Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Карта огнестойкости SCA процесса
Назначение Учебно-аналитическая карта, переносящая метафору огнестойкости (несущая способность, целостность, теплоизоляция) на SCA/OSA-процесс: оценивает не «есть ли сканер», а сколько процесс сохраняет управляемость при критическом событии в цепочке поставки. Используется для самооценки зрелости и на занятии по РБПО.
Когда применяется
При самооценке зрелости процесса, на разборе кейса «критическая уязвимость в популярной библиотеке», при защите готовности к РБПО. Заполняется как карта признаков, а не как чек-лист наличия инструментов.
Модель оценки
| Свойство | Как трактовать для SCA/OSA | Проверяемые признаки |
|---|---|---|
| Несущая способность | Процесс выдерживает объём компонентов, исполнителей, сборок и релизов | есть владельцы и SLA, автоматизация, масштабируемый реестр, воспроизводимость сборок |
| Целостность | В сборку не попадают неподтверждённые компоненты и незакрытые риски | controlled repository, SBOM quality gate, license verdict, vulnerability triage, unresolved worklist |
| Теплоизоляция | Процесс ограничивает распространение атаки и сокращает время реакции | reachability, surface control, быстрый выпуск безопасной версии, SCA-to-SOC, временные блокировки на периметре |
Сценарии нагрузки и предел огнестойкости
Оценивайте время удержания управляемости Для каждого сценария — за сколько минут/часов процесс восстанавливает контроль, а не «закрыто ли это в принципе».
| Сценарий («очаг») | Что проверяет | Признак потери огнестойкости |
|---|---|---|
| Критическая CVE в популярной библиотеке | скорость от факта до вердикта и патча | нет способа быстро найти все продукты с компонентом |
| Компрометация контейнерного образа | целостность поставки образов | образ ушёл в прод без честного SBOM |
| Неполный SBOM от соисполнителя | устойчивость к чужому качеству данных | SBOM «дорисовали» вместо возврата |
| malware/protestware в зависимости | целостность входного контура | пакет втянулся в сборку до проверки |
| Просроченная база уязвимостей в offline | свежесть фактов | gate проходит на устаревшей базе |
Учебный приём
Просите слушателей оценивать не «есть ли сканер», а сколько минут/часов процесс сохраняет управляемость при критической уязвимости в популярной библиотеке, компрометации образа или поставке неполного SBOM от соисполнителя. Слабое звено — там, где время реакции не ограничено сверху.
Связь с курсом
- Модули: М08 Защита цепочки поставки и OSA, М16 SBOM for AI и честный SBOM контейнерных образов, М13 Нормативная трассировка и доказательная база.
- Практики: П40. Огнестойкость РБПО и SCA процесс, П37. Контейнерный образ слои секреты и удаленные файлы, П28. Поставка от нескольких исполнителей.
- Нормативка: ГОСТ Р 56939-2024, Проект ГОСТ Р КАПО, NIST SP 800-161 Rev.1.