Seminar ONEKEY OCP – Open-Source-Lizenzmanagement

Lizenzinformationen in Firmware und Software sind häufig unvollständig, widersprüchlich oder nur indirekt erkennbar. Ein belastbarer Prozess verbindet automatische Erkennung mit technischer Validierung, internen Richtlinien und einer nachvollziehbaren Freigabe- oder Maßnahmenentscheidung.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist die eigenständige Bewertung lizenzbezogener Komponentenbefunde. Datenqualität, potenzielle Pflichten, Richtlinienkonflikte und Abweichungen werden strukturiert geprüft und in einen prüffähigen Entscheidungs- und Nachweisprozess überführt.

Zielgruppe

Open-Source-Programmverantwortliche, Product Compliance, Legal-Schnittstellen, Entwicklung, Product Security, Qualitätsmanagement, Beschaffung und technische Dokumentation

Voraussetzungen

Grundverständnis für Softwarekomponenten und SBOM; juristische Spezialkenntnisse sind nicht erforderlich, organisationsspezifische Lizenzrichtlinien sind für Übungen hilfreich

Seminarinhalte

Modul 1: Lizenzdaten im Komponentenmodell

Komponente, Version, Lizenzangabe und Erkennungsevidenz werden als zusammenhängender Prüfgegenstand verstanden.

1. Schritt 1: Komponentenliste nach Lizenzstatus und Datenqualität filtern.
2. Schritt 2: Lizenzbezeichnung, Quelle und Fundstelle in der Firmware nachvollziehen.
3. Schritt 3: Unbekannte, mehrdeutige und mehrfach lizenzierte Komponenten markieren.

Modul 2: SBOM- und Erkennungsqualität prüfen

Lizenzentscheidungen setzen eine verlässliche Komponentenidentifikation voraus.

1. Schritt 1: Komponentenname und Version anhand technischer Evidenz validieren.
2. Schritt 2: Automatisch erkannte Daten mit Lieferanten- oder Entwicklungsinformationen abgleichen.
3. Schritt 3: Korrektur, Ergänzung oder Eskalation bei unzureichender Datenqualität dokumentieren.

Modul 3: Lizenzrichtlinie und Risikoklassen

Organisationsregeln werden in verständliche Prüf- und Freigabekategorien übersetzt.

1. Schritt 1: Zulässige, prüfpflichtige und gesperrte Lizenzgruppen definieren.
2. Schritt 2: Verwendungsart, Verteilung, Modifikation und Produktkontext als Bewertungsparameter erfassen.
3. Schritt 3: Schwellenwerte und erforderliche Freigaberollen je Risikoklasse festlegen.

Modul 4: Konflikte und Maßnahmen bearbeiten

Auffällige Komponenten werden mit einem kontrollierten Maßnahmen- und Ausnahmeprozess behandelt.

1. Schritt 1: Richtlinienkonflikt oder unklare Lizenzlage einem Verantwortlichen zuweisen.
2. Schritt 2: Austausch, Versionswechsel, Nachlizenzierung, Dokumentation oder Ausnahme als Maßnahme bewerten.
3. Schritt 3: Begründung, Gültigkeitsbereich, Termin und Freigabe im Audit Trail festhalten.

Modul 5: Nachweise und kontinuierliche Kontrolle

Lizenzstatus wird versionsbezogen berichtet und bei neuen Firmwareständen erneut geprüft.

1. Schritt 1: Lizenz- und Komponentenbericht für Produktfreigabe oder Audit erzeugen.
2. Schritt 2: Hinweise, Verpflichtungen und offene Abweichungen auf Vollständigkeit kontrollieren.
3. Schritt 3: Wiederholungsprüfung und Monitoring bei Komponenten- oder Versionsänderungen definieren.

Praxiswerkstatt

1. Arbeitsschritt 1: Eine Komponentenliste nach unbekannten, mehrfachen und richtlinienkritischen Lizenzangaben klassifizieren.
2. Arbeitsschritt 2: Für ausgewählte Komponenten Erkennungsevidenz und Datenqualität validieren.
3. Arbeitsschritt 3: Eine Lizenzabweichung mit Maßnahme, Freigabe, Gültigkeitsbereich und Nachweisbericht dokumentieren.

Kompetenzziele

• Lizenzbefunde in SBOM und Firmware systematisch prüfen
• Datenqualität und Erkennungsevidenz fachlich validieren
• Lizenzrichtlinien in praktische Risikoklassen und Freigaben übersetzen
• Abweichungen und Maßnahmen auditierbar dokumentieren