Seminar DevSecOps Governance – SSDF, Rollen und Sicherheitsnachweise

Seminarbeschreibung

Sicherheitswerkzeuge allein schaffen noch keinen verlässlichen Freigabeprozess. Es muss feststehen, welche Kontrollen für ein Produkt gelten, wer Ausnahmen entscheidet und welche Informationen eine Entscheidung später nachvollziehbar machen. Das Seminar entwickelt hierfür ein praktikables Organisationsmodell. Technische Anforderungen werden mit Rollen, Gültigkeiten und überprüfbaren Nachweisen verbunden. Das SSDF wird als strukturierender Rahmen verwendet; Reifegrad, tatsächlich umgesetzte Maßnahmen und überprüfte Wirksamkeit bleiben dabei getrennte Betrachtungen.

Eine fortlaufende Fallstudie bildet Entwicklung, Zulieferung, Veröffentlichung und Wartung eines Softwareprodukts ab. Ausgehend von einem begrenzten Produktumfang werden Kontrollanforderungen festgelegt und an vorhandene Arbeitsabläufe angeschlossen. Die Übungen behandeln auch Zuständigkeitslücken, abgelaufene Ausnahmen und widersprüchliche Nachweise. Produktbezogene Anforderungen aus Verträgen oder regulatorischen Vorgaben werden als zusätzliche Eingaben berücksichtigt. Das Seminar konzentriert sich auf die technische und organisatorische Umsetzung; eine einzelne Vorlage oder ein Werkzeugbericht wird nicht als pauschale Konformitätsbestätigung dargestellt.

Inhaltsübersicht

1. Geltungsbereich und Schutzbedarf festlegen
2. SSDF als Strukturierungshilfe nutzen
3. Rollen und Freigaberechte gestalten
4. Nachweise entlang eines Releases verknüpfen
5. Ausnahmen und Lieferanten steuern
6. Wirksamkeit und Verbesserungen bewerten

Seminarinhalte

Modul 1: Geltungsbereich und Schutzbedarf festlegen

Kapitelinhalt: Produkte; Verantwortungsgrenzen; Kritikalität

• Produktbestand, Entwicklungsteams und externe Zulieferungen für einen klar abgegrenzten Betrachtungsumfang erfassen.
• Kritikalität, Datenverarbeitung und Auslieferungswege in abgestufte Anforderungen übersetzen.
• Vertragliche und organisationsinterne Vorgaben mit technischen Maßnahmen verknüpfen und offene Anforderungen kennzeichnen.

Modul 2: SSDF als Strukturierungshilfe nutzen

Kapitelinhalt: Vorbereitung; Schutz; Entwicklung; Reaktion

• Die Themenfelder sicherer Entwicklung mit bestehenden Engineering- und Betriebsprozessen abgleichen.
• Einen Kontrollkatalog erstellen, der Maßnahme, Verantwortlichkeit, Prüfzeitpunkt und erwarteten Nachweis enthält.
• Umsetzungsstände und verbleibende Lücken bewerten, ohne einen Reifegrad automatisch als Zertifizierung zu behandeln.

Modul 3: Rollen und Freigaberechte gestalten

Kapitelinhalt: Zuständigkeit; Vier-Augen-Prinzip; Eskalation

• Produktverantwortung, Plattformbetrieb und Security-Funktion mit eindeutigen Aufgaben und Entscheidungsrechten ausstatten.
• Freigaben für Code, Pipeline-Konfiguration und produktive Veröffentlichung nach Risiko staffeln.
• Vertretung, Eskalation und zeitlich begrenzte Notfallberechtigungen an einer konkreten Entscheidungssituation prüfen.

Modul 4: Nachweise entlang eines Releases verknüpfen

Kapitelinhalt: Versionen; Kontrollergebnisse; Aufbewahrung

• Quellstand, Artefakt-Digest, Prüfberichte und Freigabeentscheidung zu einem konsistenten Release-Nachweis verbinden.
• Authentizität, Integrität, Vollständigkeit und Zugriffsschutz von Nachweisen getrennt bewerten.
• Aufbewahrung und Zugriff so gestalten, dass historische Entscheidungen später anhand des damaligen Stands überprüft werden können.

Modul 5: Ausnahmen und Lieferanten steuern

Kapitelinhalt: Restrisiko; Befristung; Komponentenannahme

• Ausnahmen mit fachlicher Begründung, Risikoverantwortung und Ablaufdatum dokumentieren und Wiedervorlagen organisieren.
• Anforderungen an externe Komponenten nach Produktbezug, Updateversorgung und nachvollziehbarer Herkunft festlegen.
• Unvollständige SBOMs, widersprüchliche Sicherheitsangaben und fehlende Wartungszusagen in einen geregelten Klärungsprozess überführen.

Modul 6: Wirksamkeit und Verbesserungen bewerten

Kapitelinhalt: Stichproben; Kennzahlen; Maßnahmenpflege

• Kontrollabdeckung und tatsächliche Sperrwirkung anhand einer Auswahl realitätsnaher Releases untersuchen.
• Bearbeitungszeiten, abgelaufene Ausnahmen und wiederkehrende Fehler als Steuerungsinformationen einordnen.
• Einen priorisierten Verbesserungsplan mit überprüfbaren Terminen, Verantwortlichen und Akzeptanzkriterien erstellen.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Die bereitgestellte Produktlandschaft abgrenzen und ihre wichtigsten Lieferwege bestimmen.
2. Einen risikobasierten Kontrollkatalog mit Verantwortlichkeiten und Nachweisanforderungen erarbeiten.
3. Für ein Beispielrelease Quellstand, Prüfungen, Artefakt und Freigabe konsistent zusammenführen.
4. Eine befristete Ausnahme und einen Fall unvollständiger Lieferantenangaben bearbeiten.
5. Die Kontrollwirkung anhand einer Stichprobe bewerten und daraus einen überprüfbaren Verbesserungsauftrag formulieren.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Browser, Tabellen- oder Textverarbeitung sowie vorbereitete Fallstudien, Release-Daten und Beispielnachweise. Vertrauliche Unternehmensdaten sind für die Übungen nicht erforderlich.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.