Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Шаблон управленческой сводки готовности

Назначение Одностраничная сводка готовности SCA/OSA-процесса для руководства: RAG-статус по направлениям, число блокеров, требуемые управленческие решения и ключевые метрики. Переводит технические findings в управленческую картину «можно ли релизить / что мешает».

Когда применяется

Перед релизным комитетом, при подготовке к аудиту/закупке, по запросу руководства о статусе. Заполняется на дату; устаревшая сводка помечается датой среза.

Шапка

Поле	Значение
Дата среза	(ГГГГ-ММ-ДД)
Объект оценки	продукт / портфель / релиз
Общий статус	🟢 / 🟡 / 🔴
Подготовил	роль (без ФИО)

RAG-статус по направлениям

Направление	Статус	Комментарий	Блокеров
Состав компонентов (SBOM/coverage)	🟡
Уязвимости (VDR/VEX, триаж)	🟡
Лицензионная чистота	🟡
Цепочка поставки (controlled repo, подписи)	🟡
CI security gate	🟡
Нормативная трассировка (evidence)	🟡
Соисполнители (качество SBOM)	🟡

Блокеры релиза Перечислить только то, что реально останавливает релиз, с владельцем и сроком.

#	Блокер	Владелец (роль)	Срок	Решение требуется от
1
2

Управленческие решения (нужны от руководства)

[ ] (например) выбрать целевой вариант поставки on-premise / offline.
[ ] (например) принять остаточный риск по компоненту с обоснованием.
[ ] (например) выделить ресурс на закрытие unresolved worklist.

Ключевые метрики

Метрика	Значение	Цель
Покрытие идентификации (PURL/CPE)	%	≥ 95%
Критических уязвимостей без решения	шт	0
Неизвестных лицензий	шт	0
Открытых исключений с истёкшим сроком	шт	0
Отставание базы уязвимостей (offline)	дней	в SLA