Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Практическая работа: построй карту решений своего продукта

Цель

Не запустить инструмент, а спроектировать маршрут: для знакомого вам продукта связать вопросы → дисциплины (SCA/OSA) → выходные артефакты → роли. Результат — личная маршрутная карта, по которой дальше пойдёт весь курс и реальный проект.

Исходные данные

Возьмите один реальный или условный продукт (свой проект, продукт Организации или учебный). Зафиксируйте: язык/экосистему (например, Python + C/C++ legacy), способ поставки (контейнер, ZIP, репозиторий), есть ли внешние соисполнители.

Порядок выполнения

  1. Сформулируйте 4 вопроса под свой продукт явными фразами, например: - «Какие open source компоненты входят в релиз v2.3?» - «Есть ли в них известные CVE и какие из них нас реально затрагивают?» - «Нет ли запрещённых лицензий (например, AGPL в проприетарной поставке)?» - «Можно ли впускать новую зависимость libfoo из внешнего источника?»
  2. Сопоставьте каждому вопросу дисциплину (SCA или OSA) и обоснуйте выбор одной строкой.
  3. Назначьте выходной артефакт для каждого вопроса (SBOM/ППК, VDR+VEX, юр. заключение, OSA-вердикт допуска) и формат, если применимо (CycloneDX/SPDX).
  4. Назначьте роль-решателя по каждому артефакту (используйте RACI как образец: кто Responsible, кто Accountable).
  5. Соберите readiness-строку: при каких условиях вы скажете «релиз готов к поставке».
  6. Отметьте свой маршрут обучения по Главной карте: какие модули критичны под ваш продукт, какие можно отложить.

Ожидаемый результат

Маршрутная таблица из 4–5 строк, например:

Вопрос SCA/OSA Артефакт (формат) Решатель Модуль/практика
Состав релиза v2.3 SCA SBOM (CycloneDX) инженер SCA М02 / П03
Затрагивающие CVE SCA VDR + VEX инженер SCA М06 / П35
Лицензии SCA юр. заключение юрист М07 / П27
Допуск libfoo OSA вердикт + provenance OSA/безопасность М08 / П17
Готовность к поставке оба readiness-сводка владелец продукта П29

Плюс mermaid-дерево или схема в свободной форме, отражающая ветвление под ваш продукт.

Признак хорошей карты Любой коллега, посмотрев на вашу таблицу, без объяснений понимает: с каким вопросом идти, что он получит на выходе и к кому идти за решением.

Критерий зачёта

Показать преподавателю заполненную маршрутную таблицу, где: (1) каждый вопрос отнесён к SCA или OSA с обоснованием; (2) у каждого вопроса назван корректный выходной артефакт; (3) у каждого артефакта есть роль-решатель; (4) есть условие readiness. Распространённая ошибка для незачёта — указать «сделаем сканером», не назвав артефакт и роль.

Связь с практиками и шаблонами