Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
План занятия (90 минут)
Цели занятия
К концу занятия слушатель умеет:
1. построить строку матрицы требование → практика → артефакт (evidence), опираясь на ГОСТ Р 56939-2024 (КАПО), NIST SSDF и BSI TR-03183-2;
2. отличать конформный evidence от «просто файла» по полям трассировки и нормам BSI §5.2;
3. объяснять, почему сведения об уязвимостях не входят в SBOM и где живут (VEX/CSAF/VDR);
4. собрать доказательную базу так, чтобы строку можно было воспроизвести на следующем релизе.
Тайминг
| Мин | Блок | Формат | Содержание |
|---|---|---|---|
| 0–8 | Вводный кейс | разбор | «Аудит провален при работающем процессе»: есть 200 SBOM, но нельзя за 5 минут сопоставить пункт «контроль ППК» с файлом за релиз R. Что именно сломалось. |
| 8–28 | Теория: трассировка и три стандарта | лекция | Что такое evidence vs артефакт; пять требований КАПО; практики SSDF PS.3.2/PW.4/RV.1/RV.2; роль BSI как «что делает документ конформным». Маппинг как карта, а не эквивалентность. |
| 28–40 | Теория: статика vs динамика | лекция | BSI §3 и §8.1.14 — SBOM MUST NOT содержать vuln-данных; почему доказательная база требует двух классов артефактов; CSAF/VEX. Классы SBOM §8.4 как типы evidence; Build SBOM (линковщик, не компилятор). |
| 40–55 | Демо | демонстрация | Преподаватель показывает CycloneDX 1.6 JSON: где metadata.timestamp, metadata.component, координаты компонента; затем VEX-вердикт, привязанный к версии. Показывает заполнение одной строки матрицы. |
| 55–80 | Практика в парах | ПЗ | Слушатели берут одно требование КАПО и проходят строку матрицы до артефакта; проверяют поля трассировки; находят, чего не хватает для воспроизводимости. См. 03 Практическая работа. |
| 80–90 | Рефлексия и сборка | обсуждение | Что закрепить в матрице evidence Организации; где маппинг 1:1 неприменим; контрольные вопросы. |
Демо-материалы
- готовый CycloneDX 1.6 JSON (из П03 или П04);
- пример VEX/CSAF-вердикта (П09);
- заготовка Матрица evidence для аудита;
- открытые источники для сверки: cyclonedx.org/specification, NIST SSDF, BSI TR-03183-2.
Материалы для слушателей
- конспект модуля и сжатая матрица из карты;
- доступ к репозиторию с одним релизом и его артефактами (SBOM, VDR);
- шаблоны Журналирование и audit trail и Матрица соответствия требованиям.
Контрольная точка
Слушатель предъявляет одну заполненную строку матрицы и показывает: какому пункту требования она соответствует, каким артефактом подтверждается, кто владелец, где артефакт хранится и как строку воспроизвести на следующем релизе.