Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
ISO IEC 27001
О документе
Что это ISO/IEC 27001 — международный стандарт на систему менеджмента информационной безопасности (СМИБ / ISMS). Это рамочный управленческий стандарт: он не про SCA напрямую и не порождает SBOM, а требует, чтобы организация управляла рисками ИБ системно — через политику, оценку рисков, набор контролей (Приложение A) и цикл улучшения. SCA/OSA встраивается сюда как частный механизм реализации нескольких контролей.
Для курса значимы прежде всего темы из набора контролей: управление активами и инвентаризация, отношения с поставщиками, управление техническими уязвимостями, ведение журналов. Именно через эти контроли SCA-артефакты становятся доказательной базой ISMS.
Ключевые требования
Релевантные для SCA/OSA области (формулировки обобщённые):
- Управление рисками. Риски ИБ, включая риски сторонних компонентов, должны быть идентифицированы, оценены и обработаны (risk treatment) с прослеживаемым решением.
- Инвентаризация активов. Состав ПО и его компоненты учитываются как информационные активы — здесь SBOM работает как реестр.
- Отношения с поставщиками. Требования ИБ распространяются на поставляемые компоненты и соисполнителей.
- Управление техническими уязвимостями. Уязвимости должны своевременно выявляться и обрабатываться по установленному процессу.
- Журналирование и контроль. События и решения протоколируются, обеспечивая аудируемость.
- Принятие риска. Остаточный риск формально принимается уполномоченной ролью с записью.
Что считать evidence
Артефакты соответствия (записи ISMS, не «SBOM ради SBOM») - SBOM как запись инвентаризации компонентов-активов с привязкой к продукту. - Записи оценки и обработки риска по компонентам (risk treatment) и журнал принятия остаточного риска. - Audit trail сервиса аудита/вердиктов: кто, когда и какое решение принял по компоненту/уязвимости. - Записи по управлению уязвимостями (VDR/VEX) как доказательство соответствующего контроля.
Трассировка релевантных контролей ISMS на механизмы SCA/OSA:
| Область контроля | Механизм SCA/OSA | Подтверждающий артефакт |
|---|---|---|
| Инвентаризация активов | SBOM как реестр компонентов | Актуальный ППК продукта |
| Отношения с поставщиками | Приёмка и контракт на SBOM | Контракт поставки, паспорт компонента |
| Управление уязвимостями | Сканирование и триаж | VDR/VEX, журнал решений |
| Журналирование | Audit trail сервиса вердиктов | Лог «кто/когда/какое решение» |
| Обработка риска | Принятие остаточного риска | Запись принятия риска уполномоченной ролью |
Маппинг на практики и шаблоны
- Принятие и обработка риска: П30. Исключения и принятие риска.
- Трассировка контролей и доказательная база: Матрица соответствия требованиям, Матрица evidence для аудита.
- Аудируемость решений: Журналирование и audit trail.
- Контекст модулей: М13. Нормативная трассировка и М14. Политики и принятие риска.
Ограничение
Это учебная карточка Карточка показывает только стык ISMS с SCA/OSA и не пересказывает стандарт целиком. Точные формулировки требований и состав контролей Приложения A для аудита сверять с официальным текстом ISO/IEC 27001 и регламентами Организации.