Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Критерии Go No-Go после пилота
Контекст
CodeScoring рассматривается как кандидат для OSA/SCA/TQI в контуре Организации. Главный предмет проверки — не общая способность показывать отчеты, а достоверная инвентаризация C/C++ legacy-сборок, где не везде внедрен Conan и часть зависимостей проявляется только на этапе сборки.
Критерии приемки
- установка в тестовом контуре Организации без неучтенных внешних соединений;
- подключение GitLab и хотя бы одного CI/CD pipeline;
- успешный build scan на make, CMake и qmake или письменное подтверждение ограничений;
- список распознанных и unresolved C/C++ библиотек;
- экспорт CycloneDX/SPDX и проверка импорта в Dependency-Track;
- policy gate с контролируемым блокированием;
- отчет по лицензиям, уязвимостям, malware/protestware и TQI;
- протокол ограничений: статическая линковка, stripped binaries, внутренние форки.
Риск-формулировка
Нельзя считать продукт полностью соответствующим требованиям до пилота на реальных сборках. Особенно проверяются qmake, статическая линковка, stripped binaries, внутренние форки, offline обновление базы знаний, OSA Proxy по нужным пакетным менеджерам и экспорт данных в существующий процесс.