Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Паспорт риска компонента

Назначение

Паспорт риска — карточка одной уязвимости в одном компоненте: что нашли, насколько это опасно в продукте, какое решение принято, кто issuer/владелец и когда пересматривать. Это первичный артефакт, на который ссылаются реестр исключений и решение о принятии риска.

Когда применяется

Карточка риска

Поле Значение
Компонент имя библиотеки/пакета
Версия (PURL) pkg:<eco>/<name>@<version>
CVE / БДУ идентификатор(ы) уязвимости
CVSS базовый вектор и оценка (v3.1/v4.0)
Severity Critical / High / Medium / Low
EPSS / KEV вероятность эксплуатации / наличие в CISA KEV
Применимость (VEX) affected / not_affected / under_investigation + обоснование
Issuer VEX роль/подразделение, выпустившее решение для версии продукта
Сценарий эксплуатации как достижима в продуктовой конфигурации
Решение устранить / митигировать / риск принят / заменить
Компенсирующие меры контроль, снижающий вероятность/ущерб + evidence
Владелец роль/ответственный (без конкретных ФИО)
Срок устранения / пересмотра дата по SLA или по принятию риска
Статус открыт / митигирован / принят риск / закрыт
Evidence ссылки на VDR/VEX из сервиса аудита/вердиктов, SBOM/ППК, build/reachability evidence, upstream advisory/VEX, протокол ретеста

Заполненный фрагмент Компонент: lib-foo; Версия: pkg:npm/lib-foo@1.4.2; CVE: CVE-2025-12345 (БДУ:2025-XXXXX); CVSS: 7.5 (AV:N/AC:L/PR:N/UI:N); Severity: High; Применимость: affected — уязвимый парсер вызывается из публичного endpoint; Issuer VEX: Product Security + владелец сервиса; Решение: обновить до 1.4.3; Срок: 2026-07-15; Владелец: дежурный аналитик SCA (роль).

Severity ≠ риск для продукта Базовый CVSS считает «в вакууме». Реальный риск корректируется применимостью (VEX), достижимостью кода и эксплуатируемостью (EPSS/KEV). Паспорт обязан показывать оба значения: базовое и контекстное.

Правила

Связь с курсом