Seminar OpenChain, SPDX und REUSE: Intensivseminar Governance und Assurance

Dieses Intensivseminar fasst vier organisatorische Fachseminare in einer gemeinsamen Fallstudie zusammen: Grundlagen der Open-Source-Compliance, Lizenzmanagement nach ISO/IEC 5230, Security Assurance nach ISO/IEC 18974 sowie Audits und Lieferantenmanagement. Wiederholte Einführungen entfallen; stattdessen werden die einzelnen Entscheidungen in einem zusammenhängenden Programm weiterverwendet.

Die Fallorganisation bezieht Softwarebestandteile von mehreren Lieferanten und veröffentlicht eigene Releases. Dafür entstehen ein definierter Geltungsbereich, Rollen und Entscheidungspunkte sowie überprüfbare Unterlagen. SPDX-SBOMs und REUSE-Berichte werden als technische Nachweise gelesen und kritisch bewertet. Der abschließende Auditfall prüft die zuvor aufgebauten Abläufe. Zusammen mit dem Intensivseminar zu Engineering und Automatisierung deckt der Kurs die gesamte Fachseminarreihe ab.

Lernziele

• Ein zusammenhängendes Lizenz- und Security-Assurance-Programm entwerfen.
• Lieferanteninformationen und interne Nachweise nach klaren Kriterien bewerten.
• Verantwortlichkeiten von Komponentenaufnahme bis Nachverfolgung festlegen.
• Das Beispielprogramm durch eine interne Auditfolge auf Wirksamkeit prüfen.

Zielgruppe

OSPO- und Compliance-Verantwortliche, Entwicklungsleitungen, Qualitätsmanagement, Softwareeinkauf, Produktsicherheit und interne Auditoren.

Voraussetzungen

Erfahrung mit Softwareprojekten, Lieferanten- oder Qualitätsprozessen; Bereitschaft zur Arbeit an Prozessunterlagen. Vorwissen in OpenChain ist nicht erforderlich.

Seminarinhalte

1. Grundlagen und gemeinsamer Geltungsbereich

• Open-Source-Bestandteile, Lizenzinformationen und Sicherheitsaufgaben am Beispielprodukt erfassen.
• Geschäftsprozesse, Produktlinien und Beteiligte der Fallorganisation strukturieren.
• Ziele und Grenzen des gemeinsamen Compliance-Programms festhalten.

2. Richtlinie, Rollen und Qualifikation

• Eine anwendbare Richtlinie mit Zuständigkeiten und Eskalationswegen entwickeln.
• Kompetenzbedarf und Vertretung für die beteiligten Funktionen bestimmen.
• Die Umsetzung der Rollen an zwei konkreten Beschaffungs- und Entwicklungsfällen prüfen.

3. Lizenzprüfung und Freigabeprozess

• Komponentenaufnahme, Befundprüfung und dokumentierte Entscheidung verbinden.
• Vorbereitete SPDX- und REUSE-Ergebnisse auf verwertbare Informationen untersuchen.
• Ausnahmen und rechtlich offene Punkte in einen nachvollziehbaren Freigabeweg aufnehmen.

4. Auslieferung und Programmpflege

• Benötigte Informationen und mögliche Bereitstellungspflichten der Beispielauslieferung zuordnen.
• Anfragen, Nachweise und Änderungen mit dem freigegebenen Produktstand verbinden.
• Regelmäßige Pflege und Selbstbewertung des Programms organisieren.

5. Security Assurance und Komponentenbestand

• Sicherheitsrollen und Zuständigkeiten mit dem bestehenden Programm abstimmen.
• Bekannte Sicherheitsmeldungen anhand vorbereiteter SBOMs und Produktstände einordnen.
• Bewertungskriterien und nachvollziehbare Behandlung unklarer Treffer festlegen.

6. Maßnahmen und Betreuung ausgelieferter Software

• Korrektur, Ausnahmeentscheidung und Freigabe für den Sicherheitsfall dokumentieren.
• Eine nachträglich bekannt gewordene Schwachstelle auf frühere Releases beziehen.
• Kommunikationswege und Überprüfung der Maßnahmen in den Vorgang aufnehmen.

7. Lieferantenbewertung und Auditdurchführung

• Fachliche Lieferanforderungen und Abnahmekriterien für Zulieferungen erarbeiten.
• Stichproben, Interviewfragen und konkrete Nachweise im Auditfall verbinden.
• Feststellungen sachlich begründen und Anforderungen an die Nachbesserung formulieren.

8. Nachprüfung und Einführungsvorbereitung

• Überarbeitete Unterlagen anhand der Feststellungen erneut beurteilen.
• Die Wirksamkeit des gesamten Beispielprozesses mit einer neuen Lieferung prüfen.
• Eine priorisierte Einführung mit Zuständigkeiten und überprüfbaren Schritten vorbereiten.

Praktische Übungen

1. Eine Fallorganisation und zwei Produktlieferungen mit gemeinsamen Verantwortlichkeiten modellieren.
2. Lizenzmanagement und Security Assurance an denselben Produktständen praktisch bearbeiten.
3. Lieferanteninformationen nachfordern und anhand festgelegter Kriterien erneut prüfen.
4. Das eigene Beispielprogramm auditieren, Abweichungen bearbeiten und die Nachweise kontrollieren.

Arbeitsumgebung

Die Fallarbeit verwendet vorbereitete Projektunterlagen und Beispieldaten. Für die Bearbeitung stehen Textverarbeitung, Tabellenkalkulation und ein Browser in der vom Auftraggeber bereitgestellten Arbeitsumgebung zur Verfügung.

Fachbereichsleiter / Leiter der Trainer / Ihre Ansprechpartner

Seminardetails

Dauer:	4 Tage mit ca. 6 Unterrichtsstunden pro Tag; Beginn am ersten Tag um 10:00 Uhr; weitere Tage um 09:00 Uhr
Preis:	Öffentlich oder Live Stream: € 2.396 zzgl. MwSt. Inhaus: € 6.800 zzgl. MwSt.
Teilnehmeranzahl:	min. 2 - max. 8
Teilnehmer:	OSPO- und Compliance-Verantwortliche, Entwicklungsleitungen, Qualitätsmanagement, Softwareeinkauf, Produktsicherheit und interne Auditoren.
Voraussetzungen:	Erfahrung mit Softwareprojekten, Lieferanten- oder Qualitätsprozessen; Bereitschaft zur Arbeit an Prozessunterlagen. Vorwissen in OpenChain ist nicht erforderlich.
Standorte:	Stream Live, Inhaus/Firmenseminar, Berlin, Bremen, Darmstadt, Dresden, Erfurt, Essen, Flensburg, Frankfurt, Freiburg, Friedrichshafen, Hamburg, Hamm, Hannover, Jena, Kassel, Köln, Konstanz, Leipzig, Luxemburg, Magdeburg, Mainz, München, Münster, Nürnberg, Paderborn, Potsdam, Regensburg, Rostock, Stuttgart, Trier, Ulm, Wuppertal, Würzburg
Methoden:	Fachliche Einführung, moderierte Fallarbeit, Gruppenübungen und strukturierte Reviews
Seminararten:	Öffentlich, Webinar, Inhaus, Workshop - Alle Seminare mit Trainer vor Ort, Webinar nur wenn ausdrücklich gewünscht
Durchführungsgarantie:	ja, ab 2 Teilnehmern
Sprache:	Deutsch - bei Firmenseminaren ist auch Englisch möglich
Seminarunterlage:	Dokumentation auf Datenträger oder als Download
Teilnahmezertifikat:	ja, selbstverständlich
Verpflegung:	Kalt- / Warmgetränke, Mittagessen (wahlweise vegetarisch)
Support:	3 Anrufe im Seminarpreis enthalten
Barrierefreier Zugang:	an den meisten Standorten verfügbar
Kontakt:	Weitere Informationen unter + 49 (221) 74740055

Seminartermine

Nach oben