Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Политика приемки сторонних компонентов

Назначение

Правила и пороги, по которым сторонний компонент (open source или от соисполнителя) допускается в продукт Организации либо блокируется. Задаёт обязательные условия приёмки, числовые пороги качества данных и допустимые исходы решения.

Когда применяется

При любом включении нового стороннего компонента или новой его версии в продукт: при приёмке поставки, при добавлении зависимости разработчиком, при обновлении версии. Реализуется как gate (см. П34. SBOM quality gate).

Базовый принцип Компонент по умолчанию не разрешён, пока не прошёл проверки. Невозможность распознать координаты или лицензию — это не «пропустить», а worklist (см. Реестр unresolved libraries).

Правило 1. Обязательные условия (hard gate)

Компонент не принимается, если нарушено хотя бы одно: - Нет валидного SBOM-описания (CycloneDX/SPDX) с координатами. - Нет purl и нет обоснования его отсутствия. - Лицензия относится к запрещённому классу по П26. Лицензионная классификация. - Для C/C++ отсутствует build evidence (см. П19. C C++ make build inventory). - Есть неустранённая уязвимость уровня Critical без принятого риска.

Правило 2. Пороги качества данных

Метрика Порог приёмки Действие при нарушении
purl coverage ≥ 95 % доработка поставки
license coverage ≥ 90 % юридический разбор
unresolved компоненты ≤ 5 % и все в реестре worklist, не блок
Critical уязвимости 0 без принятого риска блок
High уязвимости по VEX-триажу оценка по компоненту

Правило 3. Допустимые исходы

Исход Условие Кто фиксирует
✅ Разрешено hard gate пройден, пороги выдержаны роль приёмки
🟡 Доработка пробелы в качестве данных, устранимы роль приёмки + соисполнитель
⚪ Риск принят есть отклонение, но обоснованное владелец риска по П30. Исключения и принятие риска
🔴 Блокировано нарушен hard gate роль приёмки

Правило 4. Трассируемость и пересмотр

Связь с курсом