Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Что проверять на проекте: есть ли у команды рабочая карта решений

Это вводный аудит зрелости навигации, не технический. Он отвечает на вопрос: понимает ли команда, с каким вопросом за каким артефактом к кому идти — или просто «гоняет сканеры». Если карты нет, остальные модули будут давать данные, которые никто не умеет интерпретировать.

Чек-лист аудитора

[ ] Команда различает SCA и OSA и может на словах сказать, какой вопрос каждый решает (внутрь vs на вход).
[ ] Для каждого из четырёх вопросов (состав / уязвимости / лицензии / допуск) назван канонический выходной артефакт, а не «отчёт сканера».
[ ] Есть явное соответствие «вопрос → артефакт → роль-решатель» (хотя бы в виде таблицы или RACI), а не только список инструментов.
[ ] У каждого выходного артефакта есть owner-решатель (кто Accountable), а не только исполнитель, который его сгенерировал.
[ ] SBOM/ППК воспринимается как вход для уязвимостей, лицензий и readiness, а не как самоцель.
[ ] Команда отличает VDR (факт) от VEX (решение) и знает, где ведётся каждое.
[ ] Есть понимание, что такое readiness-сводка и кто её подписывает перед поставкой.
[ ] OSA-контроль допуска не подменяется повторным поиском CVE внутри артефакта — это разные действия.
[ ] У сотрудников есть навигация по vault/процессу: где конспект, где практика, где нормативка, где шаблон (или их корпоративные аналоги).
[ ] Выбран маршрут внедрения: что делаем в первую очередь (минимум — состав + затрагивающие CVE), что откладываем.
[ ] Карта решений зафиксирована письменно (регламент/онбординг), а не живёт только в голове одного человека.
[ ] Новый участник по этой карте способен самостоятельно определить, к кому идти со своим вопросом, без личного наставника.

Стоп-сигнал Если на вопрос «какой артефакт должен дать ответ на этот вопрос и кто по нему решает» команда отвечает «ну, мы запустим инструмент» — карты решений нет. Дальше любой технический модуль будет производить данные без адресата и без владельца решения.

С чем сверяться

Распределение ролей и решений: RACI для SCA/OSA процесса
Зонтичный процесс: Регламент композиционного анализа ПО
Итоговая сводка готовности: Шаблон управленческой сводки готовности, П29. Readiness dashboard
Полная траектория и входы в трек: Главная карта