Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
План занятия: ориентация в курсе и карта решений
Длительность: 90 минут. Формат: вводная лекция + демонстрация навигации + парная практика. Это первое занятие курса — задача не дать инструмент, а дать систему координат.
Цели занятия
- Слушатель различает SCA и OSA как разные вопросы, а не как «два сканера».
- Слушатель по карте решений сопоставляет вопрос → дисциплину → выходной артефакт → роль.
- Слушатель ориентируется в vault: находит конспект, практику, нормативку, шаблон и переходит по
[[...]]. - Слушатель выбирает себе маршрут обучения (быстрый старт или полный трек).
Тайминг и ход
| Мин | Блок | Что делаем |
|---|---|---|
| 0–10 | Вводный кейс | Показываем «сырой» вывод сканера на 800 строк и спрашиваем: какой вопрос мы вообще задали? Подводим к тому, что без вопроса результат бесполезен. |
| 10–30 | Лекция: 4 вопроса и 4 артефакта | Разбираем SCA vs OSA; четыре вопроса (состав / CVE / лицензии / допуск); канонические артефакты (SBOM-ППК, VDR-VEX, юр. заключение, OSA-вердикт) и readiness как сводку. |
| 30–45 | Демо: карта решений | На экране проходим mermaid-дерево из конспекта, для каждой ветки открываем целевой модуль/практику по [[...]]. Показываем устройство vault. |
| 45–50 | Роли и RACI | Кто порождает артефакт и кто по нему решает; почему это разные люди. Открываем RACI. |
| 50–80 | Практика в парах | По шагам из практической работы: пара строит маршрутную таблицу и мини-карту решений для знакомого им продукта. |
| 80–90 | Разбор и маршрут | Несколько пар показывают карту. Каждый помечает свой маршрут обучения. Контрольная точка. |
Контрольная точка
Слушатель устно отвечает на три вопроса: (1) мой запрос — это SCA или OSA? (2) какой артефакт должен лежать на выходе? (3) кто по нему принимает решение? Если на все три отвечает уверенно — ориентация засчитана.
Материалы
- Проектор/экран с открытым vault и Главной картой.
- Пример «сырого» вывода сканера (обезличенный) для вводного кейса.
- Шаблоны: RACI, Сводка готовности.
- Практики для финала: П29, П36.
Темп Не углубляйтесь в инструменты — на демо открывайте модули, но не запускайте утилиты. Цель занятия — навигация, а не первый прогон Syft; для этого есть П03 и М05.