Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Схема хранения исходных артефактов

Назначение

Правила раскладки и хранения исходных артефактов приёмки (поставка, SBOM, build logs, отчёты, подписи) так, чтобы любое решение можно было воспроизвести и доказать спустя время. Задаёт структуру каталога, неизменяемость evidence и сроки хранения.

Когда применяется

Сразу после успешной приёмки конверта (Чек-лист ZIP поставки): распакованная поставка раскладывается по схеме до запуска контроля качества. Применяется ко всем поставкам и пересмотрам решений.

Зачем строгая схема Решение «разрешено/риск принят» трассируемо только если сохранены ровно те артефакты и версии инструментов, на которых оно построено. Схема превращает хранилище в доказательную базу (см. М13).

Структура каталога

<продукт>/
  <релиз>/
    <соисполнитель>/
      00_delivery/      исходный архив + контрольные суммы + подпись
      01_sbom/          bom.json / *.spdx.json (как поставлено)
      02_build/         build logs, граф зависимостей (C/C++)
      03_scans/         license scan, vuln scan, измерения качества
      04_vdr_vex/       VDR/VEX
      05_decisions/     отчёты по компонентам, вердикты, исключения
      MANIFEST          опись и контрольные суммы каталога

Правила раскладки

Правило Содержание
Неизменяемость 00_delivery и 01_sbom хранятся как поставлено (write-once), правки запрещены
Версии инструментов в 03_scans фиксируется версия каждого инструмента-источника факта
Разделение факт/решение факты в 01–04, решения и вердикты — только в 05_decisions
Целостность MANIFEST с контрольными суммами на уровне каталога релиза
Обезличивание в путях и метаданных — роль/организация-соисполнитель, без ФИО и доменов

Сроки хранения (retention)

Класс артефакта Срок хранения
Поставка + SBOM весь срок поддержки релиза + период после EOL
Build evidence (C/C++) вместе с релизом (без него SBOM недоказателен)
Решения и исключения до следующего пересмотра + история
Подписи/provenance вместе с поставкой

Контроль

Связь с курсом