Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Контракт поставки SBOM от соисполнителя
Назначение
Договорный раздел (или приложение к ТЗ), фиксирующий обязательства соисполнителя по составу, формату и срокам поставки SBOM и сопутствующих артефактов. Это документ-«вход»: он описывает, что и в каком виде соисполнитель обязан передать Организации.
Когда применяется
На этапе заключения договора/ТЗ с соисполнителем и при каждой поставке релиза. Задаёт критерии, против которых работают приёмочные чек-листы (Чек-лист ZIP поставки, Чек-лист качества CycloneDX).
Контракт vs соглашение о качестве Этот документ фиксирует что поставляется и когда (состав, формат, сроки). Числовые требования к качеству данных вынесены в Соглашение о качестве данных SBOM.
Раздел 1. Состав обязательной поставки
| Артефакт | Обязателен | Условие |
|---|---|---|
| SBOM (CycloneDX или SPDX) | да | на каждый релиз |
| ППК / минимальный набор полей | да | см. Минимальный набор полей ППК |
| Лицензионный отчёт | да | покрытие по соглашению о качестве |
| VDR/VEX | да | при наличии известных уязвимостей |
| Build evidence | да для C/C++ | build logs, граф сборки |
| Подпись/provenance | да | подпись поставки или SLSA provenance |
Раздел 2. Требования к формату
- SBOM — в одном из согласованных машинных форматов (CycloneDX ECMA-424 или SPDX ISO IEC 5962), валидный по схеме.
- Координаты компонентов — в виде
purl;cpe— где применимо. - Поставка — единым архивом по соглашению об именовании (см. Чек-лист ZIP поставки).
Раздел 3. Сроки и периодичность
- SBOM поставляется одновременно с релизом (не «потом по запросу»).
- Внеплановая поставка обновлённого SBOM — при выпуске исправлений безопасности.
- Срок устранения замечаний приёмки фиксируется в договоре (SLA доработки).
Раздел 4. Распределение ответственности (RACI)
| Задача | Соисполнитель | Приёмка Организации | Владелец продукта |
|---|---|---|---|
| Генерация SBOM | R/A | C | I |
| Полнота build evidence | R/A | C | I |
| Приёмка конверта | C | R/A | I |
| Контроль качества данных | I | R/A | C |
| Решение о допуске | I | R | A |
Раздел 5. Последствия несоответствия
- Неполная или невалидная поставка возвращается на доработку (см. исходы в Политика приемки сторонних компонентов).
- Систематические нарушения отражаются в отчёте по соисполнителю.
Связь с курсом
- Модуль: М10. Много исполнителей · М13. Нормативная трассировка
- Практики: П28. Поставка от нескольких исполнителей · П15. SLSA и in-toto provenance · П14. Подпись SBOM через Sigstore
- Нормативка: CISA Minimum Elements for SBOM · NIST SP 800-161 Rev.1 · Проект ГОСТ Р КАПО
- Связанные шаблоны: Соглашение о качестве данных SBOM · Чек-лист ZIP поставки · Шаблон отчета по соисполнителю