Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 17
Теоретический вопрос
Что такое нормативная трассировка и почему доказательная база SCA/OSA должна связывать практику с требованием стандарта, а не просто «делать как принято»? На примере связки ГОСТ Р 56939-2024 (РБПО), NIST SP 800-218 SSDF и BSI TR-03183-2 v2.1.0 покажите, как одна и та же активность (генерация SBOM, поиск уязвимостей, контроль источника) ложится на разные нормативные требования. Чем национальная норма дополняет международные, а не дублирует их?
Практический вопрос
Мини-кейс Аудитор просит доказать, что процесс приёмки компонентов соответствует требованиям. Постройте трассировку: активность процесса → пункт стандарта → артефакт-evidence. Например: «генерация SBOM на сборке» → SSDF PS.3.2 / ГОСТ Р 56939 → сохранённый
bom.json+ build log. Покажите, где у вас есть evidence, а где — разрыв, который надо закрыть.
| Активность | Норма | Evidence |
|---|---|---|
| Генерация SBOM | SSDF PS.3.2; ГОСТ Р 56939 | bom.json, build log |
| Поиск уязвимостей | SSDF RV.1; БДУ ФСТЭК | VDR-выгрузка |
| Контроль источника | NIST 800-161; BSI TR-03183-2 | журнал controlled repository |
Что должен показать ответ
- Источник факта: матрица трассировки «активность → требование → артефакт», а не словесное заверение о соответствии.
- Инструмент: матрица соответствия требованиям и evidence-матрица как инструмент аудита.
- Владелец решения: подтверждение соответствия и закрытие разрывов — за владельцем процесса / сервисом аудита.
- Нормативная опора: ГОСТ Р 56939-2024, NIST SP 800-218 SSDF, BSI TR-03183-2 v2.1.0, NIST SP 800-161 Rev.1.
- Evidence: матрица соответствия и матрица evidence для аудита.