Seminar GitLab Security Scanning Governance und Vulnerability Management

Dieses Seminar behandelt Security Scanning nicht als isolierten Pipeline-Schritt, sondern als Governance-Prozess. Schwerpunkt sind Bewertung, Priorisierung, Verantwortlichkeiten, Ausnahmen, Freigaben und nachhaltige Bearbeitung von Sicherheitsbefunden.

Die Inhalte richten sich an Organisationen, in denen Security-Ergebnisse nicht nur sichtbar, sondern verbindlich in Entwicklungs- und Release-Prozesse eingebunden werden müssen.

Inhaltsübersicht

• Security-Befunde aus SAST, Dependency Scanning, Secret Detection und Container Scanning einordnen
• Vulnerability Management mit Schweregrad, Status, Zuständigkeit und Fristen
• Merge Request-Integration, Approval-Regeln und Qualitätsgates
• Umgang mit False Positives, Risikoakzeptanz und zeitlich begrenzten Ausnahmen
• Projekt-, Gruppen- und Plattformstandards für DevSecOps-Governance
• Berichtsfähige Prozesse für Audit, interne Kontrolle und technische Leitung

Praxisorientierte Beschreibung

Viele Security-Scanning-Einführungen scheitern nicht an der Technik, sondern an fehlenden Regeln. Dieses Seminar setzt genau dort an: Welche Befunde blockieren einen Release, welche werden priorisiert, wer darf Ausnahmen genehmigen und wie bleibt die Bearbeitung nachvollziehbar.

Die GitLab-Funktionen werden in einen Governance-Rahmen eingeordnet. Behandelt werden Security Reports, Merge Requests, Verantwortlichkeiten zwischen Entwicklung und Security, Priorisierung nach Kritikalität und technische Grenzen automatisierter Bewertung.

Der Praxisteil führt vom Befund bis zur Entscheidung: Befund analysieren, Ticket oder Issue ableiten, Korrektur prüfen, Ausnahme dokumentieren und Regelwerk verbessern. Sicherheitsarbeit bleibt damit nicht im Dashboard liegen, sondern wird Teil des normalen Lieferprozesses.

Schrittweiser Seminaraufbau

1. Security-Scanning-Ergebnisse nach Risiko und Prozessrelevanz klassifizieren
2. Vulnerability Management für Projekte und Gruppen strukturieren
3. Approval- und Freigaberegeln für kritische Befunde definieren
4. Ausnahmen, False Positives und Risikoakzeptanz kontrolliert behandeln
5. Berichts- und Eskalationswege für Plattform- und Security-Teams festlegen
6. Governance-Blueprint für eine GitLab Self-Managed Umgebung erstellen

Praktische Übungen

• Mehrere Security-Befunde bewerten und priorisieren
• Freigaberegel für kritische Vulnerabilities entwerfen
• Ausnahmeprozess mit Begründung und Ablaufdatum modellieren
• Vulnerability-Workflow von Merge Request bis Nachverfolgung abbilden
• Governance-Mindeststandard für neue Projekte formulieren

Zielgruppe

Geeignet für Teams, die Security Scanning verbindlich in Entwicklungs-, Freigabe- und Compliance-Prozesse einbinden müssen.