Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Документы поставщика для закупки
О чём
Не функциональная, а закупочная сторона: какие документы и подтверждения поставщик обязан предъявить, чтобы CodeScoring можно было провести через конкурс и заключить договор. Предмет проверки — комплект поставки, лицензионные и коммерческие условия и, отдельно, требования к исполнителю (квалификационные документы участника конкурса). По исследованию соответствия именно требования к исполнителю — одна из пяти зон, которые нельзя считать закрытыми.
Что подтверждено
По бюджетной оценке и опроснику (раздел «Требования к поставке» ТЗ, §7 исследования) подтверждено документально:
| Требование поставки | Факт по материалам | Статус |
|---|---|---|
| Лицензия на 1 год с гарантийным сопровождением | Бюджетная оценка: лицензия на 12 месяцев + расширенное гарантийное сопровождение | ✅ |
| Аналитика на 50 активных авторов | Опросник и бюджетная оценка: 50 активных авторов | ✅ |
| Обновления продукта в течение срока абонентского платежа | Бюджетная оценка: обновления в рамках гарантийного сопровождения | ✅ |
| ПО в Едином реестре российских программ | Указано включение в реестр, запись № 13008; ссылка в бюджетной оценке | ✅ (проверить актуальную карточку при закупке) |
| Дистрибутив + русская документация + лицензионный файл (состав по §3.2 ТЗ) | Поставка содержит ПО, лицензию и сопровождение; русская документация подтверждается российской документацией | ✅ (комплект проверить при приёмке) |
Что не подтверждено или ограничено
Требования к исполнителю не подтверждены ни одним документом ТЗ предъявляет к участнику конкурса жёсткие квалификационные требования. По исследованию соответствия (§8) ни одно из них не подтверждено представленными материалами поставщика. Это закупочный блокер, а не технический риск продукта.
| Требование к исполнителю | Статус по материалам |
|---|---|
| Лицензия ФСТЭК России на техническую защиту конфиденциальной информации, включая мониторинг ИБ | 🔴 Не подтверждено |
| Опыт на рынке услуг ИБ не менее 10 лет | 🔴 Не подтверждено документально |
| Сертифицированная СМК по ISO 9001:2015 | 🔴 Не подтверждено документально |
| Выделенное подразделение по ИБ в структуре компании | 🔴 Не подтверждено документально |
Дополнительно не подтверждены коммерческие условия:
- Возможность докупать пакеты авторов кратно 50 (§7 ТЗ и исследования) — прямого подтверждения в материалах нет.
- Поддержка силами только граждан РФ — это условие фигурирует в расширенной редакции ТЗ (OSA/SCA/TQI/Secrets), его соблюдение поставщиком письменно не зафиксировано.
- On-premise против Offline — ТЗ требует on-premise, опросник заполнен как Offline, бюджетная оценка содержит оба варианта. Это управленческое решение по целевому варианту закупки, см. Offline и on-premise архитектура.
Лицензия ФСТЭК — на исполнителя, а не на продукт Требование ФСТЭК относится к деятельности участника конкурса (мониторинг ИБ / ТЗКИ), а не к сертификации самого ПО. Подтверждать его должен поставщик или дистрибьютор копией действующей лицензии, а не ссылкой на реестр отечественного ПО.
Что проверить на пилоте
Документы, которые надо запросить письменно 1. Действующая лицензия ФСТЭК России (ТЗКИ / мониторинг ИБ) — копия с реквизитами и сроком действия. Если её нет у вендора напрямую — кто из дистрибьюторов/интеграторов выступает исполнителем и имеет ли он лицензию. 2. Подтверждение опыта работы на рынке ИБ ≥ 10 лет и наличия выделенного ИБ-подразделения (выписки, штатная структура). 3. Сертификат ISO 9001:2015 (с областью сертификации, покрывающей разработку/поддержку ПО). 4. Актуальная карточка Единого реестра российских программ (запись № 13008) на дату закупки. 5. Письменное подтверждение возможности докупать авторские пакеты кратно 50 и условий продления абонентского платежа. 6. Точный комплект поставки и условие «поддержка силами только граждан РФ» — зафиксировать в договоре/SLA.
Связь
- Матрица соответствия требованиям OSA SCA — §7–8 матрицы: поставка и требования к исполнителю.
- Вопросы для пилота CodeScoring — вопрос 8 (документы поставщика).
- Offline и on-premise архитектура — выбор целевого варианта поставки.
- Критерии Go No-Go после пилота — закупочные блокеры как часть No-Go.
- Чек-лист ZIP поставки · Матрица соответствия требованиям — приёмка комплекта и evidence.