Seminar Sicherheit, Compliance, SSO und Zugriffssteuerung

Sicherheitskontrollen entlang des gesamten Testablaufs verankern

Mobile Testplattformen verarbeiten App-Builds, Anmeldedaten, Testdaten, Videos, Screenshots, Logs und Netzwerkverkehr. Sicherheit darf deshalb nicht auf den Login beschränkt werden, sondern muss Gerät, Tunnel, Artefakte und Betriebsprozesse einschließen.

Das Seminar erstellt ein kontrollierbares Sicherheitsmodell mit minimalen Rechten, starker Anmeldung, Datenklassifikation, Aufbewahrungsregeln und überprüfbaren Incident-Abläufen.

Inhaltsverzeichnis

• Sicherheitskontrollen entlang des gesamten Testablaufs verankern
• Lernziele
• Zielgruppe und Voraussetzungen
• Seminarmodule
  1. Modul 1: Bedrohungsmodell und Datenflüsse
  2. Modul 2: Identität, SSO und MFA
  3. Modul 3: Rollen und minimale Rechte
  4. Modul 4: Netzwerk- und IP-Kontrollen
  5. Modul 5: Apps, Zertifikate und Secrets
  6. Modul 6: Testdaten und persistente Zustände
  7. Modul 7: Aufzeichnung und Aufbewahrung
  8. Modul 8: Audit und Compliance-Nachweis
  9. Modul 9: Incident Response
• Praxislabor
• Qualitäts- und Abnahmekriterien

Lernziele

• Bedrohungen und Datenflüsse vollständig erfassen.
• SAML SSO, MFA, Rollen und IP-Regeln angemessen gestalten.
• App-Builds, Secrets, Zertifikate und Testdaten schützen.
• Aufzeichnung, Artefakte und Aufbewahrung regelbasiert steuern.
• Audit, Rezertifizierung und Incident Response in den Betrieb integrieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Architects, Informationssicherheitsbeauftragte, Datenschutz, IAM-Teams, QA-Leitungen, Plattformadministratoren und Compliance-Verantwortliche.

Voraussetzungen: Grundkenntnisse in IAM, Netzwerksicherheit und Datenschutz; vorhandene Sicherheitsrichtlinien sind hilfreich.

Seminarmodule

Modul 1: Bedrohungsmodell und Datenflüsse

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Akteure, Geräte, Apps, Testdaten, Tunnel und Artefakte inventarisieren.
2. Schritt 2: Vertrauensgrenzen und mögliche Missbrauchspfade markieren.
3. Schritt 3: Auswirkung und Wahrscheinlichkeit bewerten.
4. Schritt 4: Kontrollen und Restrestrisiken zuordnen.

Modul 2: Identität, SSO und MFA

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Identitätsquelle, Benutzerlebenszyklus und Gruppenmodell festlegen.
2. Schritt 2: SAML-Anmeldung technisch und organisatorisch einordnen.
3. Schritt 3: Mehrfaktorabsicherung für privilegierte und allgemeine Zugänge bestimmen.
4. Schritt 4: Break-Glass-Zugang mit Protokollierung und Nachkontrolle definieren.

Modul 3: Rollen und minimale Rechte

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Standardrollen nach tatsächlichen Aufgaben ableiten.
2. Schritt 2: Sonderrechte für Administration, sensible Geräte und Artefakte trennen.
3. Schritt 3: Vier-Augen-Prinzip an kritischen Änderungen einplanen.
4. Schritt 4: Rollenwechsel und Rezertifizierung regelmäßig ausführen.

Modul 4: Netzwerk- und IP-Kontrollen

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Erlaubte Quellnetze und Verwaltungszugriffe festlegen.
2. Schritt 2: IP-Allowlisting mit Remote-Arbeit und CI-Systemen abgleichen.
3. Schritt 3: Tunnelzugriffe auf notwendige Ziele begrenzen.
4. Schritt 4: DNS, TLS, Proxy und Zertifikate in die Sicherheitsprüfung aufnehmen.

Modul 5: Apps, Zertifikate und Secrets

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: App-Builds und Signaturmaterial klassifizieren.
2. Schritt 2: Zertifikate nach Zweck, Gültigkeit und Eigentümer verwalten.
3. Schritt 3: Zugangsdaten über geschützte Variablen und Secret Stores bereitstellen.
4. Schritt 4: Geheimnisse aus Logs, Screenshots und Testdaten fernhalten.

Modul 6: Testdaten und persistente Zustände

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Synthetische Daten als Standard festlegen.
2. Schritt 2: Produktive oder personenbezogene Daten nur nach genehmigter Ausnahme zulassen.
3. Schritt 3: Persistente Konten, Apps und Einstellungen zeitlich begrenzen.
4. Schritt 4: Cleaning und Restore mit Nachweis prüfen.

Modul 7: Aufzeichnung und Aufbewahrung

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Video, Screenshots, Logs und Netzwerkdaten nach Schutzbedarf klassifizieren.
2. Schritt 2: Aufzeichnung für sensible Testklassen reduzieren oder kontrollieren.
3. Schritt 3: Aufbewahrungsfristen und automatische Löschung definieren.
4. Schritt 4: Zugriff und Weitergabe in Tickets beschränken.

Modul 8: Audit und Compliance-Nachweis

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Zugänge, Rollen, Ausnahmen, Änderungen und Löschungen protokollieren.
2. Schritt 2: Regelmäßige Kontrollstichproben planen.
3. Schritt 3: Abweichungen mit Eigentümer und Frist nachverfolgen.
4. Schritt 4: Wirksamkeit der Kontrolle anhand echter Abläufe prüfen.

Modul 9: Incident Response

Der Themenblock verbindet Planung, Konfiguration, Durchführung und Prüfung in einer nachvollziehbaren Arbeitsfolge.

1. Schritt 1: Verlust, Fehlkonfiguration, Datenabfluss und unberechtigten Zugriff als Szenarien definieren.
2. Schritt 2: Sperren, Geheimniswechsel und Gerätereinigung vorbereiten.
3. Schritt 3: Beweissicherung und Datenschutzmeldung berücksichtigen.
4. Schritt 4: Wiederaufnahme des Betriebs mit Nachkontrolle freigeben.

Praxislabor

Die Übungen bauen aufeinander auf und enden jeweils mit einem dokumentierten Prüfpunkt.

1. Übung 1: Ein Bedrohungs- und Datenflussmodell für einen mobilen Testprozess erstellen.
2. Übung 2: Rollen-, SSO-, MFA- und IP-Kontrollen für mehrere Nutzergruppen entwerfen.
3. Übung 3: Aufzeichnungs- und Aufbewahrungsregeln für normale und sensible Tests formulieren.
4. Übung 4: Einen Incident mit kompromittiertem Testkonto und persistentem Gerätezustand durchspielen.

Qualitäts- und Abnahmekriterien

• Kontrollen decken Identität, Netzwerk, Gerät, Daten und Artefakte ab.
• Privilegien sind auf konkrete Aufgaben und Zeiträume begrenzt.
• Aufzeichnung und Aufbewahrung entsprechen dem Schutzbedarf.
• Incidents besitzen vorbereitete Sperr-, Bereinigungs- und Wiederanlaufverfahren.