Modern uygulamaların kod tabanının büyük bölümü kurum içinde yazılmıyor; paket yöneticileri üzerinden gelen açık kaynak bileşenlerden oluşuyor. Bu bileşenler doğrudan seçilenlerle sınırlı değil, geçişli bağımlılıklarla birlikte yüzlerce projeye uzanıyor. Sonuçta kurumun güvenliği, çoğu zaman adını bile bilmediği bakımcıların kararlarına bağlı hale geliyor; bu atölye tam da bu görünmezliği ortadan kaldırmayı hedefler. Dört modül boyunca katılımcılar gerçek bir projenin bağımlılık ağacını çıkarır, geçişli bağımlılıkları görünür kılar ve zafiyet eşleştirmesi yapar. Bulguların istismar edilebilirlik bağlamıyla önceliklendirilmesi, yükseltme stratejisi ve kırılma riskinin yönetimi çalışılır. Lisans uyumu, bakım terk edilmiş paket tespiti ve tipo saldırısı gibi tedarik zinciri riskleri işlenir. Son modülde SBOM üretimi, otomatik yükseltme akışları ve paket kabul politikası kurulur; katılımcı kurumu için bir açık kaynak yönetim politikasıyla ayrılır.