Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Карта источников

Разделы исходного обзора

Оглавление
1. Базовые понятия и терминология
1. Форматы SBOM и стандарты обмена
1. Форматы SBOM и стандарты обмена / SPDX (Software Package Data Exchange) 🟢 📄
1. Форматы SBOM и стандарты обмена / CycloneDX 🟢 📄
1. Форматы SBOM и стандарты обмена / SWID (Software Identification Tags) 📄
1. Форматы SBOM и стандарты обмена / Сравнения и конвертация
1. Идентификаторы компонентов и уязвимостей
1. Идентификаторы компонентов и уязвимостей / Package URL (purl) 🟢
1. Идентификаторы компонентов и уязвимостей / CPE (Common Platform Enumeration) 📄
1. Идентификаторы компонентов и уязвимостей / CVE и CWE (MITRE) 📄
1. Open source инструменты: генерация SBOM
1. Open source инструменты: генерация SBOM / Syft (Anchore) 🟢
1. Open source инструменты: генерация SBOM / cdxgen (OWASP / CycloneDX) 🟢
1. Open source инструменты: генерация SBOM / Microsoft SBOM Tool 🟢
1. Open source инструменты: генерация SBOM / Прочие генераторы
1. Open source инструменты: поиск уязвимостей (SCA)
1. Open source инструменты: поиск уязвимостей (SCA) / Grype (Anchore) 🟢
1. Open source инструменты: поиск уязвимостей (SCA) / Trivy (Aqua Security) 🟢
1. Open source инструменты: поиск уязвимостей (SCA) / OSV-Scanner (Google) 🟢
1. Open source инструменты: поиск уязвимостей (SCA) / OWASP Dependency-Check 🟢
1. Open source инструменты: поиск уязвимостей (SCA) / OWASP depscan 🟢
1. Open source инструменты: управление SBOM
1. Open source инструменты: управление SBOM / OWASP Dependency-Track 🟡🟢
1. Open source инструменты: управление SBOM / GUAC (Graph for Understanding Artifact Composition) 🟢
1. Open source инструменты: управление SBOM / protobom / bomctl 🟢
1. Open source инструменты: управление SBOM / Шпаргалка по практикам управления
1. Open source инструменты: лицензионный анализ
1. Open source инструменты: лицензионный анализ / ScanCode Toolkit (AboutCode/nexB) 🟢
1. Open source инструменты: лицензионный анализ / FOSSology (Linux Foundation) 🟢
1. Open source инструменты: лицензионный анализ / OSS Review Toolkit (ORT) 🟢
1. Open source инструменты: лицензионный анализ / Eclipse SW360 🟢
1. Open source инструменты: лицензионный анализ / Дополнительно
1. Целостность и происхождение артефактов (provenance)
1. Целостность и происхождение артефактов (provenance) / SLSA (Supply-chain Levels for Software Artifacts) 🟢 📄
1. Целостность и происхождение артефактов (provenance) / in-toto 🟢
1. Целостность и происхождение артефактов (provenance) / Sigstore 🟢
1. Целостность и происхождение артефактов (provenance) / OpenSSF Scorecard 🟢
1. Целостность и происхождение артефактов (provenance) / Зонтичная организация
1. Коммерческие и индустриальные платформы
1. Базы данных уязвимостей и фиды
1. Базы данных уязвимостей и фиды / Международные
1. Базы данных уязвимостей и фиды / Стандарты обмена уязвимостями/VEX
1. Базы данных уязвимостей и фиды / Российские 🇷🇺
1. Нормативная база: США
1. Нормативная база: США / Executive Order 14028 «Improving the Nation's Cybersecurity» (2021) 📄
1. Нормативная база: США / NIST SP 800-218 — Secure Software Development Framework (SSDF) v1.1 📄
1. Нормативная база: США / NIST SP 800-161 Rev.1 — Cybersecurity Supply Chain Risk Management (C-SCRM) 📄
1. Нормативная база: США / NTIA — The Minimum Elements For an SBOM (2021) 📄
1. Нормативная база: США / CISA — 2025 Minimum Elements for an SBOM 📄
1. Нормативная база: США / Разборы (вторичные, для лекций)
1. Нормативная база: Евросоюз и Германия
1. Нормативная база: Евросоюз и Германия / EU Cyber Resilience Act (CRA) — Regulation (EU) 2024/2847 📄
1. Нормативная база: Евросоюз и Германия / BSI TR-03183 (Германия) 📄
1. Нормативная база: Евросоюз и Германия / Конвергенция требований
1. Открытые стандарты и фреймворки безопасности
1. Российский контекст: РБПО, ГОСТ, ФСТЭК
1. Российский контекст: РБПО, ГОСТ, ФСТЭК / ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного ПО. Общие требования» 🇷🇺 📄
1. Российский контекст: РБПО, ГОСТ, ФСТЭК / Смежные документы и стандарты 🇷🇺 📄
1. Российский контекст: РБПО, ГОСТ, ФСТЭК / Учебные/обзорные материалы РФ
1. CodeScoring — детальный разбор
1. Российские инструменты SCA/OSA
1. Лицензии и лицензионная чистота
1. Лицензии и лицензионная чистота / Каталоги и тексты лицензий
1. Лицензии и лицензионная чистота / Совместимость, обязательства, риски
1. Отраслевые отчёты и статистика заимствований
1. Отраслевые отчёты и статистика заимствований / 📊 Black Duck OSSRA (Open Source Security and Risk Analysis)
1. Отраслевые отчёты и статистика заимствований / 📊 Sonatype — State of the Software Supply Chain
1. Отраслевые отчёты и статистика заимствований / 📊 Прочее
1. Образовательные материалы и курируемые подборки
1. Образовательные материалы и курируемые подборки / Курируемые списки (отличная отправная точка)
1. Образовательные материалы и курируемые подборки / Учебные центры вендоров (концепции, не реклама)
1. Образовательные материалы и курируемые подборки / Шпаргалки и руководства
1. Образовательные материалы и курируемые подборки / Русскоязычные обзоры
1. Как из этого собрать курс

Автоматически разобранные внешние источники

        См. <a href="doc-05c861d927b3.html">Матрица включения источников</a> и карточки в `09 Источники/Внешние источники`.

Синтезированные справки курса

Оглавление справочника
VEX в процессе РБПО: откуда берется и как выпускать — связка CISA VEX, CycloneDX/OpenVEX/CSAF, NIST SSDF и процесса РБПО.

Переработанные внутренние материалы

        См. <a href="doc-57095b911d04.html">Переработанные внутренние материалы</a>. Этот раздел не содержит путей, имен файлов, PDF или персональных данных; он фиксирует только тематические идеи, включенные в курс.