Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Практическая работа: калибровка оценивания

Эта работа выполняется преподавателями (экзаменационной парой), а не слушателями. Задача — научиться ставить одинаковые баллы за одинаковые работы, прогнав рубрику на одном билете и одном фрагменте проекта до того, как начнётся реальная аттестация.

Цель

Получить расхождение между двумя экзаменаторами не более одного блока рубрики (то есть не более 20 баллов суммарно) на общем эталонном примере.

Что понадобится

рубрика и состав сдачи из Итогового проекта;
один билет, например Билет 01, с критериями ответа;
два заранее подготовленных артефакта: «сильный» и «слабый» вариант ответа на практический вопрос билета (можно взять работу прошлого потока с обезличенными данными);
оценочный лист на 6 строк рубрики.

Порядок выполнения

Зафиксируйте шкалу. Выпишите 6 блоков и их веса: полнота процесса и ролей (20), качество архитектуры (20), учёт C/C++ legacy и сборочного контекста (20), лицензионный workflow (15), уязвимости/БДУ/VDR/VEX и readiness (15), нормативная трассировка и evidence (10).
Договоритесь о пяти обязательных элементах ответа из критериев билета: источник факта, инструмент проверки, владелец решения, нормативная опора, evidence. Их отсутствие снимает баллы независимо от красоты доклада.
Оцените независимо. Каждый экзаменатор отдельно проставляет баллы по обоим артефактам, не сверяясь с коллегой.
Сверьте и разберите расхождения. По каждому блоку, где разница больше 5 баллов, найдите формулировку в рубрике, которая снимает спор; при необходимости уточните якорь блока («что считаем за полный учёт статической линковки» — отсыл к П23).
Прорепетируйте затруднение. Возьмите «слабый» артефакт с пустым списком CVE и определите, дефект ли это данных (нет PURL/CPE, см. П24) или реальная безопасность; зафиксируйте, как это влияет на блок readiness.

Ожидаемый результат

два заполненных оценочных листа с совпадающей интерпретацией каждого блока;
короткая памятка-якорь: что считаем минимально достаточным по каждому из 6 блоков;
список 2–3 спорных мест, согласованных перед реальной аттестацией.

Критерий зачёта

Покажите эксперту-куратору: оба оценочных листа по эталонному примеру расходятся не более чем на один блок (≤20 баллов суммарно), и есть письменный якорь по каждому блоку. Это и есть готовность пары к проведению аттестации по П36 и П29.

Типовое расхождение Один экзаменатор ставит 20/20 за архитектуру «красивой схемы», второй — 12/20, потому что в схеме нет controlled repository и owner-ролей. Калибровка фиксирует: без RACI и владельцев процесс неполон (RACI для SCA/OSA).