Seminar GADS – Plattform-Sicherheit, Compliance und Governance

Beschreibung

Die Schulung entwickelt ein mehrschichtiges Sicherheits- und Governance-Modell für GADS. Technische Kontrollen werden mit Datenklassifizierung, Rollen, Zweckbindung, Aufbewahrung, Partnerzugriff, Audit und Incident Response verbunden. Ziel ist ein prüfbarer Regelbetrieb statt einer Sammlung unverbundener Sicherheitsprodukte.

Seminarziel

Ein risikobasiertes Sicherheitskonzept mit Baseline, Zugriffs- und Datenrichtlinien, Auditnachweisen, Sicherheitsüberwachung und Reaktionsverfahren soll erstellt werden können.

Lernziele

• Den Themenbereich „Schutzbedarf und Bedrohungen analysieren“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Identität und Zugriff absichern“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Netzwerk und Plattform härten“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Daten schützen und Lebenszyklus kontrollieren“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.
• Den Themenbereich „Audit, Logging und Compliance nachweisen“ fachlich einordnen, strukturiert planen und kontrolliert umsetzen.

Inhaltsübersicht

1. 1. Schutzbedarf und Bedrohungen analysieren
2. 2. Identität und Zugriff absichern
3. 3. Netzwerk und Plattform härten
4. 4. Daten schützen und Lebenszyklus kontrollieren
5. 5. Audit, Logging und Compliance nachweisen
6. 6. Sicherheitsmonitoring und Incident Response
7. 7. Governance und Sicherheitsbetrieb etablieren

Zielgruppe

Security Architects, Plattform- und IAM-Administratoren, Datenschutz- und Compliance-Verantwortliche, SOC- und Governance-Teams

Voraussetzungen

Grundkenntnisse in IT-Sicherheit, IAM, Netzwerk, Verschlüsselung und Datenschutz

Seminarinhalte

1. Schutzbedarf und Bedrohungen analysieren

Kapitelinhaltsverzeichnis: Datenklassen und Kritikalität; Angreifer und Missbrauchsszenarien; Vertrauensgrenzen und Standorte; Schwachstellen und Abhängigkeiten; Auswirkung und Eintritt; Risikobehandlung und Owner

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Datenklassen und Kritikalität erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Angreifer und Missbrauchsszenarien festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Vertrauensgrenzen und Standorte entwerfen.
4. Schwachstellen und Abhängigkeiten schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Auswirkung und Eintritt prüfen.
6. Ergebnis anhand von Risikobehandlung und Owner verifizieren und nachvollziehbar dokumentieren.

Praxis: Ein Bedrohungsmodell für Upload, Katalog, Storage und Partnerzugriff erstellen.

2. Identität und Zugriff absichern

Kapitelinhaltsverzeichnis: starke Authentifizierung; Föderation und Vertrauensstellung; Rollen, Attribute und Least Privilege; Servicekonten und Secrets; privilegierter Notfallzugang; Rezertifizierung und Entzug

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für starke Authentifizierung erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Föderation und Vertrauensstellung festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Rollen, Attribute und Least Privilege entwerfen.
4. Servicekonten und Secrets schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für privilegierter Notfallzugang prüfen.
6. Ergebnis anhand von Rezertifizierung und Entzug verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine Rollen- und Rezertifizierungsmatrix mit kritischen Trennungen ausarbeiten.

3. Netzwerk und Plattform härten

Kapitelinhaltsverzeichnis: Vertrauenszonen und Segmentierung; erlaubte Kommunikationspfade; sichere Protokolle und TLS; System- und Containerbaseline; Patch und Schwachstellen; Konfigurationsdrift und Nachweis

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Vertrauenszonen und Segmentierung erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für erlaubte Kommunikationspfade festlegen.
3. Zielmodell, Regeln und technische Umsetzung für sichere Protokolle und TLS entwerfen.
4. System- und Containerbaseline schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Patch und Schwachstellen prüfen.
6. Ergebnis anhand von Konfigurationsdrift und Nachweis verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine Hardening-Checkliste mit Prüfmethode und Verantwortlichem erstellen.

4. Daten schützen und Lebenszyklus kontrollieren

Kapitelinhaltsverzeichnis: Verschlüsselung bei Transfer und Speicherung; Schlüsselverwaltung und Rotation; Datenhoheit und Zweckbindung; Tiering, Retention und Löschung; Kopien und Exporte; Legal Hold und Ausnahme

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Verschlüsselung bei Transfer und Speicherung erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Schlüsselverwaltung und Rotation festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Datenhoheit und Zweckbindung entwerfen.
4. Tiering, Retention und Löschung schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Kopien und Exporte prüfen.
6. Ergebnis anhand von Legal Hold und Ausnahme verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine Schutzpolicy für interne, vertrauliche und Partnerdaten formulieren.

5. Audit, Logging und Compliance nachweisen

Kapitelinhaltsverzeichnis: Auditereignisse und Identität; Zeitbasis und Integrität; Aufbewahrung und Zugriff auf Logs; Policy- und Berechtigungsnachweis; Datenschutz- und Löschbeleg; Kontrolltest und Evidenz

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Auditereignisse und Identität erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Zeitbasis und Integrität festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Aufbewahrung und Zugriff auf Logs entwerfen.
4. Policy- und Berechtigungsnachweis schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Datenschutz- und Löschbeleg prüfen.
6. Ergebnis anhand von Kontrolltest und Evidenz verifizieren und nachvollziehbar dokumentieren.

Praxis: Eine Kontrollmatrix von Anforderung, technischer Kontrolle und Evidenz erstellen.

6. Sicherheitsmonitoring und Incident Response

Kapitelinhaltsverzeichnis: Use Cases und Erkennungslogik; Korrelation und Severity; Eindämmung und Serviceerhalt; Beweissicherung und Chain of Custody; Meldung und Kommunikation; Wiederherstellung und Nachbereitung

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Use Cases und Erkennungslogik erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Korrelation und Severity festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Eindämmung und Serviceerhalt entwerfen.
4. Beweissicherung und Chain of Custody schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Meldung und Kommunikation prüfen.
6. Ergebnis anhand von Wiederherstellung und Nachbereitung verifizieren und nachvollziehbar dokumentieren.

Praxis: Ein Datenabfluss- oder Berechtigungsmissbrauchsszenario strukturiert bearbeiten.

7. Governance und Sicherheitsbetrieb etablieren

Kapitelinhaltsverzeichnis: Policy-Owner und Gremien; Ausnahme und Befristung; Risiko- und Maßnahmenregister; Lieferanten- und Partnerkontrolle; Kennzahlen und Review; Verbesserungs- und Schulungsplan

1. Ausgangslage, Datenquellen und Verantwortlichkeiten für Policy-Owner und Gremien erfassen.
2. Anforderungen, Abhängigkeiten und Qualitätskriterien für Ausnahme und Befristung festlegen.
3. Zielmodell, Regeln und technische Umsetzung für Risiko- und Maßnahmenregister entwerfen.
4. Lieferanten- und Partnerkontrolle schrittweise konfigurieren oder anhand eines Referenzablaufs modellieren.
5. Normalbetrieb, Fehlerfälle und Grenzbedingungen für Kennzahlen und Review prüfen.
6. Ergebnis anhand von Verbesserungs- und Schulungsplan verifizieren und nachvollziehbar dokumentieren.

Praxis: Ein vierteljährliches Security- und Governance-Review mit Entscheidungspunkten planen.

Praxisanteile

Die Übungen bauen auf einem konsistenten Automotive-Datenszenario auf. Konfigurationen, Architekturentscheidungen, Prüfprotokolle und Betriebsmaßnahmen werden so dokumentiert, dass sie in ein eigenes Einführungs- oder Betriebskonzept übertragen werden können.