Seminar ONEKEY OCP – Secure Development Lifecycle und Quality Gates

Security-Prüfungen entfalten ihre Wirkung nur dann, wenn sie früh geplant, wiederholbar automatisiert und mit klaren Freigabekriterien verbunden werden. Die ONEKEY Plattform liefert technische Evidenzen, die entlang des Entwicklungszyklus in Anforderungen, Tickets, Quality Gates, Risikoentscheidungen und Compliance-Nachweise überführt werden.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist ein durchgängiger Secure-Development- und Releaseprozess mit messbaren Product-Security-Kontrollen. Analysezeitpunkte, Verantwortlichkeiten, Schwellenwerte, Ausnahmen und Nachweise werden so definiert, dass Entwicklungsgeschwindigkeit und Risikosteuerung miteinander vereinbar bleiben.

Zielgruppe

Software- und Firmwareentwicklung, DevSecOps, Product Security, Release Management, Qualitätsmanagement, Produktmanagement, Compliance und Engineering-Leitung

Voraussetzungen

Erfahrung mit Entwicklungs-, Build- oder Releaseprozessen sowie grundlegende Kenntnisse zu SBOM und Schwachstellenmanagement; Plattformgrundlagen sind empfehlenswert

Seminarinhalte

Modul 1: Security Governance im Entwicklungszyklus

Rollen, Entscheidungen und Mindestkontrollen werden auf Entwicklungsphasen und Produktverantwortung verteilt.

1. Schritt 1: Planung, Architektur, Implementierung, Integration, Verifikation, Release und Pflege als Security-Lifecycle strukturieren.
2. Schritt 2: Verantwortliche für Analyse, Triage, Ausnahme, Freigabe und Nachweis benennen.
3. Schritt 3: Definition of Done und Security-Akzeptanzkriterien je Phase festlegen.

Modul 2: Security-Anforderungen und Bedrohungsmodell

Produktkontext und Risiken bestimmen, welche Plattformkontrollen und Nachweise erforderlich sind.

1. Schritt 1: Assets, Schnittstellen, Vertrauensgrenzen und Missbrauchsszenarien erfassen.
2. Schritt 2: Security-Anforderungen nach Kritikalität und Produktmarkt priorisieren.
3. Schritt 3: Anforderungen mit prüfbaren Evidenzen und Release-Kriterien verknüpfen.

Modul 3: Analyseartefakte und Reproduzierbarkeit

Nur eindeutig identifizierte Build- und Firmwareartefakte ermöglichen belastbare Freigaben.

1. Schritt 1: Build, Firmware, Version, Hash und Herkunft als Freigabeobjekt definieren.
2. Schritt 2: Upload und Analyse mit konsistenten Metadaten durchführen.
3. Schritt 3: Analysefehler, unvollständige Ergebnisse und Wiederholungsbedingungen kontrolliert behandeln.

Modul 4: SBOM als Entwicklungs- und Releaseartefakt

Komponenteninformationen werden aus Build- und Binärsicht konsolidiert und freigegeben.

1. Schritt 1: Erzeugte oder importierte SBOM mit Firmwareerkennung vergleichen.
2. Schritt 2: Komponentenidentität, Versionen, Abhängigkeiten und unbekannte Einträge validieren.
3. Schritt 3: SBOM-Qualität und Änderungsdifferenz als Quality-Gate-Kriterium definieren.

Modul 5: CVE- und Issue-Triage im Team

Befunde werden in handhabbare Engineering-Aufgaben mit belastbarer Priorität überführt.

1. Schritt 1: CVE und statische Issues nach technischer Betroffenheit und Angriffsweg bewerten.
2. Schritt 2: Status, Schwere, Verantwortlichkeit und Zielrelease dokumentieren.
3. Schritt 3: Tickets mit Fundstelle, Evidenz, Akzeptanzkriterium und Rückverweis auf den Analysebefund erstellen.

Modul 6: Zero-Day- und organisationsspezifische Regeln

Bekannte Schwachstellen werden durch implementierungsnahe und eigene Prüfregeln ergänzt.

1. Schritt 1: Relevante Issue-Kategorien für Produkt und Programmiersprachen auswählen.
2. Schritt 2: False Positives und echte Angriffspfade anhand von Datenfluss und Kontext unterscheiden.
3. Schritt 3: Custom Analysis Profile oder OQL-Regel als wiederholbare Entwicklungsprüfung definieren.

Modul 7: Compliance by Design

Regulatorische und normative Nachweise werden während der Entwicklung statt erst vor Markteinführung aufgebaut.

1. Schritt 1: Anwendbare Anforderungen und erforderliche Evidenzen frühzeitig bestimmen.
2. Schritt 2: Firmware-, SBOM-, Test- und Prozessnachweise im Compliance Wizard zuordnen.
3. Schritt 3: Gaps als Entwicklungsaufgaben mit Verantwortlichkeit und Abnahmekriterium planen.

Modul 8: Quality Gates und Schwellenwerte

Objektive Regeln steuern, wann ein Build weiterverarbeitet, freigegeben oder blockiert wird.

1. Schritt 1: Kriterien für kritische CVEs, ausnutzbare Issues, SBOM-Qualität, Lizenzen und offene Compliance-Gaps definieren.
2. Schritt 2: Warnung, manuelle Prüfung und harte Blockade nach Risikoklasse unterscheiden.
3. Schritt 3: Gate-Ergebnis, Evidenz und erforderliche Freigaberolle dokumentieren.

Modul 9: Ausnahmen und Risikoakzeptanz

Nicht sofort behebbare Befunde werden zeitlich begrenzt und kontrolliert behandelt.

1. Schritt 1: Technische Begründung, Produktauswirkung und kompensierende Kontrolle erfassen.
2. Schritt 2: Gültiger Produktstand, Ablaufdatum und Genehmiger festlegen.
3. Schritt 3: Wiedervorlage, Monitoring und automatische Eskalation bei geänderten Bedingungen definieren.

Modul 10: Kennzahlen und kontinuierliche Verbesserung

Prozessdaten werden genutzt, um Ursachen zu erkennen und Security früher wirksam zu machen.

1. Schritt 1: Befundalter, Wiederholfehler, Gate-Fehlschläge, Ausnahmequote und Behebungszeit messen.
2. Schritt 2: Komponenten-, Lieferanten- und Entwicklungsmuster analysieren.
3. Schritt 3: Verbesserungsmaßnahmen in Anforderungen, Tooling, Architektur und Schulung überführen.

Praxiswerkstatt

1. Arbeitsschritt 1: Einen Secure-Development-Prozess mit Rollen, Analysepunkten und Security-Artefakten modellieren.
2. Arbeitsschritt 2: Für ein Release eine SBOM-Qualitätsprüfung sowie CVE- und Issue-Triage durchführen.
3. Arbeitsschritt 3: Ein mehrstufiges Quality Gate mit Warn-, Prüf- und Blockadekriterien definieren.
4. Arbeitsschritt 4: Eine zeitlich begrenzte Ausnahme mit kompensierender Kontrolle und Monitoring dokumentieren.
5. Arbeitsschritt 5: Freigabebericht und Verbesserungsmaßnahmen aus Kennzahlen eines simulierten Releasezyklus ableiten.

Kompetenzziele

• Product-Security-Kontrollen in alle Phasen des Entwicklungszyklus integrieren
• SBOM-, CVE-, Issue- und Compliance-Evidenzen als Releaseartefakte steuern
• Messbare, risikobasierte Quality Gates definieren
• Ausnahmen und Risikoakzeptanzen kontrolliert verwalten
• Prozesskennzahlen für nachhaltige SDL-Verbesserungen verwenden