Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Что проверять на проекте: пилот SCA/OSA-инструмента

Чек-лист аудитора пилота. Каждый пункт проверяется на наблюдаемом артефакте (SBOM, граф, отчёт политики, реестр unresolved, лог блокировки), а не на устном «да».

Матрица и evidence

[ ] Каждое требование ТЗ имеет тип evidence (документация / материалы поставки / устно) и статус по четырёхзначной шкале; нет обязательных требований, закрытых одним лишь устным ответом, и нет финального статуса «в целом соответствует».
[ ] Требования разнесены по режимам продукта (OSA Proxy / плагин репозитория / CLI-агент / IDE); один пакетный менеджер при необходимости фигурирует в двух строках.

C/C++ контур (профиль Организации)

[ ] Build scan выполнен на трёх сборках: make, CMake и отдельно qmake; для каждой есть SBOM и граф зависимостей.
[ ] Зафиксирована доля unresolved/unknown при полном сборочном контексте; есть реестр unresolved с ответственным за доразметку; фактические требования агента (ядро Linux, права eBPF) подтверждены.
[ ] Проверены статическая линковка (.a/.so, stripped binary) и внутренний форк — форк не выдаётся за «оригинальную» библиотеку (различимы версия и патчи), иначе риск компонента занижен.

OSA Proxy и блокировки

[ ] Для каждого обязательного по ТЗ пакетного менеджера проверена фактическая блокировка «плохого» пакета; отдельно по Conan, Conda, RubyGems зафиксирован режим (Proxy или плагин Nexus/JFrog) и факт работы — зона «риск несоответствия» закрыта или вынесена в гарантию.

SBOM, источники, форматы

[ ] SBOM выгружается/загружается в CycloneDX и SPDX (JSON), проверены CSV-выгрузки; reachability для Java/Python/Go проверена, если входит в объём поставки.
[ ] Подтверждены источники уязвимостей (NVD, GitHub Security Advisory, OSS Index, OSV, БДУ ФСТЭК) и работа обновления базы знаний в выбранном (Offline/on-premise) режиме.

Контур, поставка, исполнитель

[ ] Принято решение Offline vs on-premise (целевой вариант один, совпадает с ТЗ); зафиксировано, какие данные покидают контур (метаданные vs исходный код): Данные которые покидают контур.
[ ] Проверены LDAP/AD или OIDC, RBAC, audit-log и выгрузка логов (ELK/Syslog/SIEM), уведомления SMTP/Jira/UI.
[ ] Документы исполнителя (ФСТЭК, ISO 9001:2015, опыт ≥10 лет, ИБ-подразделение) и комплект поставки с русской документацией запрошены и проверены: Документы поставщика для закупки.

Решение

[ ] Сформулированы бинарные Go/No-Go условия, наблюдаемые на артефактах; результат пилота оформлен протоколом: Шаблон протокола пилота SCA инструмента, Критерии Go No-Go после пилота.

Нормативная связка

ГОСТ Р 56939-2024 · NIST SP 800-218 SSDF (PW.4, RV.1) · Проект ГОСТ Р КАПО