Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Шаблон отчета по соисполнителю
Назначение
Агрегированный отчёт по одному соисполнителю за поставку или период: сводные метрики качества данных по всей поставке, число unresolved, соблюдение SLA доработки, динамика. В отличие от отчёта по компоненту (одна библиотека вглубь), здесь оценивается поставка целиком и сам поставщик.
Когда применяется
Формируется по завершении приёмки поставки и периодически (например, по релизам) для оценки соисполнителя. Используется при пересмотре договорных условий и при эскалации.
Агрегат, а не глубина Этот отчёт суммирует поставку. Детальные решения по отдельным компонентам — в Шаблон отчета по компоненту, нераспознанное — в Реестр unresolved libraries.
Шапка отчёта
| Поле | Значение |
|---|---|
| Соисполнитель | роль/организация (без ФИО) |
| Продукт / релиз | |
| Период / поставка | |
| Дата отчёта | |
| Составил | роль (без ФИО) |
Сводные метрики качества данных
| Метрика | Порог | Факт | Статус |
|---|---|---|---|
| purl coverage | ≥ 95 % | ✅/🟡/🔴 | |
| license coverage | ≥ 90 % | ||
| graph completeness | ≥ 98 % | ||
| unresolved (шт. / %) | ≤ 5 % | ||
| build evidence (C/C++) | присутствует |
Соблюдение обязательств
| Обязательство | По контракту | Факт | Отклонение |
|---|---|---|---|
| SBOM с релизом | да | ||
| Формат и валидность | CycloneDX/SPDX | ||
| Подпись/provenance | да | ||
| SLA доработки замечаний | N дней |
Итоги и тренд
| Поле | Значение |
|---|---|
| Кол-во поставок в периоде | |
| Повторные нарушения | список с категорией |
| Динамика качества | улучшение / стабильно / ухудшение |
| Общая оценка соисполнителя | надёжный / требует контроля / проблемный |
Решение и эскалация
- [ ] Замечания доведены до соисполнителя с категорией severity.
- [ ] Систематические нарушения вынесены на пересмотр договорных условий.
- [ ] Принятые риски сослались на П30. Исключения и принятие риска.
Связь с курсом
- Модуль: М10. Много исполнителей · М11. Корпоративный кейс
- Практики: П28. Поставка от нескольких исполнителей · П29. Readiness dashboard · П34. SBOM quality gate
- Нормативка: NIST SP 800-161 Rev.1 · ISO IEC 27001 · Проект ГОСТ Р КАПО
- Связанные шаблоны: Контракт поставки SBOM от соисполнителя · Соглашение о качестве данных SBOM · Шаблон отчета по компоненту