Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

OpenSSF Scorecard

О документе

Что это OpenSSF Scorecard — открытый проект и инструмент OpenSSF (Linux Foundation), автоматически вычисляющий сигналы безопасности и зрелости open source-проекта. Это не нормативный документ с требованиями, а метрика приёмки: набор автоматизированных проверок, дающих оценку 0–10 по каждой и агрегированный балл. В курсе Scorecard используется на шаге «брать или не брать компонент», то есть на стороне OSA-приёмки.

Каждая проверка (check) оценивает наблюдаемый сигнал риска: есть ли pinned-зависимости, подписанные релизы, ревью кода, защищённые ветки, отсутствие бинарных артефактов в репозитории и т.п. Результат — машиночитаемый и пригоден для порога в политике приёмки.

Ключевые требования

Scorecard не «требует», он измеряет. Значимые для OSA сигналы: - Сопровождаемость. Maintained — активность сопровождения; заброшенный проект — отдельный риск. - Целостность релизов. Signed-Releases, Pinned-Dependencies — подписаны ли релизы и зафиксированы ли версии зависимостей. - Дисциплина изменений. Code-Review, Branch-Protection — проходят ли изменения ревью и защищены ли ветки. - Чистота артефактов. Binary-Artifacts — нет ли непрозрачных бинарей в репозитории. - Реакция на уязвимости. Vulnerabilities, Security-Policy — наличие открытых уязвимостей и политики раскрытия. - Агрегатный балл как пороговое значение для решения о приёмке (например, не ниже N для критичных компонентов).

Что считать evidence

Артефакты соответствия - JSON-вывод Scorecard по каждому внешнему компоненту с баллами по чекам. - Запись решения о приёмке/отклонении со ссылкой на агрегатный балл и пороги политики. - Паспорт open source-библиотеки с зафиксированными сигналами зрелости на дату приёмки. - Конфигурация controlled repository, отражающая, что приёмка проходит через эти проверки. - Журнал пересмотра балла при обновлении версии компонента.

Маппинг на практики и шаблоны

Приёмка через контролируемый репозиторий: П17. OSA controlled repository policy, П18. OSA Proxy режимы и ограничения.
Решение о приёмке и паспорт компонента: Политика приемки сторонних компонентов, Паспорт open source библиотеки.
Контекст модуля: М08. Защита цепочки поставки и OSA.

Ограничение

Это учебная карточка Карточка описывает Scorecard как метрику приёмки под курс и не воспроизводит официальную документацию проверок. Точный состав чеков, их веса и шкалу для аудита сверять с актуальной версией OpenSSF Scorecard и регламентами Организации.