Seminar ONEKEY OCP – Administration, Rollen und Governance

Eine wirksame Product-Security-Plattform benötigt neben Analysefunktionen ein belastbares Betriebs- und Berechtigungsmodell. Das Seminar verbindet die technische Administration der Plattform mit Governance, Verantwortungszuordnung, Kennzahlensteuerung und nachvollziehbaren Freigabeprozessen.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist ein administrierbares, skalierbares und auditierbares Plattformmodell. Benutzerzugriffe, Produktzuständigkeiten und Entscheidungsrechte werden so strukturiert, dass Entwicklung, Product Security, PSIRT, Compliance, Audit und Management mit klar getrennten Aufgaben arbeiten können.

Zielgruppe

Plattformadministration, Product Security Management, CISO-Organisation, PSIRT-Leitung, Product Owner, Compliance Management, interne Revision und IT-Governance

Voraussetzungen

Grundkenntnisse der ONEKEY Plattform sowie Erfahrung mit Rollen-, Berechtigungs- oder Governance-Konzepten; technische Programmierkenntnisse sind nicht erforderlich

Seminarinhalte

Modul 1: Mandanten-, Benutzer- und Produktmodell

Die grundlegenden Verwaltungsobjekte werden in ein konsistentes Betriebsmodell überführt.

1. Schritt 1: Mandant, Benutzer, Benutzergruppe, Produkt und Produktgruppe fachlich voneinander abgrenzen.
2. Schritt 2: Produktbereiche und Zuständigkeiten anhand eines Beispielportfolios strukturieren.
3. Schritt 3: Namenskonventionen und Eigentümerschaft für dauerhaft nachvollziehbare Administration festlegen.

Modul 2: Rollen und Berechtigungen nach Least Privilege

Rollen werden nicht pauschal, sondern auf Basis konkreter Tätigkeiten und Schutzbedarfe vergeben.

1. Schritt 1: Erforderliche Aktionen je Funktion in einer Berechtigungsmatrix erfassen.
2. Schritt 2: Plattformrollen zu Benutzergruppen bündeln und Produktgruppen zuordnen.
3. Schritt 3: Überberechtigungen, Funktionstrennung und Zugriffe externer Beteiligter prüfen.

Modul 3: Benutzergruppen und Produktgruppen verwalten

Die operative Pflege von Benutzer- und Produktgruppen wird standardisiert.

1. Schritt 1: Neue Gruppen für Entwicklung, Analyse, Reporting, Compliance und Audit anlegen.
2. Schritt 2: Produkte und Firmwarestände den vorgesehenen Produktgruppen zuweisen.
3. Schritt 3: Eintritt, Rollenwechsel und Austritt über einen geregelten Joiner-Mover-Leaver-Prozess abbilden.

Modul 4: Governance und Verantwortungsmatrix

Technische Funktionen werden mit klaren Entscheidungs- und Freigaberechten verknüpft.

1. Schritt 1: RACI-Zuordnungen für Upload, Triage, Risikofreigabe, Compliance und Reporting erstellen.
2. Schritt 2: Eskalationswege für kritische Befunde und überfällige Maßnahmen definieren.
3. Schritt 3: Freigabepunkte zwischen Product Owner, Entwicklung, PSIRT und Compliance festlegen.

Modul 5: Management-Dashboards und Kennzahlen

Plattformdaten werden zu steuerungsrelevanten Aussagen verdichtet.

1. Schritt 1: Kennzahlen für Risikoexposition, offene Befunde, Bearbeitungszeit und Compliance-Status auswählen.
2. Schritt 2: Produkt-, Portfolio- und Zeitbezug der Kennzahlen eindeutig definieren.
3. Schritt 3: Schwellenwerte, Berichtsrhythmus und Empfängerkreise für Management-Reviews festlegen.

Modul 6: Audit Trail, Historie und Nachvollziehbarkeit

Änderungen an Bewertungen, Kommentaren und Freigaben werden als prüfbarer Entscheidungsverlauf genutzt.

1. Schritt 1: Relevante Historien- und Audit-Trail-Einträge systematisch auswerten.
2. Schritt 2: Begründungsstandards für Statusänderungen und Risikoakzeptanzen formulieren.
3. Schritt 3: Stichproben für interne Kontrollen und wiederkehrende Zugriffsreviews vorbereiten.

Modul 7: Betriebsmodell und kontinuierliche Verbesserung

Administration und Governance werden in einen wiederholbaren Regelbetrieb überführt.

1. Schritt 1: Betriebsaufgaben, Servicezeiten und Supportwege in einem Runbook festhalten.
2. Schritt 2: Regelmäßige Reviews für Rollen, Produkte, Analyseprofile und Berichtskonfigurationen terminieren.
3. Schritt 3: Verbesserungsmaßnahmen aus Kennzahlen, Audits und Plattformänderungen priorisieren.

Praxiswerkstatt

1. Arbeitsschritt 1: Ein Beispielunternehmen mit Entwicklung, PSIRT, Compliance, Audit und externem Lieferanten in Benutzer- und Produktgruppen abbilden.
2. Arbeitsschritt 2: Eine Least-Privilege-Rollenmatrix erstellen und typische Fehlkonfigurationen korrigieren.
3. Arbeitsschritt 3: Ein Management-Dashboard mit definierten Kennzahlen, Schwellenwerten und Eskalationsregeln konzipieren.
4. Arbeitsschritt 4: Ein vollständiges Governance-Runbook einschließlich Rollenreview und Audit-Stichprobe ausarbeiten.

Kompetenzziele

• Benutzer-, Rollen- und Produktgruppenmodelle strukturiert planen und administrieren
• Least-Privilege- und Funktionstrennungsprinzipien auf Plattformprozesse übertragen
• Product-Security-Governance mit eindeutigen Verantwortlichkeiten etablieren
• Kennzahlen, Audit Trails und Reviews für einen kontrollierten Regelbetrieb nutzen
• Ein skalierbares Betriebsmodell für mehrere Produktlinien entwickeln