Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

Приемочные сценарии пилота

Назначение Пошаговый тест-плейбук пилота: что именно прогнать на реальных сборках, чтобы снять открытые статусы 🟡🔴 из матрицы соответствия. Это сценарии проверки; решение по их итогам — в критериях Go/No-Go.

Сценарии

  1. Установка в закрытом контуре Развернуть on-premise/Offline инсталляцию в тестовом контуре Организации. Зафиксировать фактическую архитектуру: серверы, БД, сеть, доступы, способ обновления базы знаний. Успех: нет неучтённых внешних соединений; зафиксирована схема развёртывания.

  2. C/C++ build scan без Conan Подключить GitLab и один CI/CD pipeline C/C++ проекта без Conan; выполнить build scan на make, CMake и отдельно qmake. Успех: список распознанных компонентов по каждому типу сборки либо письменное подтверждение ограничения (особенно по qmake).

  3. Статическая линковка и форки Проект с .a/.so, stripped binary и внутренней форкнутой библиотекой. Успех: зафиксировано, что распознаётся автоматически, а что требует ручной разметки; unresolved попадают в worklist, а не теряются.

  4. Conan flow Прямые и транзитивные зависимости, SBOM, граф зависимостей, license/security policy. Успех: граф и SBOM корректны, политики срабатывают.

  5. OSA-блокировка в фактическом режиме Через Nexus/JFrog plugin либо OSA Proxy — в зависимости от контура. Отдельно проверить Maven, NPM, NuGet, PyPI, Go, APT/RPM, Conan, Conda, RubyGems (если остаются обязательными в ТЗ). Успех: контролируемая блокировка по политике; зафиксировано, какой режим закрывает какую экосистему.

  6. SBOM export / import CycloneDX JSON, SPDX JSON, CSV-выгрузки; импорт в Dependency-Track; совместимость с результатом стороннего OSS-инструмента. Успех: форматы экспортируются и читаются целевыми системами.

  7. Уведомления и аудит SMTP, Jira, UI-события; audit log и выгрузка логов во внешнюю систему (ELK/Syslog/SIEM). Успех: уведомления доходят; логи выгружаются нужным способом.

  8. Доступ и роли LDAP/AD или OIDC, RBAC, роли администратор / ИБ / разработчик / наблюдатель. Успех: аутентификация и разграничение работают по ролям.

  9. Документы поставщика Запросить и проверить: лицензия ФСТЭК, ISO 9001, подтверждение опыта, структура ИБ-подразделения, состав поставки, SLA. Успех: документы предоставлены и соответствуют требованиям к исполнителю.

Протокол результата

Для каждого сценария фиксировать: что проверяли, что увидели, статус (✅ / 🟡 / 🔴), кто наблюдал (роль), дата. Сводный результат переносится в матрицу и питает решение Go/No-Go.

Связь