Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 16
Теоретический вопрос
Как объективно оценить SCA-инструмент перед внедрением, не сводя оценку к маркетинговым обещаниям? Сформулируйте критерии пилота: точность распознавания состава на реальных C/C++ проектах (make/CMake/qmake), поддержка офлайн-режима в закрытом контуре, источники уязвимостей (включая БДУ), форматы экспорта SBOM, интеграция в CI. Почему «инструмент нашёл много компонентов» — не критерий, а критерий — это доля верно распознанных и пропусков на эталонном наборе?
Практический вопрос
Мини-кейс Нужно провести пилот CodeScoring на трёх проектах:
make, CMake и legacyqmake. Составьте протокол: какой эталонный состав взять как «правильный ответ», как измерить detection accuracy (точность/полнота), как проверить работу без доступа в интернет и как зафиксировать результат, чтобы решение о закупке опиралось на цифры, а не на впечатление.
Что должен показать ответ
- Источник факта: эталонный состав проектов (ground truth) для измерения точности; протокол пилота, а не демонстрация вендора.
- Инструмент: CodeScoring в офлайн-режиме; сравнение detection accuracy на
make/CMake/qmake. - Владелец решения: вывод о пригодности и решение о закупке — за владельцем процесса SCA по результатам протокола.
- Нормативная опора: ГОСТ Р 56939-2024, OWASP SCVS, БДУ ФСТЭК (как требуемый источник).
- Evidence: протокол пилота с цифрами точности и проверкой офлайна.