Seminar OWASP DefectDojo – Intensivseminar AppSec-Prozesse und Governance

Verdichteter AppSec-Lernpfad vom Portfolio bis zum Governance-Regelkreis

Das viertägige Intensivformat bündelt die prozess- und governanceorientierten Einzelseminare in einer gemeinsamen Fallstudie.

Ausgehend von Portfolio und Datenmodell werden Scanaufnahme, Deduplizierung, Triage, Remediation, Risiko, SLAs, Kennzahlen, Berichte und Entscheidungsroutinen zu einem vollständigen AppSec-Betriebsmodell verbunden.

Inhaltsverzeichnis

1. Zielbild und AppSec-Betriebsmodell
2. Portfolio und Objekthierarchie
3. Scanaufnahme und Datenqualität
4. Deduplizierung
5. Triage und Remediation
6. Risikomodell und SLAs
7. Risk Acceptance und Ausnahmen
8. Kennzahlen und Berichte
9. Governance-Regelkreis
10. Integrierte Fallstudie

Lernziele

• Portfolio, Produkte, Engagements, Tests und Metadaten konsistent modellieren.
• Scanaufnahme, Reimport und Deduplizierung in einen kontrollierten Prozess integrieren.
• Triage, Ownership, Remediation und Retest standardisieren.
• Risikomodell, SLAs, Risk Acceptance und Ausnahmen revisionsfähig organisieren.
• Kennzahlen, Berichte und Governance-Zyklen aus belastbaren Daten ableiten.

Seminarinhalte

1. Zielbild und AppSec-Betriebsmodell

Schwerpunkt: Scope, Rollen, Datenherkünfte, Entscheidungen, Schutzbedarf und Erfolgskriterien.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Zielbild und AppSec-Betriebsmodell“ erfassen. Dabei folgende Aspekte berücksichtigen: Scope, Rollen, Datenherkünfte, Entscheidungen, Schutzbedarf und Erfolgskriterien.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Abgestimmtes Zielbild erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Portfolio und Objekthierarchie

Schwerpunkt: Product Types, Products, Engagements, Tests, Metadaten, Ownership und Lebenszyklus.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Portfolio und Objekthierarchie“ erfassen. Dabei folgende Aspekte berücksichtigen: Product Types, Products, Engagements, Tests, Metadaten, Ownership und Lebenszyklus.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Portfolio- und Objektmodell erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Scanaufnahme und Datenqualität

Schwerpunkt: Herkunftsinventar, Parserauswahl, Erstimport, Reimport, Fehlerbehandlung und Scanserien.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Scanaufnahme und Datenqualität“ erfassen. Dabei folgende Aspekte berücksichtigen: Herkunftsinventar, Parserauswahl, Erstimport, Reimport, Fehlerbehandlung und Scanserien.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kontrollierter Intake-Prozess erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Deduplizierung

Schwerpunkt: Finding-Identität, Vergleichskontext, parserabhängige Regeln, Korrektur und Qualitätsmessung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Deduplizierung“ erfassen. Dabei folgende Aspekte berücksichtigen: Finding-Identität, Vergleichskontext, parserabhängige Regeln, Korrektur und Qualitätsmessung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Deduplizierungsstandard erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. Triage und Remediation

Schwerpunkt: Status, Priorisierung, Zuweisung, Behebungsplanung, Evidenz, Ticketing und Retest.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Triage und Remediation“ erfassen. Dabei folgende Aspekte berücksichtigen: Status, Priorisierung, Zuweisung, Behebungsplanung, Evidenz, Ticketing und Retest.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Operativer Finding-Prozess erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Risikomodell und SLAs

Schwerpunkt: technische Schwere, Geschäftskontext, Exposition, Zieltermine und Eskalationen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Risikomodell und SLAs“ erfassen. Dabei folgende Aspekte berücksichtigen: technische Schwere, Geschäftskontext, Exposition, Zieltermine und Eskalationen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Risiko- und SLA-Matrix erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Risk Acceptance und Ausnahmen

Schwerpunkt: Begründung, kompensierende Kontrollen, Freigabe, Ablauf, Widerruf und Audit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Risk Acceptance und Ausnahmen“ erfassen. Dabei folgende Aspekte berücksichtigen: Begründung, kompensierende Kontrollen, Freigabe, Ablauf, Widerruf und Audit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Revisionsfähiger Ausnahmeprozess erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

8. Kennzahlen und Berichte

Schwerpunkt: Bestand, Zugang, Alter, Behebungszeit, SLA-Erfüllung, Trends und Datenqualität.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Kennzahlen und Berichte“ erfassen. Dabei folgende Aspekte berücksichtigen: Bestand, Zugang, Alter, Behebungszeit, SLA-Erfüllung, Trends und Datenqualität.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kennzahlen- und Berichtskatalog erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

9. Governance-Regelkreis

Schwerpunkt: operative Reviews, Produktgespräche, Eskalationen, Managementbericht und Maßnahmenverfolgung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Governance-Regelkreis“ erfassen. Dabei folgende Aspekte berücksichtigen: operative Reviews, Produktgespräche, Eskalationen, Managementbericht und Maßnahmenverfolgung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Governance-Kalender erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

10. Integrierte Fallstudie

Schwerpunkt: Produktanlage, Scanimport, Duplikatprüfung, Triage, Risikoentscheidung, Bericht und Review.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Integrierte Fallstudie“ erfassen. Dabei folgende Aspekte berücksichtigen: Produktanlage, Scanimport, Duplikatprüfung, Triage, Risikoentscheidung, Bericht und Review.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Abgenommenes AppSec-Musterszenario erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: AppSec Leads, Product Security, Security Governance, DefectDojo-Administration, technische Product Owner, Security Champions und Programmverantwortliche.

Voraussetzungen: Allgemeine AppSec- und Vulnerability-Management-Kenntnisse; DefectDojo-Grundkenntnisse sind hilfreich, aber nicht zwingend erforderlich.

Didaktik und Arbeitsweise

Kurze Fachimpulse, intensive Modellierungs- und Triageübungen, gemeinsame Fallstudie, Kennzahlenlabor, Governance-Simulation und Peer-Review. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.