Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
М13. Нормативная трассировка и доказательная база
Зачем этот модуль
Предыдущие модули учили получать артефакты: SBOM, VDR, license scan, build inventory. М13 отвечает на другой вопрос — чем доказать аудитору, что процесс композиционного анализа действительно выполняется. Здесь мы строим мост от формулировки требования (ГОСТ Р 56939-2024, NIST SSDF, BSI TR-03183-2) к конкретной практике и к машинному артефакту, который этот контроль подтверждает. Результат — матрица требование → практика → артефакт (evidence), по которой можно пройти аудит, а не пересказывать намерения.
Главная идея модуля
Доказательная база держится на разделении статики и динамики: SBOM по BSI TR-03183-2 статичен и НЕ содержит сведений об уязвимостях (§3, §8.1.14), а сведения об уязвимостях динамичны и живут в отдельном артефакте (VEX/CSAF/VDR). Поэтому одной строки «у нас есть SBOM» для аудита недостаточно: каждый контроль требует своего типа evidence с фиксированными атрибутами (дата, версия продукта, инструмент, владелец).
Материалы модуля
- 01 Конспект — связь требование→практика→артефакт, полная матрица маппинга трёх стандартов.
- 02 План занятия — тайминг занятия 90 минут.
- 03 Практическая работа — собрать одну строку матрицы end-to-end и проверить её на воспроизводимость.
- 04 Контрольные вопросы — вопросы и кейсы по трассировке.
- 05 Что проверять на проекте — чек-лист аудитора.
Сжатая матрица (полная — в конспекте)
| Требование КАПО (ГОСТ Р 56939-2024) | NIST SSDF | BSI TR-03183-2 | Артефакт |
|---|---|---|---|
| Регламент КА | PW.4 | — | Регламент КАПО (роли, периодичность) |
| Формирование ППК/SBOM | PS.3.2 | §4, §5.2.1–5.2.2 | CycloneDX 1.6 JSON |
| Контроль и актуализация ППК | RV.1 | §8.1.14 | VDR + журнал анализа |
| Анализ на поверхности атаки | RV.2 | §8.1.14 | VEX/CSAF |
| Корректирующие воздействия | RV.2 | — | Реестр исключений, протокол ретеста |
Связи
- Нормативка: ГОСТ Р 56939-2024 · Проект ГОСТ Р КАПО · NIST SP 800-218 SSDF · BSI TR-03183-2 v2.1.0 · CISA Minimum Elements for SBOM · ISO IEC 27001
- Шаблоны: Матрица evidence для аудита · Журналирование и audit trail · Матрица соответствия требованиям
- Смежные модули: М02 SBOM как источник фактов · М06 VDR/VEX · М09 C/C++ legacy · М14 Политики и исключения
- Практики: П03 · П08 · П09 · П35 · П30