Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
NIST SP 800-161 Rev.1
О документе
Руководство NIST (США) по управлению рисками кибербезопасности в цепочке поставки ПО и систем (C-SCRM, Cybersecurity Supply Chain Risk Management). Редакция Rev. 1 вышла в мае 2022 года и интегрирует требования EO 14028. В отличие от SBOM-перечней, документ работает на уровне всей организации: поставщики, провенанс, контроль на трёх уровнях (предприятие, миссия/бизнес-процесс, операционный/системный) и встраивание C-SCRM в общий риск-менеджмент по NIST RMF. SBOM здесь — один из инструментов прозрачности, а не самоцель.
Ключевые требования
- Трёхуровневая модель C-SCRM: риск-решения принимаются согласованно на уровнях Enterprise, Mission/Business Process и System, с явной передачей требований вниз по цепочке.
- Оценка и проверка поставщиков (supplier assessment): критичность поставщика, его практики безопасной разработки, право на аудит и условия расторжения.
- Провенанс и целостность компонентов: происхождение, контроль изменений, защита от подмены на пути от производителя до сборки.
- Каталог из ~190 контролей C-SCRM как наложение (overlay) на семейства мер NIST SP 800-53; для каждого контроля — уровень применения.
- Непрерывный мониторинг рисков цепочки поставки, а не разовая проверка при закупке.
Что считать evidence
- Реестр поставщиков и соисполнителей с оценкой критичности и результатами проверки их практик (включая поставку SBOM по контракту).
- Портфель SBOM по продуктам и поставщикам (например, в сервисе аудита/вердиктов) с историей версий — доказательство непрерывного мониторинга состава.
- Паспорта риска компонентов и решения по принятию/снижению риска с владельцем и сроком пересмотра.
- Provenance-свидетельства (подписи, аттестации сборки) и контроль целостности артефактов от соисполнителей.
- Договорные требования к поставщикам (право на аудит, обязательство предоставлять SBOM/VEX) как организационный evidence уровня Enterprise.
Маппинг на практики и шаблоны
- П08. Dependency-Track как портфель SBOM — портфель состава и непрерывный мониторинг рисков на уровне System.
- П28. Поставка от нескольких исполнителей и Контракт поставки SBOM от соисполнителя — управление поставщиками и провенансом.
- П30. Исключения и принятие риска, Паспорт риска компонента, Порядок принятия риска — риск-решения и их трассировка.
- Политика приемки сторонних компонентов — критерии входного контроля.
- Модули: Модуль М08 (цепочка поставки и OSA), Модуль М13 (трассировка и evidence).
- Смежно: NIST SP 800-218 SSDF (практики разработки), ISO/IEC 27001 (управление поставщиками).
Ограничение
Это учебная карточка, а не официальный текст. Точные контроли, уровни применения и формулировки сверяйте с оригиналом NIST SP 800-161 Rev. 1 и с действующими регламентами Организации.