Seminar Sonatype Vulnerability Management, Waiver und Risk Governance

Überblick

Dieses Seminar behandelt die operative Risikosteuerung mit Sonatype Lifecycle. Schwerpunkte sind Vulnerability Management, Priorisierung, Waiver, Ausnahmeprozesse, Reports und Governance. Zwei Tage sind passend, weil es weniger um Installation geht, sondern um belastbare Bewertungs- und Entscheidungsprozesse.

Inhaltsverzeichnis

• Überblick
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praktische Übungen

Zielgruppe

Application-Security-Teams, Security Engineers, Product Owner mit technischer Verantwortung, DevOps-Teams und Governance-Rollen.

Voraussetzungen

Grundkenntnisse in Schwachstellenmanagement, Softwareabhängigkeiten und Release-Prozessen. Lifecycle-Grundwissen ist hilfreich.

Seminarinhalte

1. Risikomodell festlegen

1. Security-Risiken, Lizenzrisiken und Qualitätsrisiken voneinander trennen.
2. Bewertungskriterien für Kritikalität, Ausnutzbarkeit und Geschäftskontext definieren.
3. Priorisierungslogik für Teams und Anwendungen aufbauen.

2. Vulnerability Management anwenden

1. Betroffene Komponenten und Versionen identifizieren.
2. Remediation-Optionen und Upgrade-Pfade bewerten.
3. Risiken nach Stage, Anwendung und Komponententyp sortieren.

3. Waiver governancefähig steuern

1. Ausnahmen mit Begründung, Risikoakzeptanz und Ablaufdatum dokumentieren.
2. Review- und Verlängerungsprozesse festlegen.
3. Missbrauch von dauerhaften Ausnahmen durch Kontrollen begrenzen.

4. Reporting und Eskalation etablieren

1. Reports für operative Teams und Management-Zielgruppen strukturieren.
2. Eskalationswege für blockierende Risiken definieren.
3. Kennzahlen für Verbesserung und Regelqualität ableiten.

Praktische Übungen

• Priorisierung einer Beispiel-Risikoliste.
• Bewertung von Upgrade- und Waiver-Optionen.
• Erstellung eines Ausnahmeformulars als Prozessbaustein.
• Entwurf eines Governance-Reports.