Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
CISA Minimum Elements for SBOM
О документе
Обновление и расширение NTIA-перечня 2021 года, подготовленное CISA (агентство кибербезопасности при Министерстве внутренней безопасности США). Версия 2025 года вышла на публичное обсуждение в августе 2025 (срок комментариев — до 3 октября 2025). Документ переносит «минимальный SBOM» из эпохи первичного внедрения в режим эксплуатации: добавляет поля, которых не хватало для практической верификации (хеш компонента, лицензия), и разводит роли автора SBOM и производителя ПО.
Ключевые требования
- Новые поля данных по сравнению с NTIA: Component Hash (криптографический отпечаток компонента), License (лицензия использования), Tool Name (инструмент генерации), Generation Context (как и когда собран SBOM).
- Разделение ролей SBOM Author и Software Producer: явно различаются тот, кто составил SBOM, и тот, кто произвёл компонент; они могут совпадать, но в цепочке OSS/дистрибуции — нет.
- Уточнённые прежние элементы: версия компонента, производитель ПО, уникальные идентификаторы переформулированы для устранения неоднозначностей NTIA.
- Хеш как якорь целостности: наличие Component Hash превращает SBOM из декларации в проверяемую опись — компонент в поставке можно сверить с записью.
- Сохранение базы NTIA: связи зависимостей, машиночитаемость, генерация на каждую версию остаются обязательными.
Что считать evidence
- SBOM с заполненными
hashes(SHA-256) по компонентам — отчёт о доле компонентов с хешем; результат сверки хешей артефактов поставки с записями SBOM. - Поля
licensesпо компонентам и отчёт о покрытии лицензий (доля компонентов с распознанной лицензией). metadata.tools(Tool Name) и описание контекста генерации: в каком пайплайне, на каком этапе сборки получен SBOM.- Явно различённые
metadata.authors/supplier(SBOM Author) иmetadata.component.supplier/manufacturer(Software Producer). - Подпись SBOM (Sigstore/cosign) как доказательство, что author-поля не подменены после генерации.
Маппинг на практики и шаблоны
- П03. Генерация SBOM через Syft и П34. SBOM quality gate — генерация с хешами и проверка покрытия новых полей.
- П14. Подпись SBOM через Sigstore — целостность и авторство SBOM (Component Hash + подпись).
- П11. ScanCode для лицензий и П26. Лицензионная классификация — заполнение поля License.
- Чек-лист качества CycloneDX, Соглашение о качестве данных SBOM — пороги по хешу/лицензии/инструменту.
- Модули: Модуль М02 (SBOM как источник фактов), Модуль М13 (трассировка и evidence).
- База требований: NTIA Minimum Elements (2021); формат-носитель: CycloneDX.
Ограничение
Это учебная карточка, а не официальный текст. Версия 2025 на момент составления — редакция для публичного обсуждения; финальные формулировки и состав полей сверяйте с актуальной публикацией CISA «2025 Minimum Elements for a Software Bill of Materials (SBOM)».