Seminar ONEKEY OCP – Intensivseminar End-to-End Product Security & Compliance

Product Cybersecurity und technische Compliance sind keine voneinander getrennten Einzelaufgaben. Belastbare Steuerung entsteht erst, wenn Produktdaten, Binäranalyse, Lieferkette, Schwachstellenentscheidungen, regulatorische Nachweise, Entwicklungsprozesse, Betrieb und Governance auf einem gemeinsamen Arbeitsmodell beruhen.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist die vollständige Beherrschung eines skalierbaren Product-Security- und Compliance-Zyklus in der ONEKEY Plattform. Alle wesentlichen Einzelthemen werden in einem realitätsnahen Produktprogramm verbunden, sodass Einführungsteams Rollen, Arbeitsabläufe, Quality Gates, Automatisierung und Nachweise gemeinsam gestalten können.

Zielgruppe

Interdisziplinäre Einführungsteams aus Product Security, PSIRT, Entwicklung, DevSecOps, Produktmanagement, Compliance, Qualität, Beschaffung, Plattformadministration und interner Revision

Voraussetzungen

Solides Verständnis vernetzter Produkte, Firmware oder Softwareentwicklung und grundlegender Cybersecurity-Konzepte; praktische Erfahrung in mindestens einer der genannten Rollen ist empfehlenswert

Seminarinhalte

Modul 1: Governance, Rollen und Plattformbetrieb

Das End-to-End-Szenario beginnt mit einem skalierbaren Mandanten-, Rollen- und Produktmodell.

1. Schritt 1: Produkte, Produktgruppen, Benutzergruppen und Verantwortlichkeiten strukturieren.
2. Schritt 2: Least-Privilege-Berechtigungen und Freigaberechte für Entwicklung, PSIRT, Compliance und Audit festlegen.
3. Schritt 3: Kennzahlen, Review-Takte und Audit Trail als Governance-Rahmen definieren.

Modul 2: Produktanlage und Digital Cyber Twin

Produktvarianten, Firmwarestände und technische Artefakte werden als konsistenter digitaler Produktzwilling modelliert.

1. Schritt 1: Produktstammdaten, Versionen, Kritikalität und Lifecycle-Status erfassen.
2. Schritt 2: Firmware hochladen, Entpackung und erkannte Plattformmerkmale validieren.
3. Schritt 3: Technische Analyseobjekte mit Produkt- und Freigabekontext verknüpfen.

Modul 3: Firmwareanalyse und Angriffsfläche

Dateisysteme, Binärdateien, Skripte, Dienste, Konfigurationen und Geheimnisse werden systematisch untersucht.

1. Schritt 1: Erkannte Architektur, Dateisysteme und ausführbare Artefakte prüfen.
2. Schritt 2: Dienste, Protokolle, Zertifikate, Schlüssel und potenzielle Zugangsdaten lokalisieren.
3. Schritt 3: Angriffsflächen nach Exposition, Privileg und möglicher Auswirkung priorisieren.

Modul 4: SBOM Management und Datenqualität

Automatisch erkannte und importierte Komponenten werden zu einer belastbaren Produktstückliste konsolidiert.

1. Schritt 1: Komponenten, Versionen, Evidenzen und Abhängigkeiten validieren.
2. Schritt 2: Externe SBOM-Daten importieren und Abweichungen kontrolliert zusammenführen.
3. Schritt 3: Vollständigkeit, Genauigkeit und Freigabestatus mit Qualitätsregeln bewerten.

Modul 5: Open-Source-Lizenzen und Beschaffungsrisiken

Lizenz- und Lieferketteninformationen werden in technische und vertragliche Entscheidungen übersetzt.

1. Schritt 1: Erkannte Lizenzen, Mehrfachlizenzierungen und unbekannte Komponenten prüfen.
2. Schritt 2: Lieferanten-SBOM, Binärartefakt und vereinbarte Version miteinander abgleichen.
3. Schritt 3: Lizenz-, Wartungs- und Herkunftsrisiken mit Maßnahmen und Akzeptanz dokumentieren.

Modul 6: Vulnerability Management und CVE-Triage

CVE-Treffer werden nach technischer Betroffenheit und Produktkontext statt allein nach Basisschwere bewertet.

1. Schritt 1: CVE, Komponente, Version und Erkennungsevidenz prüfen.
2. Schritt 2: Exposition, Ausnutzungsbedingungen, Umgebungsparameter und Produktkritikalität bewerten.
3. Schritt 3: Status, Priorität, Verantwortlichkeit und Zieltermin für Einzel- und Massenbearbeitung festlegen.

Modul 7: Automated Impact Assessment und VEX

Automatische Indikatoren werden mit Produktwissen zu belastbaren Betroffenheitsaussagen verbunden.

1. Schritt 1: Impact-Hinweise, Codeverwendung, Konfiguration und Erreichbarkeit analysieren.
2. Schritt 2: VEX-Status und Begründung für den konkreten Firmwarestand festlegen.
3. Schritt 3: VEX- und VDR-Daten für Kunden, Partner und interne Nachweise konsistent bereitstellen.

Modul 8: Zero-Day Detection und eigene Analyseprofile

Statische Analyse ergänzt bekannte CVEs um implementierungsnahe Sicherheitsprobleme und organisationsspezifische Regeln.

1. Schritt 1: Issues wie unsichere Kommunikation, harte Zugangsdaten, Command Injection und Speicherfehler untersuchen.
2. Schritt 2: Datenfluss, Fundstelle und mögliche Angriffskette technisch validieren.
3. Schritt 3: Custom Analysis Profile und OQL-Abfrage für eine eigene Qualitätsregel erstellen.

Modul 9: Kontinuierliches Firmware Monitoring

Tägliche Reanalyse verbindet unveränderte Firmware mit neuen Schwachstellen- und Erkennungsinformationen.

1. Schritt 1: Zu überwachende Produkt- und Firmwarestände risikobasiert auswählen.
2. Schritt 2: Benachrichtigungen, Empfänger und Reaktionsfristen konfigurieren.
3. Schritt 3: Ein simuliertes Monitoring-Ereignis triagieren und in Incident oder Lifecycle-Entscheidung überführen.

Modul 10: Compliance Wizard und Nachweisführung

Technische Evidenzen und organisatorische Antworten werden zu einem konsistenten Compliance-Status verdichtet.

1. Schritt 1: Prüfrahmen und Produktumfang auswählen und automatische Vorschläge validieren.
2. Schritt 2: Evidenzen, Begründungen, Gaps und Maßnahmen je Anforderung dokumentieren.
3. Schritt 3: Compliance Bundle, Managementbericht und Review-Protokoll erzeugen.

Modul 11: CRA, RED, ETSI und IEC 62443 einordnen

Regulatorische und normative Anforderungen werden nach Produktmarkt, Rolle und Nachweisziel ausgewählt.

1. Schritt 1: Cyber Resilience Act nach Herstellerpflichten und Produktlebenszyklus strukturieren.
2. Schritt 2: RED mit EN 18031 sowie ETSI EN 303 645 für Funk- und IoT-Produkte abgrenzen.
3. Schritt 3: IEC 62443-4-1 und IEC 62443-4-2 für industrielle Entwicklungs- und Produktanforderungen zuordnen.

Modul 12: PSIRT und Product Incident Response

Externe Meldungen und interne Monitoring-Ereignisse werden in einen kontrollierten Reaktionsprozess überführt.

1. Schritt 1: Meldung erfassen, klassifizieren und portfolioweit auf Betroffenheit prüfen.
2. Schritt 2: Impact, Eskalation, Remediation und koordinierte Kommunikation steuern.
3. Schritt 3: Incident mit Verifikation, Lessons Learned und verbleibendem Monitoring abschließen.

Modul 13: Secure Development Lifecycle und Quality Gates

Plattformkontrollen werden in Entwicklungs-, Lieferanten- und Releaseprozesse eingebettet.

1. Schritt 1: Security-Anforderungen und Analyseaktivitäten den Entwicklungsphasen zuordnen.
2. Schritt 2: Schwellenwerte für SBOM-Qualität, kritische CVEs, Issues, Lizenzen und Compliance festlegen.
3. Schritt 3: Ausnahme, Risikoakzeptanz und Freigabeentscheidung mit Evidenz dokumentieren.

Modul 14: API-, CI/CD- und Toolintegration

Automatisierung macht Analysen reproduzierbar und verbindet Ergebnisse mit bestehenden Engineering-Prozessen.

1. Schritt 1: API-Token, Servicekonto und sichere Geheimnisverwaltung konzipieren.
2. Schritt 2: Upload, Statusabfrage, Ergebnisabruf und Quality-Gate-Auswertung automatisieren.
3. Schritt 3: Befunde an Ticketing, SIEM oder Reporting übergeben und Fehlerpfade behandeln.

Modul 15: Betriebsmodell und Roadmap

Das Gesamtszenario wird in einen realistischen Einführungs- und Skalierungsplan überführt.

1. Schritt 1: Pilotprodukte, Rollen, Datenquellen und Zielprozesse priorisieren.
2. Schritt 2: Betriebskennzahlen, Service-Level, Reviews und Schulungsbedarf festlegen.
3. Schritt 3: Eine stufenweise Roadmap von Pilot, Rollout und kontinuierlicher Verbesserung erstellen.

Praxiswerkstatt

1. Arbeitsschritt 1: Ein Produktprogramm mit Rollen, Produktgruppen, Firmwareständen und Governance-Regeln in der Plattform aufsetzen.
2. Arbeitsschritt 2: Firmwareanalyse, SBOM-Validierung, Lizenzprüfung, CVE-Triage und Zero-Day-Bewertung als zusammenhängenden Arbeitsablauf durchführen.
3. Arbeitsschritt 3: Impact Assessment, VEX, Monitoring-Ereignis und PSIRT-Eskalation für einen kritischen Fall bearbeiten.
4. Arbeitsschritt 4: CRA- oder Normanforderungen im Compliance Wizard mit technischen Evidenzen, Gaps und Maßnahmen dokumentieren.
5. Arbeitsschritt 5: Ein Release-Quality-Gate mit SBOM-, Vulnerability-, Issue-, Lizenz- und Compliance-Kriterien definieren.
6. Arbeitsschritt 6: API-/CI-CD-Ablauf, Managementbericht und auditierbares End-to-End-Nachweispaket für die Abschlussfreigabe erstellen.

Kompetenzziele

• Ein vollständiges Product-Security- und Compliance-Betriebsmodell gestalten
• Firmware-, SBOM-, Lizenz-, CVE- und Zero-Day-Ergebnisse integriert bewerten
• VEX, Monitoring und PSIRT als geschlossenen Reaktionszyklus betreiben
• Regulatorische und normative Nachweise evidenzbasiert erstellen
• Security Quality Gates in Entwicklung, Beschaffung und Release verankern
• ONEKEY OCP über API und CI/CD reproduzierbar integrieren
• Governance, Kennzahlen und Einführungsroadmap für den Plattformbetrieb definieren