Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Что проверять на проекте
Чек-лист аудитора для двухсервисного конвейера Организации. Цель проверки — убедиться, что контур фактов и контур решений не смешаны, а readiness опирается на свежие данные.
Принцип проверки На каждой стрелке конвейера задавайте три вопроса: кто владелец, какой артефакт это доказывает, и это факт или решение. Если на стрелке встречается и то и другое — граница нарушена.
- [ ] Воспроизводимость обогащения. Повторный запуск
enrich-sbomна том же входе даёт идентичныйbom.json(факт обратим). Зафиксированы версия утилиты, вход и дата. - [ ] Корректное окружение фактов. Обогащение выполнялось в Astra/Debian (
python3-apt,liblief); DEB-маппинг и ELF-анализ реально отработали, а не были пропущены. - [ ] Покрытие после обогащения. У компонентов есть
purl, нормализованные SPDX-лицензии иevidence(в т.ч.binary-analysisдля C/C++). Сырой SBOM в аудит не уходит. - [ ] Чистота контура фактов. Генератор фактов не выносит вердиктов, не фильтрует лицензии и не отбрасывает компоненты по риску.
- [ ] Чистота контура решений. Сервис вердиктов не дописывает и не удаляет компоненты; число компонентов совпадает с обогащённым SBOM.
- [ ] Иммутабельность артефакта. Между обогащением и аудитом
bom.jsonлежит в артефакт-репозитории без правок; есть прослеживаемость версии артефакта. - [ ] Согласованность версий формата. Потребители читают
bom.json(а не удалённый Excel 2.0.0); нет «осиротевших» скриптов на старую команду. - [ ] Связь с VDR. Состав импортирован в Dependency-Track; уязвимости привязаны к конкретным версиям компонентов; VEX/VDR ведётся.
- [ ] Живость фида. Дата последнего обновления фида БДУ/OSV свежая; «0 уязвимостей» подтверждено живым фидом, а не его отсутствием.
- [ ] Подписанные решения. Каждый лицензионный вердикт и принятие риска имеют автора, дату, обоснование и срок пересмотра.
- [ ] Валидность readiness. Статус готовности собран из обоих workflow (юр. + уязв.), а не из одного; видно, что именно блокирует поставку.
- [ ] Разграничение ответственности. В регламенте Организации зафиксированы владельцы каждого контура и точка передачи артефакта между ними.
Связанные шаблоны и нормативка
Чек-лист качества CycloneDX · Порядок загрузки VDR · Шаблон сводки готовности · Порядок принятия риска · SSDF PS.3.2/RV.1 · ГОСТ Р 56939-2024