Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Оглавление справочника
Уязвимости, VDR и VEX
- VEX в процессе РБПО: откуда берется и как выпускать — методическая справка о том, кто выдает VEX, как проходит triage, какие evidence нужны и где хранить VEX в поставке.
- VEX — термин и краткое определение.
- VDR — термин и отличие факта уязвимости от решения о применимости.
- Vulnerability triage — общий процесс обработки findings.
SBOM, ППК и качество состава
- Почему генерация SBOM — это искусство
- SBOM for AI: минимальные элементы
- Контейнерные образы и честность SBOM
- Огнестойкость РБПО через композиционный анализ
Глоссарий
Связь с курсом
Основной учебный вход для VEX — М06. Поиск уязвимостей и управление VDR/VEX. Практическое закрепление: П09 и П35.