Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

SWID

Для чего

SWID (Software Identification Tag, ISO/IEC 19770-2) — XML-тег идентификации установленного ПО, который вендор кладёт в дистрибутив, чтобы инвентаризация и средства управления активами могли однозначно опознать продукт и его версию. В контексте SBOM SWID — это один из идентификаторов компонента, а не контейнер всего SBOM: в CycloneDX он записывается полем swid / swid.tagId, в SPDX — как externalIdentifierType: swid.

Как применяют

SWID-тег — XML-документ корня <SoftwareIdentity> с атрибутами name, version, tagId и вложенным <Entity> (издатель):

<SoftwareIdentity name="OpenSSL" version="3.0.13"
    tagId="org.openssl-openssl-3.0.13"
    xmlns="http://standards.iso.org/iso/19770/-2/2015/schema.xsd">
  <Entity name="OpenSSL Project" role="softwareCreator tagCreator"/>
</SoftwareIdentity>

В SBOM ссылаются не на весь тег, а на его tagId. Так SWID дополняет Package URL (координаты в реестре) и CPE (ключ к NVD) там, где у продукта есть официально выпущенный тег идентификации — обычно у проприетарного и коробочного ПО.

Сильные стороны

Тег выпускает сам издатель ПО — авторитетный, доверенный идентификатор, в отличие от угадываемого CPE.
Стандарт ISO/IEC 19770-2 встроен в практики управления ИТ-активами (SAM).
Несёт издателя и роли (tagCreator, softwareCreator) — полезно для происхождения.

Ограничения

Это идентификатор компонента, а не контейнерный формат SBOM: пытаться хранить в SWID весь состав ПО — ошибка моделирования.
Покрытие низкое: большинство open-source пакетов SWID-тегов не выпускает, для них работают purl/CPE.
Многословный XML, на практике в SBOM попадает лишь tagId, а не полный тег.

Offline / on-premise

Полностью офлайновый: тег физически лежит внутри дистрибутива, его чтение и сопоставление с записью SBOM сети не требуют. Сетевой доступ не нужен ни для выпуска, ни для проверки тега.

Связанные темы

М03 Форматы SBOM · М04 Идентификаторы компонентов и уязвимостей Практики: П02. Чтение CycloneDX JSON руками · П25. CPE alias worklist Смежные карточки: CycloneDX · SPDX · Package URL · CPE