Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Offline и on-premise архитектура
О чём
Предмет проверки — вариант поставки и развёртывания: ТЗ (п. 4) требует инсталляцию on-premise, тогда как опросник Организации заполнен как Offline, а бюджетная оценка содержит оба варианта (Offline и Core on-premise). Это не технический разрыв, а управленческое решение: какой вариант считать целевым для закупки. Дополнительно — как обновляется база знаний в offline-контуре и какие требования к серверам.
Что подтверждено
- Технически вариант on-premise существует — подтверждён бюджетной оценкой (Core on-premise) и документацией по требованиям к серверу.
- В бюджетной оценке присутствует и Offline-вариант — то есть оба способа доступны от поставщика.
- Поставка включает лицензию на 12 месяцев, гарантийное сопровождение и обновления продукта в рамках сопровождения; аналитика на 50 активных авторов соответствует ТЗ.
On-premise ≠ Offline On-premise — где работает (внутри контура Организации). Offline — как обновляется база знаний (без прямого выхода в интернет). Их смешение в опроснике и бюджете и создаёт необходимость выбора.
Что не подтверждено или ограничено
- Целевой вариант не выбран. ТЗ говорит on-premise, опросник — Offline, бюджет — оба. До закупки нужно зафиксировать один.
- Регламент обновления базы знаний в offline (источники уязвимостей, частота, способ доставки апдейтов без интернета) не описан в материалах.
- Передача аудит- и сервисных логов во внешние системы (ELK / Syslog / SIEM, требование п. 3.3) подтверждена лишь частично — наличие audit log есть, способ выгрузки всех логов нужно подтвердить архитектурно.
- Возможность докупить пакет авторов кратно 50 (требование п. 4) прямого подтверждения в материалах не имеет.
Управленческая развилка, не баг Несоответствие on-premise/Offline — это не дефект продукта, а несогласованность требований и опросника. Риск в том, что закупка и приёмка будут оценивать разные варианты. Снимается решением Организации до пилота, а не демонстрацией поставщика.
Что проверить на пилоте
Вопросы и приёмочные проверки - Зафиксировать один целевой вариант поставки (on-premise vs Offline) для ТЗ, опросника и закупки. - Поднять инсталляцию в тестовом контуре Организации и зафиксировать фактическую архитектуру: серверы, БД, сеть, доступы. - Как обновляется база знаний в offline: источник, частота, способ доставки апдейтов без интернета? - Подтвердить требования к серверу (CPU/RAM/диск) под нагрузку 50 авторов. - Проверить выгрузку логов (в т.ч. аудит-логов) во внешнюю систему ELK/Syslog/SIEM — архитектурно, на пилоте. - Запросить письменное подтверждение докупки авторов кратно 50 в течение срока лицензии.
Связь
- Матрица соответствия требованиям OSA SCA — разрыв № 6 (on-premise vs Offline), требования к поставке и строка про выгрузку логов.
- eBPF права агента и ограничения — окружение, в котором работает сборочный агент.
- OSA Proxy и поддержанные экосистемы — что разворачивается в контуре для перехвата.
- Документы поставщика для закупки · Приемочные сценарии пилота
- Документация: https://docs.codescoring.ru/en/admin-guide/server-requirements