Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Соглашение о качестве данных SBOM
Назначение
Data Quality Agreement (DQA): измеримые требования к качеству поставляемого SBOM — пороги покрытия координат и лицензий, связность графа, допустимая доля unresolved, точность версий. Превращает «SBOM должен быть хорошим» в проверяемые числа и SLA.
Когда применяется
Подписывается вместе с контрактом поставки и применяется при каждой приёмке как набор приёмочных порогов для форматных чек-листов.
Что измеряем Соглашение касается качества данных, а не наличия артефактов (наличие — в контракте). Метрики измеряются автоматически и сверяются с порогами ниже.
Раздел 1. Метрики и пороги
| Метрика | Определение | Порог | Как измеряется |
|---|---|---|---|
| purl coverage | доля компонентов с валидным purl |
≥ 95 % | парсер SBOM |
| license coverage | доля компонентов с лицензией | ≥ 90 % | license scan |
| graph completeness | доля компонентов в связном графе зависимостей | ≥ 98 % | анализ dependencies/relationships |
| version precision | доля компонентов с точной версией (не диапазон/NOASSERTION) |
≥ 95 % | парсер SBOM |
| unresolved share | доля нераспознанных компонентов | ≤ 5 % | сверка с реестром |
| hash coverage (бинарные) | доля бинарных артефактов с hashes/VerificationCode |
≥ 90 % | парсер SBOM |
Раздел 2. Severity нарушений
| Уровень | Что считается | Реакция |
|---|---|---|
| Блокирующее | purl < 90 % ИЛИ невалидная схема | возврат поставки |
| Существенное | покрытие ниже порога, но ≥ critical-минимума | доработка по SLA |
| Незначительное | единичные unresolved, вынесенные в реестр | принимается с worklist |
Раздел 3. SLA доработки
- Блокирующее нарушение устраняется до повторной приёмки (поставка не засчитана).
- Существенное — в согласованный срок (например, N рабочих дней), фиксируется в договоре.
- Повторяющиеся нарушения эскалируются через отчёт по соисполнителю.
Раздел 4. Доказуемость измерений
- [ ] Метрики измеряются воспроизводимым инструментом с фиксированной версией.
- [ ] Результаты измерений сохраняются как evidence (см. Схема хранения исходных артефактов).
- [ ] Порог и факт по каждой метрике переносятся в отчёт приёмки.
Связь с курсом
- Модуль: М02. SBOM и ППК · М13. Нормативная трассировка
- Практики: П34. SBOM quality gate · П24. PURL нормализация и private qualifiers · П28. Поставка от нескольких исполнителей
- Нормативка: OWASP SCVS · CISA Minimum Elements for SBOM · ГОСТ Р 56939-2024
- Связанные шаблоны: Контракт поставки SBOM от соисполнителя · Чек-лист качества CycloneDX · Чек-лист качества SPDX