прохождение security-гейта OSA/SCA и нельзя подменять ими вердикт о готовности к релизу. На пилоте оценивать TQI отдельным треком.

Что проверить на пилоте

TQI: лицензия, демонстрация, границы 1. Входит ли TQI в ту же лицензию и поставку, что OSA/SCA на 50 авторов, или это отдельный модуль/SKU с отдельной стоимостью. 2. Демонстрация ключевых пунктов §4.4 на реальном репозитории: поиск заимствований (внутри/кросс-проектный), цикломатическая сложность по автору и коммиту, ретроспективные карты. 3. Какие данные TQI нужны на входе (доступ к истории git, e-mail авторов) и что сохраняется/выгружается на выходе. 4. Поиск активности по e-mail: уходят ли адреса наружу, можно ли отключить внешний поиск, оставив локальную аналитику. 5. Как разграничить на пилоте оценку TQI (качество разработки) и оценку security-готовности (OSA/SCA), чтобы не смешать метрики (вопрос 9 из чек-листа пилота).

Связь

• Матрица соответствия требованиям OSA SCA — основная матрица построена на OSA/SCA; TQI в ней не оценивался.
• Вопросы для пилота CodeScoring — вопрос 9 (как проверить TQI и не смешать с security readiness).
• Secrets как опциональный контур — второй «дополнительный» контур из расширенной редакции ТЗ.
• Данные которые покидают контур — egress e-mail авторов.
• Критерии Go No-Go после пилота — TQI как отдельный, не блокирующий security-гейт трек.