Seminar Application Security für Projektleitung und Product Owner

Seminarbeschreibung

Sicherheitsmaßnahmen werden wirksam, wenn Verantwortung, Aufwand und Abnahmekriterien frühzeitig geklärt sind. Das Seminar richtet sich an Rollen, die Produkte planen, Entwicklungsteams koordinieren oder Releases freigeben. Technische Risiken werden anhand verständlicher Anwendungsszenarien in fachliche Auswirkungen und priorisierbare Maßnahmen übersetzt.

Ein fiktives Kundenportal bildet den Rahmen für die Arbeit an Sicherheitsanforderungen und einem überschaubaren Backlog. Im Mittelpunkt stehen Entscheidungen: Welche Nachweise sind vor einer Freigabe notwendig, wer akzeptiert ein verbleibendes Risiko und wann muss eine Entscheidung erneut geprüft werden? Die Fallarbeit behandelt auch Dienstleister, Fremdkomponenten und den geregelten Umgang mit Sicherheitsmeldungen.

Inhalte im Überblick

• Anwendungsrisiken und fachliche Auswirkungen
• Verantwortlichkeiten und überprüfbare Anforderungen
• Priorisierung, Nachweise und Freigaben
• Fallwerkstatt für ein Produktteam

Zielgruppe

Product Owner, Projekt- und Entwicklungsleitung, Produktmanagement, Qualitätsverantwortliche und Security Champions mit koordinierenden Aufgaben.

Voraussetzungen

Erfahrung mit Softwareprojekten, Backlog-Pflege oder Produktverantwortung. Programmierkenntnisse und praktische Erfahrung mit Sicherheitswerkzeugen sind nicht erforderlich.

Seminarinhalte

Anwendungsrisiken und fachliche Auswirkungen

• Vertraulichkeit, Integrität und Verfügbarkeit anhand typischer Produktfunktionen unterscheiden.
• Schützenswerte Informationen, privilegierte Funktionen und besonders kritische Geschäftsabläufe erfassen.
• Technische Befunde in Auswirkungen auf Kunden, Betrieb und Produktqualität übersetzen.

Verantwortlichkeiten und überprüfbare Anforderungen

• Aufgaben zwischen Entwicklung, Produktverantwortung, Betrieb und Informationssicherheit festlegen.
• Security User Stories mit eindeutigen Akzeptanzkriterien formulieren.
• Sicherheitsarbeiten in Planung, Definition of Done und Abnahme integrieren.

Priorisierung, Nachweise und Freigaben

• Befunde nach Exposition, Ausnutzbarkeit und fachlicher Bedeutung bewerten.
• Freigabekriterien, befristete Ausnahmen und verantwortliche Risikoentscheidungen dokumentieren.
• Kennzahlen zu Behebungszeit, überfälligen Risiken und Testabdeckung sinnvoll interpretieren.

Fallwerkstatt für ein Produktteam

• Ein Sicherheitsbacklog für ein Kundenportal erstellen und mit dem Releaseplan abgleichen.
• Nachweise von internen Teams und Dienstleistern anhand konkreter Abnahmekriterien bewerten.
• Eine Schwachstellenmeldung mit Zuständigkeit, Rückmeldung und Entscheidungstermin bearbeiten.

Praxisübungen

1. Für das Beispielprodukt kritische Daten und Geschäftsprozesse erfassen.
2. Drei Risiken in prüfbare Anforderungen und konkrete Backlog-Einträge überführen.
3. Eine Freigabevorlage mit verbindlichen Nachweisen und befristeten Ausnahmen ausfüllen.
4. Eine simulierte Sicherheitsmeldung priorisieren und die Bearbeitung einem Verantwortlichen zuordnen.

Schulungsumgebung

Fallunterlagen, Vorlagen für Backlog und Freigabe sowie ein gemeinsam nutzbares Arbeitsdokument. Eine Entwicklungsumgebung ist nicht notwendig.

Seminarauswahl

Zur Übersicht und zu den empfohlenen Lernwegen