Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Переработанные внутренние материалы
Назначение
Этот раздел фиксирует, какие идеи были включены в курс из внутренних рабочих материалов. Первичные документы, имена файлов, PDF, презентации, переписки, пути и персональные данные здесь не приводятся. Готовый vault должен оставаться автономным и распространяться без временного архива сырья.
Что включено в курс
| Тематический блок | Как переработано |
|---|---|
| Черновая структура курса | Превращена в модули, практикум, справочник, карты, шаблоны и итоговое оценивание |
| Нормативные материалы по РБПО и композиционному анализу | Включены в карточки стандартов, матрицу evidence, практики по ППК/SBOM, БДУ, VDR/VEX и CI/CD gate |
| Материалы по выбору и пилоту SCA/OSA-инструмента | Превращены в вопросы к поставщику, критерии приемки, Go/No-Go, on-premise/offline требования и проверку C/C++ legacy |
| Опыт генератора SBOM и сервиса аудита | Использован как архитектурный кейс: генератор фактов отдельно от сервиса вердиктов, лицензий, БДУ/VDR и readiness |
| C/C++ legacy без зрелого пакетного менеджера | Усилен отдельный блок про build evidence, статическую линковку, ELF, unresolved libraries, форки, vendored code и поставки от соисполнителей |
| Лицензионная чистота | Включена в workflow detected/concluded license, юридический verdict, реестр исключений, obligations, NOTICE/source offer и risk acceptance |
| Контейнерные образы | Добавлен блок про слои, удаленные секреты, package metadata, обфускацию, binary metadata, provenance и честность SBOM |
| SBOM for AI | Добавлены кластеры metadata, system, models, datasets, infrastructure, security properties и KPI как расширение обычного SBOM |
| Устойчивость процесса РБПО | Добавлена модель несущей способности, целостности и теплоизоляции SCA/OSA процесса |
Правило распространения
При передаче курса наружу достаточно распространять сам vault. Временный архив сырья, исходные PDF, документы, презентации и рабочие файлы не нужны и не должны упоминаться как обязательная часть курса.