Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 15
Теоретический вопрос
Раскройте архитектурное разделение двух контуров: генератор фактов (enrichment-утилита, строит максимально полный CycloneDX из SBOM, ELF-анализа, apt/Conan-метаданных и build evidence) и сервис аудита/вердиктов (принимает артефакты, хранит immutable uploads, ведёт лицензии, уязвимости, мост BDU/VDR, роли и readiness). Почему генератор не должен выносить вердиктов, а сервис — доопределять состав «из воздуха»? Что служит контрактом между контурами и почему это именно machine-readable артефакт, а не общий код или общая БД?
Практический вопрос
Мини-кейс Генератор фактов отдал записи с пониженным confidence (спорные unresolved-библиотеки) в worklist доразметки, не удаляя их. Менеджер предлагает «чтобы readiness был зелёный, пусть генератор просто убирает сомнительное». Объясните, почему это разрушает свойство «факты остаются фактами», и опишите, кто и по какому контуру принимает решение о судьбе спорной записи.
| Аспект | Генератор фактов | Сервис аудита/вердиктов |
|---|---|---|
| Вопрос | «что входит в поставку?» | «можно ли это принять?» |
| Выход | обогащённый CycloneDX | вердикт, исключения, readiness |
| Чего НЕ делает | не выносит вердиктов | не доопределяет состав |
Что должен показать ответ
- Источник факта: обогащённый CycloneDX
bom.jsonот генератора фактов; immutable upload в сервисе вердиктов. - Инструмент: enrichment (ELF/LIEF, apt/Conan, build evidence) на стороне генератора; портфель SBOM и мост BDU/VDR на стороне сервиса.
- Владелец решения: судьба спорной записи, VEX-статус и итоговый readiness — сервис аудита/вердиктов с ответственным issuer продукта, не генератор и не менеджер «ради зелёного статуса».
- Нормативная опора: ГОСТ Р 56939-2024, CycloneDX ECMA-424, NIST SP 800-161 Rev.1.
- Evidence: worklist доразметки с confidence; журнал вердиктов и исключений; для VEX — issuer, justification и evidence по версии продукта.