Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
М02. SBOM и ППК как машинный источник фактов
Зачем этот модуль
Модуль учит относиться к SBOM и ППК не как к отчёту для галочки, а как к машиночитаемому реестру фактов о составе ПО. Один и тот же файл bom.json может быть либо доказательной базой для решения «выпускать / не выпускать релиз», либо красивой пустышкой без purl, без хэшей и без указания, кто и когда его сгенерировал. Разница — в наличии минимальных элементов (NTIA/CISA) и в дисциплине заполнения.
Сквозная идея модуля — жёсткое разделение трёх слоёв: факт (что зафиксировано в SBOM/ППК) → интерпретация (что это значит после сопоставления с CVE/БДУ, лицензиями, политиками) → решение (вердикт человека или gate). SBOM хранит первый слой и не должен содержать двух других.
SBOM и ППК в этом курсе SBOM — машинная сериализация состава (CycloneDX/SPDX), снимок, который генерирует инструмент на конкретном коммите. ППК — перечень программных компонентов Организации: управляемый, дедуплицированный и обогащённый реестр в контролируемом репозитории, к которому привязаны владельцы, решения и evidence. SBOM — топливо, ППК — учётная система. Они дополняют друг друга, а не заменяют.
Что внутри модуля
- 01 Конспект — минимальные элементы SBOM, слои факт→интерпретация→решение, почему ППК и SBOM дополняют друг друга.
- 02 План занятия — тайминг на 90 минут: теория, демо
jq, разбор «битого» SBOM. - 03 Практическая работа — оценить полноту минимальных элементов в реальном CycloneDX и развести дефекты данных по слоям.
- 04 Контрольные вопросы — вопросы и кейсы на различение факта, интерпретации и решения.
- 05 Что проверять на проекте — чек-лист аудитора по качеству SBOM/ППК.
Карта связей
Куда ведёт дальше
- Форматы: М03. Форматы SBOM — где именно лежат минимальные элементы в CycloneDX и SPDX.
- Идентичность: М04. Идентификаторы — почему без
purl/CPE факт не сопоставляется с уязвимостью. - Генерация: М05. Инструменты генерации SBOM.
- AI-расширение: М16. SBOM for AI и честный SBOM образов.
Практики и нормативка
- Практика: П02. Чтение CycloneDX JSON руками.
- Нормативка: NTIA Minimum Elements for SBOM · CISA Minimum Elements for SBOM · BSI TR-03183-2 v2.1.0 · NIST SP 800-218 SSDF · ГОСТ Р 56939-2024 · Проект ГОСТ Р КАПО.
- Шаблоны: Минимальный набор полей ППК · Чек-лист качества CycloneDX · Соглашение о качестве данных SBOM.
Практический результат
Слушатель умеет открыть произвольный CycloneDX JSON, за несколько команд jq оценить, какие минимальные элементы присутствуют, и сформулировать, какие из найденных проблем — дефект инструмента, какие — дефект процесса поставки, а какие вообще не относятся к слою факта.