Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Матрица соответствия требованиям
Назначение Переиспользуемая (vendor-agnostic) матрица «требование → контроль → evidence → статус»: связывает требования нормативки и ТЗ с конкретными контролями SCA/OSA-процесса и доказательствами их выполнения. Это generic-шаблон для любого продукта; пример заполненной по конкретному инструменту матрицы — матрица CodeScoring (не копировать сюда — это образец заполнения).
Когда применяется
При подготовке к аудиту/сертификации, при сопоставлении ТЗ с возможностями процесса, при отчёте о готовности к РБПО. Заполняется по требованиям конкретного стандарта или ТЗ; одна строка — одно атомарное требование.
Легенда статусов
| Статус | Значение |
|---|---|
| ✅ | Соответствует — контроль внедрён, evidence есть |
| 🟡 | Частично — контроль есть, evidence неполное / нужна проверка |
| 🔴 | Не соответствует — контроля или evidence нет |
| ⚪ | Управленческое решение — не техническая проблема |
Матрица
| # | Требование (источник, пункт) | Контроль процесса | Evidence (артефакт/ссылка) | Ответственный | Статус |
|---|---|---|---|---|---|
| 1 | Инвентаризация компонентов с уникальными идентификаторами (CISA Min Elements) | Генерация SBOM с PURL/CPE на каждый компонент | SBOM CycloneDX/SPDX, отчёт coverage | SCA | 🟡 |
| 2 | Полнота dependency graph, транзитивные зависимости (OWASP SCVS) | Build/manifest scan, проверка графа | dependency graph, Чек-лист качества CycloneDX | SCA | 🟡 |
| 3 | Управление уязвимостями компонентов (NIST SSDF RV.1) | VDR + триаж + VEX | VDR, VEX, тикеты триажа | SEC | 🟡 |
| 4 | Лицензионная чистота и совместимость (OpenChain ISO/IEC 5230) | Лицензионная классификация, заключение | license scan, Шаблон юридического заключения по лицензии | LEG | 🟡 |
| 5 | Защита цепочки поставки (NIST SP 800-161) | Controlled repository, контроль источников | политика репозитория, логи блокировок | SEC | 🟡 |
| 6 | Документация разработчика по РБПО (ГОСТ Р 56939-2024) | Регламент + журналирование процесса | Регламент композиционного анализа ПО, audit trail | OWN | 🟡 |
| 7 | Регулярность применения композиционного анализа (проект ГОСТ КАПО) | Периодический пересмотр в продуктиве | расписание пересканов, отчёты | SCA | 🟡 |
| 8 | Целостность и подпись артефактов поставки (SLSA / in-toto) | Подпись SBOM, проверка provenance | подписи, attestation | REL | 🟡 |
| 9 | Управление риском и evidence (ISO/IEC 27001) | Реестр исключений со сроками | Реестр исключений, Паспорт риска компонента | AUD | 🟡 |
| 10 | Минимальные элементы SBOM for AI (G7 2026) | Расширенный SBOM для AI-компонентов | Чек-лист SBOM for AI | SCA | 🟡 |
Правило заполнения Статус «✅» ставится только при наличии evidence в колонке. Требование без ссылки на артефакт остаётся 🟡, даже если контроль фактически работает — иначе матрица не проходит аудит.
Связь с курсом
- Модули: М13 Нормативная трассировка и доказательная база, М01 Термины, угрозы и границы SCA OSA.
- Смежные шаблоны: Матрица evidence для аудита (каталог самих артефактов), Регламент композиционного анализа ПО.
- Нормативка: ГОСТ Р 56939-2024, NIST SP 800-218 SSDF, ISO IEC 27001, CISA Minimum Elements for SBOM, OWASP SCVS.