Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
NTIA Minimum Elements for SBOM
О документе
Базовый документ, определивший «минимально достаточный» SBOM. Выпущен NTIA (Министерство торговли США) в июле 2021 года во исполнение поручения Executive Order 14028. Это не формат и не стандарт записи, а перечень того, что SBOM обязан содержать, чтобы быть пригодным для автоматической обработки. Документ задаёт три измерения: набор минимальных полей данных, требования к практикам генерации и обновления, а также требования к автоматизации и доставке. На нём построены последующие отраслевые профили; в 2025 году NTIA-перечень переработан в CISA Minimum Elements for SBOM (2025).
Ключевые требования
- Семь минимальных полей на каждый компонент: Supplier Name, Component Name, Version, Other Unique Identifiers (например, CPE/PURL), Dependency Relationship, Author of SBOM Data, Timestamp.
- Связи зависимостей фиксируются хотя бы на верхнем уровне (top-level): для каждого включённого компонента известно, что он входит в состав продукта.
- Машиночитаемый формат — допускаются SPDX, CycloneDX, SWID; SBOM должен поддаваться автоматическому разбору, а не быть PDF-таблицей.
- Практики жизненного цикла: SBOM генерируется на каждую новую версию или сборку, хранится и распространяется по согласованному каналу с контролем доступа.
- Глубина и известные пробелы: допускается «known unknowns» — явная отметка, что часть графа зависимостей не раскрыта, вместо молчаливого пропуска.
Что считать evidence
- SBOM в CycloneDX или SPDX, в котором для каждого компонента непусты все семь полей; отчёт о покрытии полей (доля компонентов с заполненным supplier/version/identifier).
- Отчёт о качестве идентификаторов: доля компонентов с валидным PURL/CPE, список компонентов без уникального идентификатора.
- Поле
metadata.timestampиmetadata.tools(CycloneDX) илиcreationInfo.created/creators(SPDX) — доказательство свежести и авторства генерации. - Журнал генерации SBOM на релизах: подтверждение, что артефакт пересоздаётся на каждую версию, а не делается однократно.
- Явный список «known unknowns» (нераскрытых поддеревьев), если полнота графа не достигнута.
Маппинг на практики и шаблоны
- П02. Чтение CycloneDX JSON руками — где в JSON лежат семь обязательных полей.
- П03. Генерация SBOM через Syft и П34. SBOM quality gate — генерация и проверка покрытия полей.
- Минимальный набор полей ППК — российский аналог перечня обязательных полей.
- Соглашение о качестве данных SBOM — пороги покрытия и SLA по полям.
- Модули: Модуль М02 (SBOM как источник фактов), Модуль М13 (трассировка и evidence).
- Развитие требований: CISA Minimum Elements (2025); форматы-носители: CycloneDX, SPDX.
Ограничение
Это учебная карточка, а не официальный текст. Точные формулировки семи полей и требований к автоматизации сверяйте с оригиналом NTIA «The Minimum Elements For a Software Bill of Materials (SBOM)» (2021) и с локальными регламентами Организации.