Software-Supply-Chain-Sicherheits-Audit fuer ein medizinisches Geraete-Backend
Übersicht
Worum es bei diesem Projekt geht.
Erzeuge ein SBOM im CycloneDX-Format mit Syft. Pruefe jede direkte und transitive Dependency gegen die OSV-Database (Open Source Vulnerabilities). Identifiziere die 20 risikoreichsten Dependencies (Schwellen: Critical-CVEs, einzelne Maintainer:in, hoher Code-Churn, fehlende Provenance). Verifiziere die Build-Kette: ist die Pipeline reproduzierbar? Sind Artefakte signiert (Sigstore/cosign)? Schreibe ein Audit-Memo (10 Seiten) und eine 90-Tage-Roadmap mit Hardening-Massnahmen (Dependency-Pinning, automatisierte Updates ueber Dependabot oder Renovate, Provenance-Verifikation in CI, SLSA-Level-Ziel). Liefere das SBOM, die Risk-Liste, den Audit-Bericht, die Roadmap und ein 1-Seiten-Memo fuer den CISO.
Das Briefing
Was Du tust und was Du zeigst.
Wie auditiert man einen Node.js-Software-Supply-Chain mit 1.400 Dependencies systematisch und gibt eine umsetzbare 90-Tage-Hardening-Roadmap, die der CISO im naechsten Steering Committee freigibt?
Earning criteria — what you'll demonstrate
- SBOMs als operative Sicherheits-Grundlage erzeugen und auswerten
- Provenance- und Build-Integritaets-Konzepte (SLSA-Framework) anwenden
- Supply-Chain-Risiken multi-dimensional bewerten (CVE, Maintainership, Code-Churn)
- Hardening-Roadmaps mit umsetzbaren Schritten statt aspirationaler Ziele schreiben
Studienpassung
Wo dies in Dein Studium passt.
Schärft dieselben Fähigkeiten, die Dein Studium von Dir erwartet.
Fähigkeiten
Fähigkeiten, die Du unter Beweis stellst.
Jede taucht auf Deinem verifizierten Zertifikat auf.
Karrieren
Berufe, auf die dies Dich vorbereitet.
Echte Berufsbezeichnungen. Echte Skill-Brücken. Wähle die, die Deinem Werdegang am nächsten kommt.
Karrierewege, die das aufbaut
Kanonische RollenSystemarchitekt:in
Architekt:innen in Medizintechnik muessen Supply-Chain-Hardening verstehen, weil es in MDR- und FDA-Audits direkt geprueft wird.
Dieses Projekt schärft
- supply-chain-security
- risk-management
- stakeholder-communication
Noch eine Sache