Die meisten Teams können zeigen, dass sie SBOMs, Signaturen oder Scan-Reports erzeugen – aber nicht in einer Form, die ein Audit in vertretbarer Zeit akzeptiert. Nachweise liegen verstreut in CI-Logs, Artefakt-Registries und E-Mail-Anhängen, ohne Manifest und ohne Prüfsumme. Niemand hat eine Quote, die zeigt, für wie viele Artefakte tatsächlich ein SBOM oder eine Signatur existiert. Lücken werden mündlich weitergereicht statt mit Owner und Frist dokumentiert. Und was im Berichtszeitraum schlicht nicht erzeugt wurde, wird kurz vor dem Audit hastig nachgebaut – was den Nachweis selbst unglaubwürdig macht.
Evidence-Export: SBOM- und Supply-Chain-Nachweise aus Ihrer Pipeline, gebündelt, geprüft, signiert.
Wir sammeln die Nachweise, die Ihre Pipeline im Berichtszeitraum bereits erzeugt hat, gleichen sie im Proof Ledger ab und übergeben Ihnen ein signiertes Evidence-Bundle zu dem Auditzweck, Zeitraum und Geltungsbereich, den Sie im Kick-off festlegen. Was nicht erzeugt wurde, weisen wir als Lücke mit Owner und Frist nach – wir stellen keine Nachweise nachträglich her.
- Signiertes Evidence-Bundle: Manifest mit Prüfsumme je Datei, zu Ihrem Auditzweck, Zeitraum und Geltungsbereich.
- Trust-Signal-Quote je Nachweisart – SBOM je Artefakt, Provenance, Signatur, Test- und Scan-Reports.
- Lückenliste mit Owner und Frist je Eintrag, cross-geprüft gegen Ihre Gates.
Was Sie erhalten
- Signiertes Evidence-Bundle mit Manifest und Prüfsumme je Datei
- Trust-Signal-Quote je Nachweisart: SBOM, Provenance, Signatur, Test- und Scan-Reports
- Lückenliste mit Owner und Frist, cross-geprüft gegen Ihre Gates
Woran Evidence-Nachweise in der Praxis scheitern
Evidence-Export: von der SOP zum signierten Bundle
Sechs Schritte, jeder nachvollziehbar dokumentiert.
Wichtig – Ausschluss: Das Modul entnimmt nur Nachweise, die Ihre Pipeline im Berichtszeitraum bereits erzeugt hat. Fehlt die Erzeugung selbst – etwa kein SBOM-Build, keine Provenance, keine Signatur ab Einrichtung –, ist das Gegenstand eines anderen Moduls, Pipeline-Stabilization, nicht dieser Leistung. Was im Berichtszeitraum nicht erzeugt wurde, belegen wir als Lücke, statt es nachträglich herzustellen.
1
Kick-off: Auditzweck, Zeitraum, Geltungsbereich
Gemeinsam legen wir fest, wofür der Nachweis gilt, welcher Zeitraum betrachtet wird und welcher Geltungsbereich abgedeckt ist. Sie geben uns lesenden Zugriff auf die im Berichtszeitraum erzeugten Pipeline-Artefakte sowie auf die Entscheidungen und Freigaben des Zeitraums.
2
Evidence-Collection-SOP
Wir dokumentieren, wie Nachweise aus Ihrer Pipeline gesammelt werden – reproduzierbar, nicht als Einmalaktion.
3
Aggregation im Proof Ledger
Alle gesammelten Nachweise laufen in einem Proof Ledger zusammen, der Herkunft und Zeitpunkt jedes Nachweises festhält.
4
Signiertes Evidence-Bundle
Aus dem Ledger entsteht ein Manifest mit Prüfsumme je Datei – signiert, zum vereinbarten Auditzweck, Zeitraum und Geltungsbereich.
5
Trust-Signal-Quote, Lückenliste, Cross-Check
Wir weisen die Quote je Nachweisart aus – SBOM je Artefakt, Provenance, Signatur, Test- und Scan-Reports –, listen jede Lücke mit Owner und Frist und prüfen die getroffenen Entscheidungen gegen Ihre Gates.
6
Gemeinsamer Erstdurchlauf und Übergabe-Protokoll
Zum Abschluss führen wir den Export gemeinsam mit Ihrem Counterpart einmal durch. Die dabei gemessene Dauer hält das Übergabe-Protokoll fest.
Häufige Fragen zum Evidence-Export
- Was steckt in einem signierten Evidence-Bundle?
- Ein Manifest mit Prüfsumme je Datei, dazu die Trust-Signal-Quote je Nachweisart (SBOM je Artefakt, Provenance, Signatur, Test- und Scan-Reports) und eine Lückenliste mit Owner und Frist je Eintrag. Das Bundle gilt für den im Kick-off festgelegten Auditzweck, Zeitraum und Geltungsbereich.
- Erzeugt ihr fehlende Nachweise wie SBOM, Provenance oder Signaturen nach?
- Nein. Wir werten aus, was Ihre Pipeline im Berichtszeitraum bereits erzeugt hat. Fehlt die Erzeugung selbst, dokumentieren wir das als Lücke mit Owner und Frist. Das Einrichten der fehlenden Nachweiserzeugung ist Gegenstand des Moduls Pipeline-Stabilization, nicht des Evidence-Exports.
- Für wie viele Repositories gilt der Export?
- Das hängt vom Geltungsbereich ab, den Sie im Kick-off festlegen – wir klären das im Assessment, nicht vorab pauschal.
- Was passiert mit Lücken, die der Cross-Check gegen die Gates aufdeckt?
- Jede Lücke bekommt einen Owner und eine Frist und wird in der Lückenliste festgehalten. Wer sie bis wann schließt, entscheiden Sie – das ist keine Entscheidung, die wir für Sie treffen.
- Was kostet der Evidence-Export und wie lange dauert er?
- Beides hängt vom Geltungsbereich ab – Auditzweck, Zeitraum, betroffene Repositories – und wird im Assessment beziehungsweise Kick-off festgelegt.
Evidence-Bundle für Ihr nächstes Audit?
Wir schauen uns im Assessment an, welcher Auditzweck, Zeitraum und Geltungsbereich für Sie zählt – und was Ihre Pipeline heute schon an Nachweisen liefert.