Seminar OWASP DefectDojo – Kennzahlen, Berichte und AppSec-Governance

Aus Plattformdaten belastbare Entscheidungen ableiten

Das Seminar entwickelt ein Kennzahlen- und Berichtssystem, das operative Arbeit, Produktsteuerung und Managemententscheidungen verbindet.

Datenqualität, Berechnungslogik, Empfänger, Filter, Trends, Risikobehandlung und editionsabhängige Berichtsfunktionen werden bewusst getrennt betrachtet, damit Kennzahlen nicht nur verfügbar, sondern entscheidungsfähig sind.

Inhaltsverzeichnis

1. Kennzahlensystem
2. Dashboards und Berichte
3. Trends und Ursachen
4. Datenqualität in Kennzahlen
5. SLA- und Fälligkeitsberichte
6. Risiko und Ausnahmen
7. Governance-Regelkreis

Lernziele

• Kennzahlen mit Zweck, Berechnung, Filter und Fehlinterpretationsrisiko definieren.
• Operative, taktische und strategische Sichten zielgruppengerecht aufbauen.
• Trends, Alter, SLA-Erfüllung und Ursachen mit stabilen Bezugsgrößen analysieren.
• Risk Acceptance, Datenqualität und Scannerabdeckung in Berichten korrekt berücksichtigen.
• Einen wiederkehrenden AppSec-Governance-Regelkreis mit Maßnahmenverfolgung etablieren.

Seminarinhalte

1. Kennzahlensystem

Schwerpunkt: Bestand, Neuzugang, Behebungszeit, SLA-Erfüllung, Alter, Wiederöffnung, Duplikate und Datenqualität.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Kennzahlensystem“ erfassen. Dabei folgende Aspekte berücksichtigen: Bestand, Neuzugang, Behebungszeit, SLA-Erfüllung, Alter, Wiederöffnung, Duplikate und Datenqualität.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Kennzahlenkatalog mit Definitionen erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

2. Dashboards und Berichte

Schwerpunkt: operative Arbeitslisten, Produktberichte, Managementsicht, Trends und editionsabhängige Berichtsfunktionen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Dashboards und Berichte“ erfassen. Dabei folgende Aspekte berücksichtigen: operative Arbeitslisten, Produktberichte, Managementsicht, Trends und editionsabhängige Berichtsfunktionen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Berichtskonzept nach Empfängergruppe erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

3. Trends und Ursachen

Schwerpunkt: Finding-Zugang, Abbau, Backlog, Alter, Scannerabdeckung, Hotspots und Prozessengpässe.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Trends und Ursachen“ erfassen. Dabei folgende Aspekte berücksichtigen: Finding-Zugang, Abbau, Backlog, Alter, Scannerabdeckung, Hotspots und Prozessengpässe.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Wiederholbare Trendanalyse erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

4. Datenqualität in Kennzahlen

Schwerpunkt: fehlende Eigentümer, inkonsistente Status, veraltete Scans, Dubletten und Strukturänderungen.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Datenqualität in Kennzahlen“ erfassen. Dabei folgende Aspekte berücksichtigen: fehlende Eigentümer, inkonsistente Status, veraltete Scans, Dubletten und Strukturänderungen.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Datenqualitätskontrolle für Reports erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

5. SLA- und Fälligkeitsberichte

Schwerpunkt: Zieltermine, Überfälligkeit, Eskalation, Wiederöffnung, Pausen und Messlogik.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „SLA- und Fälligkeitsberichte“ erfassen. Dabei folgende Aspekte berücksichtigen: Zieltermine, Überfälligkeit, Eskalation, Wiederöffnung, Pausen und Messlogik.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. SLA-Bericht mit klarer Berechnung erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

6. Risiko und Ausnahmen

Schwerpunkt: Risk Acceptance, Ablaufdaten, kompensierende Kontrollen, wiederkehrende Ausnahmen und Audit.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Risiko und Ausnahmen“ erfassen. Dabei folgende Aspekte berücksichtigen: Risk Acceptance, Ablaufdaten, kompensierende Kontrollen, wiederkehrende Ausnahmen und Audit.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Ausnahme- und Risikobericht erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

7. Governance-Regelkreis

Schwerpunkt: operative Reviews, Produktgespräche, Eskalationsrunden, Managementbericht und Maßnahmenverfolgung.

1. Ausgangslage, Zielkriterien und Schutzbedarf für „Governance-Regelkreis“ erfassen. Dabei folgende Aspekte berücksichtigen: operative Reviews, Produktgespräche, Eskalationsrunden, Managementbericht und Maßnahmenverfolgung.
2. Relevante DefectDojo-Objekte, Rollen, Datenherkünfte, Abhängigkeiten und Verantwortungsgrenzen in einem nachvollziehbaren Arbeitsmodell verbinden.
3. Die erforderliche Konfiguration oder Prozesskette schrittweise an einem repräsentativen Laborfall aufbauen und jeden Zwischenstand prüfen.
4. Normalfall, Negativfall, Wiederholungsfall und fachliche Nebenwirkungen mit definierten Sollwerten und kontrollierten Testdaten verifizieren.
5. Governance-Kalender erstellen, fachlich abnehmen und mit Prüfkriterien, Verantwortlichkeit, Pflegezyklus und Rückfalloption dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: AppSec Governance, Security Management, Product Security, DefectDojo-Administration, technische Product Owner, Reporting- und Compliance-Verantwortliche.

Voraussetzungen: Grundkenntnisse zu Findings, Status, SLAs und Risikobehandlung; Zugang zu repräsentativen oder vorbereiteten Plattformdaten.

Didaktik und Arbeitsweise

Fachvortrag, Kennzahlendesign, Dashboard- und Berichtslabor, Trendanalyse, Governance-Simulation und Peer-Review. Kurze Fachimpulse werden unmittelbar durch strukturierte Arbeitsschritte, definierte Prüfpunkte und dokumentierte Sollzustände vertieft. Jede Übung endet mit einer technischen oder fachlichen Abnahme, damit die erarbeiteten Verfahren im Projekt reproduzierbar bleiben.