Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Полнота минимальных элементов (слой факта)
Метаданные и происхождение (доказуемость)
Разделение слоёв (факт vs интерпретация vs решение)
ППК как учётный слой (а не набор снимков)
Нормативная привязка

Что проверять на проекте: качество SBOM/ППК как источника фактов

Чек-лист аудитора. Цель — убедиться, что SBOM реально работает как доказательная база фактов, а ППК существует как отдельный учётный слой, а не как папка с тысячей bom.json.

Полнота минимальных элементов (слой факта)

[ ] У каждого релиза есть воспроизводимый способ получить SBOM (зафиксированы инструмент, версия, команда), а не один разовый файл.
[ ] Измерена доля компонентов с purl/CPE; «слепые» без идентификатора посчитаны, а не проигнорированы.
[ ] У компонентов заполнены имя и версия; нет массовых unknown версий (особенно у внутренних форков).
[ ] Указан supplier для внешних пакетов; для компонентов от соисполнителя это закреплено в контракте поставки.
[ ] Присутствует граф зависимостей (dependencies), а не только плоский список; покрыты прямые и транзитивные.

Метаданные и происхождение (доказуемость)

[ ] В metadata есть автор SBOM, инструмент с версией и timestamp; артефакт привязывается к commit/tag.
[ ] Зафиксирован контекст генерации (before/after build) — понятно, исходники это или бинарник.
[ ] Есть схема хранения исходных SBOM-артефактов с привязкой к релизу (см. Схема хранения исходных артефактов).

Разделение слоёв (факт vs интерпретация vs решение)

[ ] Внутри bom.json нет руками вписанных severity, вердиктов, статусов «принято» — только факт состава.
[ ] Интерпретация (CVE/БДУ/лицензии) живёт отдельно — в сопоставлении/VDR, а не в SBOM.
[ ] Управленческие решения (исправление, исключение, принятие риска) оформлены с автором, датой, обоснованием и сроком пересмотра вне SBOM.

ППК как учётный слой (а не набор снимков)

[ ] ППК ведётся в контролируемом репозитории, дедуплицирован по purl, а не сводится к коллекции файлов.
[ ] У каждого компонента в ППК есть владелец; есть список unresolved/unknown и ответственный за доразметку.
[ ] SBOM подключён к анализу: загрузка снимков в ППК и сопоставление с уязвимостями автоматизированы, а не выполняются вручную «по запросу».
[ ] Зафиксирован порог качества данных и gate (минимальная полнота purl/версий) — закреплён в Соглашение о качестве данных SBOM и Требования к CI security gate.

Нормативная привязка

NTIA Minimum Elements for SBOM · CISA Minimum Elements for SBOM · BSI TR-03183-2 v2.1.0 · NIST SP 800-218 SSDF · ГОСТ Р 56939-2024 · Проект ГОСТ Р КАПО. Шаблоны: Минимальный набор полей ППК · Чек-лист качества CycloneDX · Контракт поставки SBOM от соисполнителя. Практика: П02. Чтение CycloneDX JSON руками.