Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Executive Order 14028
О документе
Указ Президента США № 14028 «Improving the Nation's Cybersecurity» от 12 мая 2021 года. Это политико-правовой триггер, а не технический стандарт: он не описывает поля SBOM, а поручает федеральным ведомствам выпустить конкретику и обязывает поставщиков ПО для госнужд её соблюдать. Именно из EO 14028 выросли NTIA Minimum Elements, SSDF, 800-161 Rev.1 и требование самоаттестации безопасной разработки. Для курса важен как «корень» американской ветки нормативки SCA/OSA.
Ключевые требования
- Раздел 4 — безопасность цепочки поставки ПО: поручение NIST разработать руководства по безопасной разработке (вылилось в SSDF) и критерии для критичного ПО.
- SBOM для федеральных закупок: поручение NTIA определить «минимальные элементы» SBOM (§4(f)), чтобы покупатель получал состав поставляемого ПО.
- Самоаттестация поставщиков: ПО для федеральных агентств должно сопровождаться подтверждением соответствия практикам безопасной разработки.
- Provenance и целостность артефактов: требования к происхождению сборки и защите среды разработки.
- Делегирование конкретики: сам указ не нормирует форматы — он связывает обязательностью то, что выпустят NIST/NTIA/CISA/OMB.
Что считать evidence
- SBOM по продуктам в согласованном формате как условие поставки для госзаказчика (исполнение §4(f)).
- Подписанная самоаттестация безопасной разработки (форма CISA) и пакет подтверждающих артефактов SSDF за ней.
- Provenance-аттестации сборки (SLSA, in-toto) и подписи артефактов/SBOM — доказательство целостности цепочки.
- Договорные положения о предоставлении SBOM и соответствии SSDF в контрактах с соисполнителями.
- Трассировка: ссылка из внутреннего регламента на конкретные NIST/NTIA-документы, реализующие требования указа.
Маппинг на практики и шаблоны
- П03. Генерация SBOM через Syft — производство SBOM как условия поставки.
- П14. Подпись SBOM через Sigstore, П15. SLSA и in-toto provenance — целостность и провенанс артефактов.
- Контракт поставки SBOM от соисполнителя — перенос обязательств вниз по цепочке.
- Модули: Модуль М08 (цепочка поставки и OSA), Модуль М13 (трассировка и evidence).
- Производные документы: NTIA Minimum Elements, NIST SP 800-218 SSDF, NIST SP 800-161 Rev.1.
Ограничение
Это учебная карточка, а не официальный текст. Это указ-рамка: конкретные обязательства живут в производных документах NIST/NTIA/CISA/OMB. Точные сроки и формулировки разделов сверяйте с оригиналом EO 14028 и с актуальными подзаконными актами.