Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Что проверять на проекте: чек-лист аудитора по трассировке

Чек-лист для проверки доказательной базы композиционного анализа. Каждый пункт — проверяемое «да/нет» с указанием, какой артефакт смотреть.

[ ] Матрица трассировки существует и актуальна. Есть живой документ требование → практика → артефакт → владелец → место хранения, а не разовый отчёт. Сверьте дату последнего обновления с датой последнего релиза (шаблон).
[ ] Все пять требований КАПО покрыты строками. Регламент, формирование ППК, контроль/актуализация, анализ на поверхности атаки, корректирующие воздействия — каждому соответствует хотя бы одна строка с артефактом (ГОСТ Р 56939-2024, Проект ГОСТ Р КАПО).
[ ] Каждый артефакт привязан к версии продукта и релизу. Нельзя предъявить SBOM «вообще» — только за конкретный commit/tag. Возьмите случайный релиз и попросите доказать выполнение одного требования за него.
[ ] SBOM конформен по полям BSI §5.2. У самого SBOM заполнены creator и timestamp; у компонентов — name, version, координаты (purl/CPE), distribution licences (BSI TR-03183-2 v2.1.0).
[ ] Версия формата соответствует норме. CycloneDX ≥ 1.6 или SPDX ≥ 3.0.1; устаревшие версии формата не принимаются как актуальный evidence.
[ ] SBOM не содержит сведений об уязвимостях. Блока vulnerabilities в SBOM нет (BSI §8.1.14 — MUST NOT); vuln-данные вынесены в отдельный артефакт.
[ ] Динамическая часть выделена отдельно. Есть VEX/CSAF/VDR, и каждый вердикт ссылается на конкретную версию/purl компонента из SBOM; у VEX указан issuer, evidence и срок пересмотра (VEX в процессе РБПО, П09).
[ ] Класс SBOM соответствует объекту. Для C/C++ — Build SBOM (по линковщику, не Source), для контейнеров — учтены слои (BSI §8.4).
[ ] У каждого артефакта есть владелец (роль, не ФИО) и место хранения. Audit trail централизован и доступен аудитору (Журналирование и audit trail).
[ ] Артефакты воспроизводимы. Для любой строки матрицы описана процедура получить тот же артефакт на следующем релизе; зафиксированы инструмент и его версия.
[ ] Исключения и принятие риска трассируемы. Каждое исключение имеет обоснование, владельца и срок пересмотра (П30).
[ ] Маппинг на стандарты не выдаёт 1:1 за эквивалентность. В матрице явно отмечено, где у требования нет аналога в смежном стандарте; ID практик SSDF помечены как сверяемые с официальным источником.