Seminar ImmuniWeb Application Security Posture Management

Seminarprofil

Das Seminar zeigt, wie technische Ergebnisse aus Discovery, Neuron, On-Demand, Mobile-Produkten und Continuous zu einer konsistenten Application Security Posture zusammengeführt werden. Im Mittelpunkt stehen Datenqualität, Risikonormalisierung, Ownership, Service-Level, Ausnahmebehandlung und belastbare Management-Kennzahlen.

Die angesetzte Dauer von 2 tage ist fachlich erforderlich, weil die fachliche Konsolidierung verschiedener Ergebnisquellen und der Aufbau eines steuerbaren Governance-Prozesses mehr als eine reine Produkteinweisung, jedoch keine mehrtägige technische Testausbildung erfordern.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. ASPM-Zielbild und Datenmodell
5. Konsolidierung von Assets und Findings
6. Risikomodell und Priorisierung
7. Remediation Governance
8. Kennzahlen und Management-Berichte
9. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Application-Security-Verantwortliche, CISO-Organisationen, Security Governance, Vulnerability Management, IT-Risikomanagement, Revision und technische Service Owner.

Voraussetzungen: Grundkenntnisse zu Schwachstellenmanagement, Anwendungen und Risikobewertung; Erfahrungen mit mindestens einer ImmuniWeb-Komponente sind hilfreich.

Lernziele

• Eine belastbare Asset- und Ownership-Struktur für Anwendungen aufbauen.
• Findings aus verschiedenen Prüfverfahren normalisieren und konsolidieren.
• Risikobasierte Priorisierung und verbindliche Behebungsfristen definieren.
• Ausnahmen, Akzeptanzen und Überfälligkeiten nachvollziehbar steuern.
• Kennzahlen für operative Teams und Management ableiten.

Seminarinhalte

1. ASPM-Zielbild und Datenmodell

Zu Beginn wird festgelegt, welche Entscheidungen die Application Security Posture tatsächlich unterstützen soll.

1. Anwendungen, APIs, mobile Apps und technische Komponenten als steuerbare Objekte modellieren.
2. Geschäftskritikalität, Datenklassen, Exposition und Owner ergänzen.
3. Ergebnisquellen und deren Prüftiefe transparent kennzeichnen.
4. Pflichtfelder und Qualitätsregeln für das zentrale Datenmodell definieren.

2. Konsolidierung von Assets und Findings

Mehrere Scanner und Prüfarten erzeugen Überschneidungen, die fachlich bereinigt werden müssen.

1. Asset-Duplikate anhand stabiler Merkmale erkennen.
2. Findings nach Ursache, Ort und Behebungsmaßnahme gruppieren.
3. Wiederkehrende Befunde und Regressionen gesondert markieren.
4. Unklare Zuordnungen in einen definierten Klärungsprozess geben.

3. Risikomodell und Priorisierung

Technischer Schweregrad allein reicht für die Steuerung nicht aus.

1. Schweregrad, Ausnutzbarkeit und Evidenzqualität erfassen.
2. Geschäftskritikalität, Exposition und Datenwirkung ergänzen.
3. Kompensierende Kontrollen und bekannte Angriffspfade berücksichtigen.
4. Aus den Faktoren nachvollziehbare Prioritätsklassen ableiten.

4. Remediation Governance

Die Behebung wird als verbindlicher Prozess mit eindeutigen Übergaben gestaltet.

1. Owner und Bearbeiter je Anwendung und Findingtyp bestimmen.
2. Service-Level nach Priorität und Systemklasse definieren.
3. Ausnahmen mit Begründung, Laufzeit und Genehmigung dokumentieren.
4. Eskalationen und Retests an klare Statusübergänge koppeln.

5. Kennzahlen und Management-Berichte

Kennzahlen sollen Verhalten steuern und nicht lediglich große Zahlenkolonnen produzieren.

1. Bestand, Neuzugang, Abschlussrate und Altersstruktur getrennt auswerten.
2. Risikoreduktion und Wiederholungsquote messen.
3. Abdeckung nach Assetklasse und Prüfverfahren darstellen.
4. Management-Sicht und operative Detailansicht zielgruppengerecht trennen.

Praxisübungen

• Entwurf eines ASPM-Datenmodells für ein Beispielunternehmen.
• Konsolidierung eines gemischten Finding-Bestands.
• Berechnung einer risikobasierten Priorität mit dokumentierten Kriterien.
• Aufbau eines Kennzahlensets samt Eskalationsschwellen.

Im Rahmen der Übungen entsteht ein ASPM-Betriebsmodell mit Datenmodell, Risikologik, Service-Level, Rollen und Berichtswesen.