Seminar Cyber Resilience Act – Intensivseminar SBOM, PSIRT und Product Security Operations

Dieser Intensivtrack konzentriert sich auf Product Security Operations nach und während der Veröffentlichung. Ein kompromittierter Drittbestandteil wird über SBOM und Lieferkettendaten identifiziert, technisch bewertet, als PSIRT-Fall koordiniert, fristgerecht gemeldet, gepatcht und über sichere Updatekanäle verteilt.

Der Track verbindet die sonst getrennten Disziplinen Komponenteninventar, Lieferantensteuerung, Schwachstellenbehandlung, Behördenmeldung und Supportbetrieb. Dadurch entstehen belastbare Übergaben statt paralleler Tickets, Tabellen und Notfalllisten.

Seminarziel

Ziel ist ein arbeitsfähiges Product-Security-Operations-Modell, das betroffene Releases schnell ermittelt, Entscheidungen nachvollziehbar dokumentiert und Korrekturen über den gesamten Supportzeitraum sicher bereitstellt.

Lernziele

• SBOMs mit definierter Mindest- und Engineering-Tiefe erzeugen, validieren und versionieren
• Open-Source-, Lieferanten- und Paketquellenrisiken kontinuierlich steuern
• Provenance, Signaturen und Integritätsprüfungen für die Lieferkette einsetzen
• PSIRT-Intake, Triage, CVD, CVE, Advisory und Remediation operationalisieren
• 24-/72-Stunden-Meldungen und Abschlussberichte über die Single Reporting Platform vorbereiten
• Sichere Updates, Patch-SLAs, Rollback und Updatearchive beherrschen
• Supportzeitraum, End of Support und fortbestehende Meldepflicht sauber trennen

Inhalte

SBOM und Komponentenintelligenz

• SPDX, CycloneDX, direkte und transitive Abhängigkeiten sowie Releasezuordnung
• PURL, CPE, Hashes, Beziehungen, Validierung, Differenzanalyse und Signierung
• Vulnerability Matching, Reachability, VEX und Priorisierung
• Abfrage betroffener Produktversionen, Kundenstände und Buildpfade

Open Source und Software Supply Chain

• Hersteller-, Steward- und Lieferantenrollen sowie kommerzielle Integration
• Approved Sources, Lockfiles, Paketmanager-Härtung und Abhängigkeitspinning
• Isolierte Builds, Provenance, Artefaktsignaturen und Verifikation
• Lieferantenanforderungen, Patchzusagen, Eskalation und End-of-Life-Komponenten

PSIRT und CRA Reporting

• Sichere Meldekanäle, Reproduktion, Schweregrad, Exploitierbarkeit und Fallworkflow
• CVD, CVE, Embargo, Advisory, Reporter- und Kundenkommunikation
• Aktiv ausgenutzte Schwachstelle, schwerer Sicherheitsvorfall und Kenntniserlangung
• Single Reporting Platform, koordinierendes CSIRT, Frühwarnung, 72-Stunden-Meldung und Abschlussbericht

Patch-, Update- und Supportbetrieb

• Begründeter Supportzeitraum, mindestens fünfjährige Untergrenze und Enddatum
• Patch-SLAs, Backports, Notfallfreigabe, Regression und gestaffelter Rollout
• Signierte Updates, Schlüsselrotation, Anti-Rollback, Wiederherstellung und Offline-Szenarien
• Mindestens zehnjährige Verfügbarkeit veröffentlichter Sicherheitsupdates und End-of-Support-Kommunikation

Praktische Übungen

• Release-SBOM erzeugen, prüfen, signieren und Schwachstellen korrelieren
• Manipulierte Abhängigkeit über Provenance und Builddaten zurückverfolgen
• PSIRT-Fall mit CVD, Advisory, CVE-Daten und Patchkoordination bearbeiten
• 24-Stunden-Frühwarnung, 72-Stunden-Meldung und Abschlussbericht erstellen
• Sicheres Update mit Verifikation, Rollback und gestaffeltem Rollout planen
• Supportmatrix, Updatearchiv und End-of-Support-Plan aufbauen

Zielgruppe

Das Intensivseminar richtet sich an Teams, die Komponenten-, Lieferketten-, Schwachstellen-, Reporting- und Updateprozesse zu einem belastbaren Product-Security-Betrieb verbinden müssen.