Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Шаблон протокола пилота SCA инструмента
Назначение Рабочая форма для фиксации результатов пилота SCA/OSA-инструмента: сценарии приёмки, результат pass/fail по каждому, итоговое решение go / no-go. Делает выбор инструмента доказательным, а не «по демо». Шаблон tool-agnostic; конкретный прогон по CodeScoring — в М12 CodeScoring и подготовка пилота.
Когда применяется
На этапе выбора/закупки инструмента, до признания соответствия ТЗ. Один протокол — один пилот; заполняется по ходу прогона на реальных сборках Организации.
Паспорт пилота
| Поле | Значение |
|---|---|
| Инструмент-кандидат | (название, версия) |
| Контур пилота | on-premise / offline / облако |
| Период пилота | (даты) |
| Ответственный за пилот | роль (без ФИО) |
| Тестовые продукты | (репозитории/сборки) |
| Критерии go/no-go | ссылка на согласованный список |
Чек-лист подготовки
- [ ] Развёрнут тестовый контур (серверы, БД, сеть, доступы зафиксированы).
- [ ] Подключён хотя бы один CI-пайплайн.
- [ ] Загружены реальные проблемные сборки (включая C/C++ legacy).
- [ ] Согласованы приёмочные сценарии и пороги.
- [ ] Назначены роли наблюдателей от ИБ, разработки, юристов.
Сценарии приёмки и результат
| # | Сценарий | Ожидаемый результат | Факт | Pass/Fail |
|---|---|---|---|---|
| 1 | Установка в offline/on-premise контуре | разворачивается без внешнего доступа | ☐ | |
| 2 | SCA по манифестам: прямые/транзитивные, граф | граф и версии корректны | ☐ | |
| 3 | C/C++ build scan: make / cmake / qmake | инвентаризация из сборки | ☐ | |
| 4 | Статическая линковка, stripped binary | что видно автоматически, что вручную | ☐ | |
| 5 | OSA-блокировка пакета в реальном режиме | пакет блокируется по политике | ☐ | |
| 6 | SBOM export/import: CycloneDX, SPDX, CSV | совместимость со сторонним инструментом | ☐ | |
| 7 | Источники уязвимостей: NVD, OSV, БДУ ФСТЭК | findings из всех источников | ☐ | |
| 8 | Offline-обновление базы уязвимостей | база обновляется через перенос | ☐ | |
| 9 | RBAC, разделение ролей, audit log | роли и журнал работают | ☐ | |
| 10 | Интеграция с CI security gate | break-build по порогам | ☐ |
Итоговое решение
Go / No-Go Решение принимается по закрытым приёмочным сценариям, а не по общему впечатлению.
- [ ] Go — все блокирующие сценарии Pass, остаток оформлен как риск со сроком.
- [ ] Go с условиями — есть Fail, но закрываются договорной гарантией/доработкой (перечислить).
- [ ] No-Go — блокирующие сценарии Fail без пути закрытия.
| Поле итога | Значение |
|---|---|
| Кол-во Pass / Fail | |
| Блокеры (не закрыты) | |
| Условия для go | |
| Решение | go / go-с-условиями / no-go |
Связь с курсом
- Модули: М12 CodeScoring и подготовка пилота, М05 Инструменты генерации SBOM.
- Практики: П31. Пилот CodeScoring make CMake qmake, П32. CodeScoring offline architecture, П33. AppSec и CodeScoring сравнение по задаче.
- Смежные шаблоны: Матрица соответствия требованиям, Шаблон управленческой сводки готовности.