Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Реестр исключений
Назначение
Единый реестр действующих и закрытых исключений — по уязвимостям (принятие риска) и по лицензиям. Он отвечает на вопрос «какие отклонения от политик сейчас допущены, кем, на каком основании и до какой даты». Это центральный артефакт контроля просроченных решений.
Когда применяется
- При оформлении любого решения по Порядок принятия риска или Порядок исключения лицензии.
- На еженедельном triage — проверка приближающихся и просроченных дат пересмотра.
- При формировании релизного evidence: CI gate сверяет открытые блокеры с действующими исключениями реестра.
Структура реестра
Колонки фиксированы; одна строка = одно исключение. ID не переиспользуется.
| ID | Тип | Компонент@версия (PURL) | Основание (CVE/БДУ / лицензия SPDX) | Severity / класс | Решение | Компенсирующие меры | Владелец (роль) | Выдано | Срок пересмотра | Статус | Evidence |
|---|---|---|---|---|---|---|---|---|---|---|---|
| EXC-0001 | риск | pkg:npm/lib@1.2.3 |
CVE-2025-XXXXX | High / CVSS 7.8 | риск принят | сегментация + мониторинг | владелец продукта | 2026-06-17 | 2026-09-15 | действует | Паспорт риска компонента |
| EXC-0002 | лицензия | pkg:pypi/lib@2.0 |
GPL-3.0-only | сильный copyleft | допущено с условием | только динамическая линковка | комплаенс | 2026-06-17 | 2026-12-17 | действует | Шаблон юридического заключения по лицензии |
| EXC-0003 | лицензия | pkg:cargo/lib@0.9 |
NOASSERTION | unknown | заблокировано | замена компонента | комплаенс | 2026-06-10 | — | закрыто | worklist |
Значения полей
- Тип:
риск|лицензия. - Решение:
риск принят|допущено с условием|заблокировано|на пересмотре. - Статус:
действует|на пересмотре|просрочено|закрыто.
Просроченное исключение = нарушение Если текущая дата позже срока пересмотра и статус не
закрыто, исключение помечаетсяпросроченои блокирует релиз так же, как отсутствие исключения. Реестр должен подсвечивать такие строки на каждом triage.Реестр как источник для дашборда Поля реестра напрямую питают readiness-дашборд: число действующих исключений, ближайшие даты пересмотра, доля просроченных — управленческие метрики готовности.
Правила ведения
- Любое исключение в реестре ссылается на свой первичный артефакт (Паспорт риска компонента или юр.заключение).
- Закрытие — только с указанием, как риск устранён (обновление версии / замена / истечение применимости).
- ID монотонно растёт и не используется повторно после закрытия.
Связь с курсом
- Модуль: М14. Политики, исключения и принятие риска
- Практики: П30. Исключения и принятие риска · П29. Readiness dashboard
- Нормативка: ISO IEC 27001 · ГОСТ Р 56939-2024
- Связанные шаблоны: Порядок принятия риска · Порядок исключения лицензии · Паспорт риска компонента