Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
OWASP SAMM
О документе
Что это OWASP SAMM (Software Assurance Maturity Model) — открытая модель зрелости процессов безопасной разработки. Это не чек-лист требований и не формат данных, а инструмент самооценки и дорожной карты: где организация сейчас и как двигаться по уровням зрелости. SAMM измеряет процесс, а не отдельный артефакт, поэтому для SCA/OSA это про управленческую рамку, а не про конкретный SBOM.
Структура SAMM v2 — пять бизнес-функций (Governance, Design, Implementation, Verification, Operations), внутри каждой — практики, у каждой практики — два потока и три уровня зрелости (1–3). SCA/OSA ложится прежде всего в практику управления зависимостями/третьесторонними компонентами и в Operations.
Ключевые требования
SAMM не предъявляет требований — он описывает уровни зрелости. Для SCA значимы:
- Измеримость зрелости. Каждая практика оценивается по уровням 1–3; результат — числовой/уровневый профиль, а не «да/нет».
- Практика управления компонентами. Зрелость от «реагируем разово» (L1) к «инвентаризируем и сканируем системно» (L2) и «управляем по политике с метриками» (L3).
- Покрытие всего жизненного цикла. Зрелость оценивается от governance до operations, а не только в момент сборки.
- Дорожная карта, а не пройдено/не пройдено. Ценность SAMM — в разрыве между текущим и целевым уровнем и плане его закрытия.
- Метрики и периодическая переоценка. Прогресс подтверждается повторной оценкой, а не однократной настройкой инструмента.
Что считать evidence
Артефакты соответствия (зрелость, а не SBOM) - Заполненная карта самооценки SAMM с текущим и целевым уровнем по практике управления компонентами. - Управленческая сводка готовности SCA/OSA-процесса (тренд по релизам, а не снимок одного SBOM). - RACI/распределение ролей как доказательство зрелости governance. - План повышения зрелости (roadmap) и записи периодической переоценки. - SBOM и отчёты сканеров здесь — вход для оценки зрелости, а не сам evidence соответствия SAMM.
Маппинг на практики и шаблоны
- Измерение готовности процесса и тренд: П29. Readiness dashboard.
- Управленческая отчётность по зрелости: Шаблон управленческой сводки готовности.
- Зрелость governance через роли: RACI для SCA OSA процесса.
- Контекст модулей: SAMM полезен как рамка для М13. Нормативная трассировка и М10. Корпоративная модель.
Ограничение
Это учебная карточка Карточка трактует SAMM как модель зрелости под курс и не воспроизводит официальную методику оценки. Точные практики, потоки и критерии уровней для аудита сверять с актуальной редакцией OWASP SAMM и регламентами Организации.