Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
ГОСТ Р 58412-2019
О документе
Что это Национальный стандарт РФ «Защита информации. Разработка безопасного программного обеспечения. Угрозы безопасности информации при разработке программного обеспечения». В отличие от ГОСТ Р 56939 (который говорит, какие меры выполнять), 58412 — это каталог угроз: он перечисляет и описывает, что именно может пойти не так на этапе разработки. Применяется совместно с 56939 и служит входом для моделирования угроз: сначала называем угрозы по 58412, затем подбираем под них меры.
Для курса это «модель угроз» половины про цепочку поставки. SCA/OSA закрывают не абстрактную «безопасность», а конкретные классы угроз из этого стандарта: внедрение уязвимого или вредоносного заимствованного компонента, компрометация среды и инструментов сборки, использование непроверенных внешних зависимостей. Меры под эти угрозы задаёт «зонтичный» ГОСТ Р 56939-2024, а композиционный анализ как отдельную дисциплину — Проект ГОСТ Р КАПО. Карточка нужна, чтобы каждая практика курса (генерация SBOM, контроль приёмки, controlled repository) указывала, какую именно угрозу из 58412 она снижает.
Ключевые требования
Классы угроз, на которые отвечает SCA/OSA - Заимствование уязвимого компонента. В продукт попадает сторонняя/open source библиотека с известной уязвимостью → закрывается инвентаризацией (SBOM/ППК) и сопоставлением с базами уязвимостей. - Внедрение вредоносного компонента. Зависимость содержит закладку/нежелательную функциональность → закрывается контролем происхождения, приёмкой и контролируемым репозиторием. - Компрометация цепочки поставки и среды сборки. Подмена артефакта между сборкой и поставкой → закрывается фиксацией происхождения и целостности (подпись/provenance). - Непрозрачность состава продукта. Неизвестно, из чего собран продукт → сам факт отсутствия достоверного SBOM/ППК является реализуемой угрозой, а не организационной мелочью. - Угроза не равна решению. 58412 описывает угрозы; их недопущение требует мер из 56939 и контролей процесса. Стандарт задаёт «что моделируем», а не «чем закрываем».
Что считать evidence
- Модель угроз проекта, в которой названные угрозы 58412 сопоставлены с конкретными компонентами продукта и применёнными мерами (а не общий шаблон угроз).
- SBOM/ППК как доказательство закрытия угрозы «непрозрачный состав»: продукт перестаёт быть «чёрным ящиком».
- Записи приёмки сторонних компонентов: происхождение, проверка, решение «допущен/заблокирован» (Политика приемки сторонних компонентов).
- Конфигурация controlled repository как мера против неконтролируемого заимствования (Требования к controlled repository).
- Паспорт риска по компоненту, который связывает выявленную угрозу с оценкой и решением (Паспорт риска компонента).
- Provenance/подпись артефактов как доказательство против подмены в цепочке поставки.
Маппинг на практики и шаблоны
| Угроза из 58412 | Чем закрываем (практика/шаблон) |
|---|---|
| Уязвимый заимствованный компонент | П06. Grype поверх готового SBOM · П07. OSV-Scanner и lockfiles |
| Вредоносный/неконтролируемый компонент | Политика приемки сторонних компонентов · Требования к controlled repository · П17. OSA controlled repository policy |
| Подмена в цепочке поставки | П14. Подпись SBOM через Sigstore · П15. SLSA и in-toto provenance |
| Непрозрачный состав продукта | П03. Генерация SBOM через Syft · Минимальный набор полей ППК |
| Оценка и фиксация риска угрозы | Паспорт риска компонента |
| Место в курсе | М01. Термины, угрозы и границы · М08. Защита цепочки поставки и OSA |
Ограничение
Это учебная карточка 58412 — это перечень и описание угроз, а не чек-лист контролей: карточка пересказывает классы угроз для привязки практик курса и не воспроизводит точные формулировки и полный перечень стандарта. Стандарт применяется в связке с ГОСТ Р 56939; моделировать угрозы конкретного продукта нужно по официальному тексту, а не по этому конспекту.