Seminar Edgescan DevSecOps und CI/CD-Integration

Sicherheitsprüfungen müssen in Entwicklungsabläufe passen, ohne ungeprüfte Scannergebnisse als Störfeuer in Teams zu werfen. Validierte Befunde, klare Zuständigkeiten und reproduzierbare Rückmeldeschleifen bilden die Grundlage für tragfähige DevSecOps-Prozesse.

Die Schulung entwickelt ein Integrationsmodell von der Asset- und Umgebungszuordnung über Prüftrigger bis zu Tickets, Freigaben und Retests. Technische Automatisierung wird stets mit Governance und Fehlerbehandlung verbunden.

Inhaltsübersicht

• Zielgruppe und Einsatzbereich
• Voraussetzungen
• Kompetenzziele
• Seminarinhalte
• Praxisaufgaben

Zielgruppe und Einsatzbereich

Inhaltsverzeichnis des Kapitels: Rollen; Verantwortungsbereiche; typische Nutzungsszenarien.

• DevSecOps
• Application Security
• CI/CD- und Plattformengineering
• Softwareentwicklung
• Security Operations und Release Management

Voraussetzungen

Inhaltsverzeichnis des Kapitels: Fachkenntnisse; Plattformzugang; Übungsumgebung.

Grundkenntnisse in CI/CD, Versionsverwaltung, Ticketing, Web- oder API-Anwendungen sowie Schwachstellenmanagement.

Kompetenzziele

Inhaltsverzeichnis des Kapitels: Einordnung; Konfiguration; operative Anwendung; Kontrolle und Dokumentation.

• Geeignete Prüfzeitpunkte und Verantwortlichkeiten im SDLC festlegen.
• Edgescan-Ergebnisse kontrolliert in Pipeline- und Ticketing-Abläufe integrieren.
• Quality Gates, Ausnahmen und Retests risikogerecht gestalten.
• Rollout und Wirksamkeit mit technischen und prozessualen Kennzahlen steuern.

Seminarinhalte

Inhaltsverzeichnis des Kapitels: DevSecOps-Zielbild und Prüfstrategie; Pipeline-Trigger und Assessment-Steuerung; Befunde in Ticketing und Zusammenarbeit; Quality Gates und Ausnahmeverfahren; Remediation und Retest-Schleife; Rollout, Kennzahlen und Betrieb.

Kapitel 1: DevSecOps-Zielbild und Prüfstrategie

Inhaltsverzeichnis des Kapitels: SDLC-Phasen; Testumgebungen; Prüftypen; Verantwortlichkeiten.

Für einen Beispielservice wird eine abgestufte Prüfstrategie von Entwicklung bis Produktion entworfen.

1. Schritt 1: Ziel und fachlichen Kontext von SDLC-Phasen bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Testumgebungen in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Prüftypen anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Verantwortlichkeiten prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 2: Pipeline-Trigger und Assessment-Steuerung

Inhaltsverzeichnis des Kapitels: Ereignisse; Zeitpläne; API-Aufrufe; Statusrückmeldung.

Ein reproduzierbarer Ablauf für Start, Überwachung und Ergebnisrückgabe wird modelliert.

1. Schritt 1: Ziel und fachlichen Kontext von Ereignisse bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Zeitpläne in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: API-Aufrufe anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Statusrückmeldung prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 3: Befunde in Ticketing und Zusammenarbeit

Inhaltsverzeichnis des Kapitels: Ticketanlage; Feldzuordnung; Eigentümer; Statussynchronisation.

Ein validierter Befund wird mit allen nötigen Kontextdaten in einen Entwicklerarbeitsauftrag überführt.

1. Schritt 1: Ziel und fachlichen Kontext von Ticketanlage bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Feldzuordnung in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Eigentümer anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Statussynchronisation prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 4: Quality Gates und Ausnahmeverfahren

Inhaltsverzeichnis des Kapitels: Risikogrenzen; Freigabekriterien; befristete Ausnahme; Eskalation.

Ein Gate-Modell wird so gestaltet, dass kritische Risiken blockieren und begründete Ausnahmen kontrolliert möglich bleiben.

1. Schritt 1: Ziel und fachlichen Kontext von Risikogrenzen bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Freigabekriterien in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: befristete Ausnahme anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Eskalation prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 5: Remediation und Retest-Schleife

Inhaltsverzeichnis des Kapitels: Korrektur; Nachweis; Retest; Freigabe.

Der vollständige Rückkanal von der Korrektur bis zur bestätigten Sicherheitsfreigabe wird umgesetzt.

1. Schritt 1: Ziel und fachlichen Kontext von Korrektur bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Nachweis in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Retest anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Freigabe prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Kapitel 6: Rollout, Kennzahlen und Betrieb

Inhaltsverzeichnis des Kapitels: Pilotteam; Standardisierung; Fehlerbehandlung; Wirksamkeitsmessung.

Ein stufenweiser Rollout mit Betriebsverantwortung, Supportmodell und messbaren Erfolgskriterien wird geplant.

1. Schritt 1: Ziel und fachlichen Kontext von Pilotteam bestimmen, vorhandene Rahmenbedingungen erfassen und Zuständigkeiten festlegen.
2. Schritt 2: Standardisierung in der Übungsumgebung konfigurieren oder vorbereiten; Pflichtangaben, Abhängigkeiten und Sicherheitsgrenzen kontrollieren.
3. Schritt 3: Fehlerbehandlung anhand eines realistischen Szenarios durchführen und die entstehenden Status-, Risiko- oder Ergebnisdaten nachvollziehen.
4. Schritt 4: Wirksamkeitsmessung prüfen, Abweichungen dokumentieren und daraus einen belastbaren Betriebs-, Bearbeitungs- oder Freigabeschritt ableiten.

Praxisaufgaben

Inhaltsverzeichnis des Kapitels: Vorbereitung; Durchführung; Kontrolle; Dokumentation.

1. Prüfstrategie für einen Web- und API-Service erstellen.
2. Pipeline-Ablauf mit Assessment-Trigger und Statusrückgabe modellieren.
3. Quality Gate mit Risiko-, Ausnahme- und Eskalationsregeln definieren.
4. Remediation- und Retest-Workflow bis zur Release-Freigabe durchführen.