Seminar Secure SDLC – Grundlagen und Einstieg

Seminarbeschreibung

Software erhält ihre Sicherheitsmerkmale durch Entscheidungen in Anforderungen, Architektur, Implementierung, Prüfung und Betrieb. Das Seminar erklärt, wie diese Entscheidungen in einem gemeinsamen Entwicklungsprozess zusammengeführt werden. Im Mittelpunkt stehen überschaubare Aufgaben, nachvollziehbare Zuständigkeiten und überprüfbare Freigabekriterien für neue Funktionen und Änderungen an bestehenden Anwendungen.

Eine Fallstudie zu einer webbasierten Geschäftsanwendung macht die Zusammenhänge zwischen Produktanforderungen, technischen Schwächen und möglichen Geschäftsschäden sichtbar. Behandelt werden typische Übergaben zwischen Entwicklung, Qualitätssicherung, Informationssicherheit und Betrieb. Automatische Prüfungen werden anhand vorbereiteter Beispiele eingeordnet; deren Einführung und Konfiguration werden in den weiterführenden Seminaren vertieft.

Im Fallbeispiel werden Änderungen an einem Kundenportal betrachtet: Eine neue Exportfunktion greift auf vertrauliche Daten zu, eine Drittkomponente erhält ein Sicherheitsupdate und eine alte Schnittstelle soll abgeschaltet werden. An diesen unterschiedlichen Anlässen wird deutlich, warum Sicherheitsaufgaben nicht nur vor großen Veröffentlichungen erforderlich sind. Gemeinsam wird eingeordnet, welche Entscheidungen das Entwicklungsteam selbst treffen kann und an welchen Stellen Produktverantwortung oder Betrieb eingebunden werden müssen. Die Begriffe werden anhand konkreter Arbeitsaufgaben erklärt, sodass auch Rollen ohne Programmierpraxis am gemeinsamen Fall mitarbeiten können.

Inhaltsübersicht

1. Lebenszyklus und Sicherheitsaufgaben
2. Risiken und Verantwortlichkeiten
3. Kontrollen und Freigaben
4. Einführung im Team

Seminarinhalte

Lebenszyklus und Sicherheitsaufgaben

• Planung, Entwurf, Implementierung, Verifikation, Veröffentlichung, Wartung und Außerbetriebnahme zusammenführen.
• Sicherheitsarbeit in bestehende agile oder klassische Abläufe einordnen und Übergaben sichtbar machen.
• Produktfehler, technische Schwachstellen und betriebliche Fehlkonfigurationen an Beispielen unterscheiden.

Risiken und Verantwortlichkeiten

• Schutzbedürftige Daten, zentrale Geschäftsprozesse und wesentliche Angriffsflächen identifizieren.
• Auswirkung, Eintrittsbedingungen und Unsicherheit einer Risikobewertung verständlich dokumentieren.
• Produktverantwortung, Entwicklung, Tests, Security Champions und Betrieb mit konkreten Aufgaben versehen.

Kontrollen und Freigaben

• Sicherheitsanforderungen, Architekturprüfung, Code Review und Sicherheitstests miteinander verbinden.
• Statische Analyse, dynamische Tests, Abhängigkeitsprüfung und Geheimnissuche anhand ihrer Aussagekraft unterscheiden.
• Mindestnachweise, Freigabeentscheidungen und zeitlich begrenzte Risikoausnahmen festlegen.

Einführung im Team

• Ein geeignetes Pilotprodukt auswählen und die ersten Sicherheitsaufgaben im Backlog verankern.
• Befunde priorisieren, Verantwortliche benennen und Rückmeldungen aus dem Betrieb berücksichtigen.
• Pflege von Abhängigkeiten, Unterstützungsende und geordnete Außerbetriebnahme frühzeitig einplanen.

Praxisübungen

1. Die Fallanwendung in Komponenten, Daten und beteiligte Rollen zerlegen.
2. Drei wesentliche Risiken auswählen und den betroffenen Lebenszyklusphasen zuordnen.
3. Aus jedem Risiko eine Entwicklungsaufgabe und einen geeigneten Prüfnachweis ableiten.
4. Eine beispielhafte Releasefreigabe anhand vorgegebener Befunde beraten und begründen.
5. Die ersten Einführungsschritte für ein Pilotteam mit Zuständigkeiten und Erfolgskriterien ordnen.