Seminar OSS – Intensivseminar Governance, Compliance und Lieferkettenkontrolle

Das Intensivseminar verbindet organisatorische OSS-Governance mit Lizenz- und Security-Compliance, SBOM, Third-Party-Risk-Management und Audit. Es entwickelt ein praxistaugliches Kontrollsystem, das Beschaffung und Betrieb durchgängig unterstützt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Eine risikobasierte OSS-Policy und ein tragfähiges OSPO-Betriebsmodell entwickeln
• Komponenten, Lizenzen, Schwachstellen und Lieferkettenabhängigkeiten transparent machen
• Lieferanten- und Drittparteienkontrollen von Onboarding bis Offboarding organisieren
• Audit, Kennzahlen, Ausnahmen und Verbesserungsmaßnahmen revisionsfähig steuern

Zielgruppe

OSPO, Compliance, Rechtsabteilung, Informationssicherheit, Einkauf, Architektur, Entwicklung, Betrieb, TPRM und Revision.

Voraussetzungen

Grundkenntnisse der Softwareentwicklung, Beschaffung oder IT-Governance. Konkrete Richtlinien, SBOMs oder Kontrollkataloge können eingebracht werden.

Seminarinhalte

1. Schritt 1: Governance-Reifegrad bestimmen

   OSS-Nutzung, Risiken, Rollen, Werkzeuge, Vorfälle, Freigaben und bestehende Kontrollen werden in einem belastbaren Ausgangsbild erfasst.

2. Schritt 2: Risikoklassen und Policy-Struktur entwickeln

   Geltungsbereich, Nutzungsszenarien, Kritikalität, Auswahlregeln, Beiträge, Beschaffung, Betrieb, Ausnahmen und Lebenszyklus werden in einer verständlichen Richtlinie geordnet.

3. Schritt 3: OSPO-Mandat und Betriebsmodell festlegen

   Zentrale und föderierte Aufgaben, Servicekatalog, Entscheidungsrechte, Schnittstellen, Ressourcen und Reifegradroadmap werden definiert.

4. Schritt 4: Softwarebestand und SBOM-Prozess aufbauen

   Direkte und transitive Komponenten, Container, Build-Abhängigkeiten, Datenmodell, Erzeugung, Signatur, Aktualität und Validierung werden organisiert.

5. Schritt 5: Lizenz-Compliance durchführen

   Nutzungsszenario, Lizenzinformationen, Pflichten, Kompatibilität, Notices, Quellcodebereitstellung, Freigaben und Abweichungen werden geprüft.

6. Schritt 6: Security-Lieferkette integrieren

   Schwachstellenmeldungen, Betroffenheitsanalyse, Patchfristen, Signaturen, Build-Vertrauen, Security-Kontakte und Incident-Nachweise werden mit der SBOM verbunden.

7. Schritt 7: Third-Party-Risiken klassifizieren

   Anbieter, Unterauftragnehmer, Hosting, Paketquellen, Maintainer und Identitätsdienste werden kartiert, in Tiers eingestuft und mit Kontrollen versehen.

8. Schritt 8: Due-Diligence- und Vertragsnachweise definieren

   Fragebögen, technische Tests, Referenzen, SBOM, Security, Business Continuity, Audit, Informationspflichten und Exit werden risikoorientiert gefordert.

9. Schritt 9: Kontrollsystem entwerfen

   Kontrollziele, präventive und detektive Maßnahmen, Nachweise, Verantwortliche, Intervalle, Stichproben und Aufbewahrung werden in einer Kontrollmatrix zusammengeführt.

10. Schritt 10: Escrow und Kontinuität absichern

    Quellcode, Build, Artefakte, Schlüssel, Rechte, Auslöser, Verifikation, Ersatzkompetenz und Notbetrieb werden für kritische Services geplant.

11. Schritt 11: Ausnahmen und Findings behandeln

    Risikoakzeptanz, Kompensationsmaßnahmen, Befristung, Freigabe, Ursachenanalyse, Verbesserungsplan und Wirksamkeitsnachweis werden verbindlich organisiert.

12. Schritt 12: Reporting und Audit durchführen

    Inventarabdeckung, ungeklärte Lizenzen, kritische Schwachstellen, Drittparteirisiken, Kontrollabweichungen und Maßnahmen werden in Reviews und Audits bewertet.

13. Schritt 13: Governance nachhaltig verankern

    Schulung, Tooling, Kommunikation, Community-Beziehungen, jährliche Policy-Pflege und Reifegradmessung sichern die langfristige Wirksamkeit.

Praxisübungen

• Erstellung einer OSS-Governance-Policy
• Entwurf eines OSPO-Servicekatalogs
• Validierung einer SBOM mit Lizenz- und Security-Findings
• Aufbau einer TPRM- und Kontrollmatrix
• Durchführung eines Audit-Tabletops

Methodik

Das Intensivformat kombiniert Fachinput, Fallstudien, Verhandlung und Review, technische und organisatorische Übungen sowie ein durchgängiges Gesamtszenario. Die erarbeiteten Artefakte bilden einen unmittelbar nutzbaren Methodenbaukasten.