Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Что проверять на проекте: чек-лист эксперта по приемке итоговой работы

Чек-лист для эксперта, принимающего Итоговый проект. Каждый пункт привязан к блоку рубрики и проверяет наличие evidence, а не убедительность доклада.

Состав и полнота сдачи

[ ] Присутствуют все артефакты состава сдачи: архитектурная схема, регламент поставки, SBOM quality checklist, license policy, vulnerability triage policy, acceptance criteria пилота, матрица соответствия.
[ ] Архитектура содержит роли и владельцев (RACI), а не только компоненты — иначе блок «полнота процесса» (20) не закрывается; референс — RACI для SCA/OSA.
[ ] Есть controlled repository и описан режим доступа к внешним источникам (включая offline/прокси-ограничения).

Технические доказательства

[ ] Показан воспроизводимый способ получить SBOM/ППК для релиза: репозиторий, commit/tag, инструмент и его версия, дата анализа.
[ ] Покрыты прямые и транзитивные зависимости; для C/C++ учтена идентичность из сборки и слепая зона статической линковки (П23).
[ ] Координаты доведены до пригодных для сопоставления: PURL для пакетов и CPE для CVE (П24, П25); пустой findings объяснён как дефект данных или как реальная безопасность.

Решения, а не только факты

[ ] Лицензии нормализованы в SPDX и доведены до юридического verdict, а не остановлены на текстовой строке.
[ ] Уязвимости связаны с конкретной версией компонента; разведены VDR и VEX, учтён БДУ ФСТЭК наряду с CVE (П09).
[ ] Есть процедура исключений и принятия риска с автором, обоснованием и сроком пересмотра.
[ ] Готовность релиза выражена измеримо (readiness dashboard / управленческая сводка), а не словом «готово» (П29).

Нормативная трассировка и защита

[ ] Есть матрица соответствия с привязкой к ГОСТ Р 56939-2024, проекту КАПО, NIST SSDF и BSI TR-03183-2.
[ ] На каждом ключевом утверждении защиты предъявлены пять обязательных элементов: источник факта, инструмент проверки, владелец решения, нормативная опора, evidence.

Стоп-критерий приёмки Если работа не предъявляет evidence (откуда факт, кто решил, чем подтверждается при аудите) — блок «Нормативная трассировка и evidence» (10) не закрывается, а итоговая оценка не может быть «отлично», каким бы убедительным ни был доклад.