Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Проект ГОСТ Р КАПО
О документе
Что это Проект национального стандарта, посвящённый композиционному анализу программного обеспечения (КАПО). В отличие от ГОСТ Р 56939-2024 (общая рамка РБПО) и ГОСТ Р 58412-2019 (каталог угроз), это самый «SCA-прямой» документ группы: он целится именно в композиционный анализ как отдельную дисциплину — контролируемый репозиторий, перечень программных компонентов (ППК), порядок внедрения и регулярного применения. Из всей нормативки РФ этот проект ближе всего ложится на ежедневную работу SCA/OSA.
Статус — проект Документ не введён в действие: формулировки, обозначение и состав требований могут измениться до утверждения. В курсе он используется как рабочая модель того, как национальное регулирование оформит композиционный анализ — чтобы практики и шаблоны строились заранее под эту логику, а не переделывались потом. Ссылаться на него как на действующий ГОСТ нельзя.
Практическая ценность проекта для курса: он закрепляет понятия, вокруг которых уже построены практики и шаблоны vault, — контролируемый репозиторий как точка контроля заимствований, ППК как машинный перечень компонентов (по сути роль, которую играет SBOM), и идею регулярности (анализ на каждом релизе, а не разово).
Ключевые требования
Что проект закрепляет как модель (формулировки рабочие, до утверждения) - Контролируемый репозиторий. Заимствованные компоненты проходят через единую контролируемую точку, а не тянутся напрямую из публичных источников. - Перечень программных компонентов (ППК). Состав продукта фиксируется машиночитаемым перечнем — это национальный «сосед» SBOM; в курсе ППК и SBOM используются как взаимозаменяемые на уровне обязательного набора полей. - Порядок внедрения. Композиционный анализ вводится поэтапно (пилот → процесс → встраивание в конвейер), а не объявляется одномоментно. - Регулярное применение. Анализ повторяется на каждом релизе/изменении состава, результат воспроизводим, а не «снят однажды». - Доказуемость. Каждый этап оставляет артефакт (ППК, протокол анализа, решение по компоненту), пригодный для проверки.
Что считать evidence
- Конфигурация и регламент контролируемого репозитория: какие источники разрешены, как компонент в него попадает, кто принимает решение (Требования к controlled repository).
- ППК на релиз с заполненным обязательным набором полей — машинный перечень компонентов, который проверяется автоматически (Минимальный набор полей ППК).
- Протокол пилота инструмента композиционного анализа как доказательство этапа внедрения (Шаблон протокола пилота SCA инструмента).
- Регламент композиционного анализа, фиксирующий регулярность: триггеры запуска, периодичность, ответственных (Регламент композиционного анализа ПО).
- История применения по релизам (а не один снимок), подтверждающая воспроизводимость анализа.
Маппинг на практики и шаблоны
| Объект | Связь |
|---|---|
| Контролируемый репозиторий заимствований | Требования к controlled repository · П17. OSA controlled repository policy · П18. OSA Proxy режимы и ограничения |
| ППК как машинный перечень компонентов | Минимальный набор полей ППК · П03. Генерация SBOM через Syft |
| Этап внедрения (пилот) | Шаблон протокола пилота SCA инструмента · П31. Пилот CodeScoring make CMake qmake |
| Процесс и регулярность анализа | Регламент композиционного анализа ПО |
| Место в курсе | М08. Защита цепочки поставки и OSA |
Ограничение
Это учебная карточка по проекту, а не по стандарту Документ имеет статус проекта: обозначение, состав и формулировки требований не финализированы и могут измениться при утверждении. Любая трассировка к нему — предварительная и должна быть перепроверена после введения стандарта в действие. Не используйте эту карточку как ссылку на действующий нормативный акт; для актуального статуса и текста обращайтесь к публикации регулятора, а не к этому конспекту.