Seminar OSS – Software Bill of Materials und Lieferkettentransparenz

Eine SBOM ist kein Selbstzweck, sondern die Grundlage für Lizenzprüfung, Schwachstellenmanagement, Lieferantenkontrolle und Exit-Fähigkeit. Das Seminar baut einen belastbaren SBOM-Prozess von der Anforderung bis zur laufenden Nutzung auf.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• SBOM-Zweck, Umfang und Qualitätsanforderungen festlegen
• Komponenten, Abhängigkeiten, Versionen und Herkunft reproduzierbar erfassen
• Lieferanten-SBOM technisch und fachlich validieren
• SBOM-Daten in Security, Compliance, Betrieb und Beschaffung integrieren

Zielgruppe

Einkauf, Informationssicherheit, Produktentwicklung, DevSecOps, Compliance, Architektur, Betrieb und Supplier Management.

Voraussetzungen

Grundkenntnisse von Softwarelieferketten, Build-Prozessen oder Komponentenmanagement sind hilfreich.

Seminarinhalte

1. Schritt 1: Anwendungsfälle priorisieren

   Lizenzprüfung, Schwachstellenreaktion, Kundenanforderung, Lieferantenkontrolle, Produktfreigabe, Incident und Exit werden als konkrete SBOM-Nutzungen beschrieben.

2. Schritt 2: Geltungsbereich bestimmen

   Eigenentwicklungen, Drittsoftware, Container, Betriebssystempakete, Firmware, Build-Abhängigkeiten, SaaS-Komponenten und ausgelieferte Artefakte werden abgegrenzt.

3. Schritt 3: Datenmodell festlegen

   Komponentenname, Version, Lieferant, Hash, Lizenz, Beziehungen, Herkunft, Build-Kontext und eindeutige Identifikatoren werden als Pflicht- oder Zusatzfelder definiert.

4. Schritt 4: Erzeugung organisieren

   Build-Integration, Repository-Scan, Container-Analyse, Paketmanager und manuelle Ergänzungen werden zu einem reproduzierbaren Prozess verbunden.

5. Schritt 5: Lieferantenanforderung formulieren

   Format, Version, Aktualität, Vollständigkeit, Signatur, Übertragungsweg, Änderungsmeldung und Fehlerkorrektur werden vertraglich festgelegt.

6. Schritt 6: Qualität validieren

   Syntax, Schema, Identifikatoren, Abhängigkeiten, Hashes, Lizenzangaben, bekannte Komponenten und Abgleich mit dem Lieferartefakt werden geprüft.

7. Schritt 7: SBOM anreichern

   Interne Produktzuordnung, Kritikalität, Einsatzort, Verantwortliche, Freigabestatus und Schwachstelleninformationen werden kontrolliert ergänzt.

8. Schritt 8: Security-Prozess integrieren

   Neue Schwachstellen werden gegen aktuelle Einsatzbestände korreliert; Betroffenheit, Kompensationsmaßnahme und Patchstatus werden nachvollziehbar verfolgt.

9. Schritt 9: Compliance und Audit unterstützen

   Lizenzpflichten, Notices, Freigaben, Ausnahmen und Lieferantennachweise werden mit der SBOM verknüpft und revisionsfähig aufbewahrt.

10. Schritt 10: Lebenszyklus steuern

    Neue Releases, Komponentenwechsel, End-of-Life, Produktstilllegung und Exit lösen Aktualisierung, Archivierung und Übergabe der SBOM aus.

Praxisübungen

• Definition eines SBOM-Anforderungskatalogs
• Validierung einer fehlerhaften Beispiel-SBOM
• Abgleich von SBOM und Lieferartefakt
• Entwurf eines integrierten Security- und Compliance-Workflows

Methodik

Fachinput, moderierte Analyse, Gruppenarbeit und realitätsnahe Fallstudien wechseln sich ab. Jeder Themenblock endet mit einer überprüfbaren Arbeitsunterlage für den betrieblichen Einsatz.