Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Вопросы для пилота CodeScoring

Контекст

CodeScoring рассматривается как кандидат для OSA/SCA/TQI в контуре Организации. Главный предмет проверки — не общая способность показывать отчеты, а достоверная инвентаризация C/C++ legacy-сборок, где не везде внедрен Conan и часть зависимостей проявляется только на этапе сборки.

Вопросы для проверки в пилоте

  1. Подтвердите поддержку make, CMake и qmake в C/C++ build scan на реальных сборках, а не только в документации.
  2. Какие права нужны агенту для eBPF, можно ли работать без root и какой функционал при этом теряется?
  3. Как фиксируются unresolved libraries, кто и как доразмечает версии внутренних .a/.so?
  4. Как отличается анализ динамической и статической линковки?
  5. Какой формат SBOM экспортируется: CycloneDX версия, SPDX версия, VDR/VEX, CSV/JSON?
  6. Какие экосистемы реально поддерживает OSA Proxy, OSA Proxy Go, Nexus/JFrog plugin и CLI agent; где именно Conan и Conda?
  7. Что хранится и что покидает контур в online/on-premise; как устроен offline update index?
  8. Какие документы поставщик готов предоставить: реестр отечественного ПО, ФСТЭК/ISO 9001 при необходимости закупки, SLA, состав поставки?
  9. Как проверить TQI на пилоте и какие метрики не надо смешивать с security readiness?
  10. Какие критерии считаются успешным пилотом для C/C++ legacy?

Риск-формулировка

Нельзя считать продукт полностью соответствующим требованиям до пилота на реальных сборках. Особенно проверяются qmake, статическая линковка, stripped binaries, внутренние форки, offline обновление базы знаний, OSA Proxy по нужным пакетным менеджерам и экспорт данных в существующий процесс.