Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Матрица evidence для аудита

Назначение Каталог артефактов-доказательств процесса SCA/OSA: что доказывает каждый артефакт, где он хранится, в каком формате и сколько. В отличие от матрицы соответствия (требование → статус), здесь нет требований — здесь инвентарь самих доказательств, на которые ссылается аудит.

Когда применяется

При подготовке к аудиту/сертификации, при настройке хранения артефактов, при ответе на запрос «покажите доказательство». Одна строка — один тип артефакта, производимый процессом.

Каталог evidence

Артефакт Что доказывает Где хранится Формат Срок хранения Кто производит
SBOM (релизный) Полный состав компонентов релиза Реестр SBOM / артефакт-стор CycloneDX/SPDX JSON срок жизни релиза + 3 года SCA
Build evidence (C/C++) Реальный состав сборки и линковки Реестр сборок логи сборки, граф линковки срок жизни релиза DEV
Coverage-отчёт Полнота идентификации (PURL/CPE) Реестр SBOM JSON/CSV срок жизни релиза SCA
VDR Перечень обнаруженных уязвимостей Сервис аудита/вердиктов CycloneDX VDR релиз + 3 года SEC
VEX Применимость уязвимости и решение с issuer, justification и evidence Сервис аудита/вердиктов CycloneDX/OpenVEX/CSAF релиз + 3 года SEC + Product Security/PSIRT
License scan + заключение Лицензионная чистота Юридический реестр отчёт + Шаблон юридического заключения по лицензии бессрочно (договорная значимость) LEG
Подпись/attestation Целостность и происхождение артефакта Артефакт-стор Sigstore / in-toto срок жизни релиза REL
Релизный вердикт Допуск релиза с обоснованием Сервис аудита/вердиктов запись вердикта релиз + 3 года AUD
Запись об исключении Принятый риск с владельцем и сроком Реестр исключений реестровая запись до закрытия + 1 год AUD
Audit trail (журнал) Кто/когда/что сделал SIEM / журнал append-only лог по Журналирование и audit trail сервис аудита
Gate-отчёт CI Результат прохождения security gate CI-артефакты JSON/HTML срок жизни релиза REL

Разрыв доказательной базы Если артефакт из этой матрицы отсутствует или просрочен, соответствующая строка матрицы соответствия не может стоять в статусе ✅. Аудит проверяет именно наличие и срок хранения, а не «процесс на словах».

Связь с курсом