Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
Билет 14
Теоретический вопрос
В корпоративном продукте состав ПО собирается из вкладов нескольких соисполнителей. Объясните, почему без контракта поставки SBOM (что именно, в каком формате, с какими минимальными полями и с какой подписью сдаётся) приёмка превращается в разбор разнородных артефактов вручную. Что входит в соглашение о качестве данных, и почему ответственность за полноту состава своего вклада лежит на соисполнителе, а сведение и вердикт — на Организации-интеграторе?
Практический вопрос
Мини-кейс Три соисполнителя сдали SBOM в трёх форматах: один CycloneDX, один SPDX, один — таблицу в произвольном виде. У одного нет версий, у другого нет подписи. Опишите, что вернуть на доработку по контракту, как привести вклады к каноническому формату и собрать сводный SBOM продукта без потери происхождения каждой части.
| Зона ответственности | Соисполнитель | Организация-интегратор |
|---|---|---|
| Полнота своего вклада | да | проверяет по контракту |
| Формат и подпись | сдаёт по контракту | задаёт контракт |
| Сводный SBOM и вердикт | — | да |
Что должен показать ответ
- Источник факта: SBOM каждого соисполнителя по контракту; сводный SBOM продукта с сохранением происхождения.
- Инструмент: проверка против контракта поставки и соглашения о качестве данных; приведение к каноническому формату.
- Владелец решения: полнота вклада — на соисполнителе; приёмка и сводный вердикт — сервис аудита/вердиктов Организации.
- Нормативная опора: ГОСТ Р 56939-2024, NIST SP 800-161 Rev.1, CISA Minimum Elements for SBOM.
- Evidence: контракт поставки SBOM; отчёт по соисполнителю.