Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 02
Теоретический вопрос
Почему SBOM (ППК — паспорт программного компонента) — это источник факта о составе, а не вердикт о безопасности? Перечислите минимальные элементы, без которых SBOM не работает как факт (поставщик, имя компонента, версия, уникальный идентификатор, отношения зависимостей, автор записи, метка времени), и объясните, что ломается в приёмке, если хотя бы один из них отсутствует. Чем декларативная полнота SBOM отличается от «решения принять компонент»?
Практический вопрос
Мини-кейс Соисполнитель прислал SBOM, где у трети компонентов нет поля версии, а у половины — нет уникального идентификатора (PURL/CPE). Менеджер требует «поставить зелёный статус, раз уязвимостей не нашли». Объясните, почему отсутствие версий делает результат сканирования недостоверным, и опишите, какой именно элемент ППК нужно довосстановить, чтобы факт стал пригоден для решения.
Что должен показать ответ
- Источник факта: SBOM как машинный артефакт; минимальные элементы по минимальному набору полей ППК.
- Инструмент: проверка заполненности версий, идентификаторов и отношений до прогона сканера.
- Владелец решения: полнота факта — на исполнителе и приёмке; вердикт о допуске — сервис аудита/вердиктов, а не «зелёный статус по требованию менеджера».
- Нормативная опора: CISA Minimum Elements for SBOM, NTIA Minimum Elements for SBOM, ГОСТ Р 56939-2024.
- Evidence: отчёт о заполненности обязательных полей; соглашение о качестве данных SBOM.