ISTQB CT-STA

Beschreibung

Mit der ISTQB® Certified Security Test Analyst-Zertifizierung können Sie:

• Vermögenswerte einer Organisation, ihren Wert und die damit verbundenen Sicherheitsrisiken erklären.
• Das Wissen über Motive und Methoden von Angreifern nutzen, um Sicherheitstests zu unterstützen.
• Risikomanagement, interne Kontrollsysteme und Sicherheitsvorschriften mit Sicherheitstestaktivitäten verbinden.
• Ziele für Sicherheitstests festlegen und geeignete Teststrategien während des gesamten Softwareentwicklungslebenszyklus anwenden.
• Arbeitspakete für Sicherheitstests definieren und die dafür notwendigen Ressourcen, Aktivitäten und Zeitpläne planen.
• Ergebnisse von Sicherheitstests auswerten, Erkenntnisse kommunizieren und Maßnahmen zur Behebung erkannter Schwachstellen priorisieren.

Kapitel 1: Schutz von Vermögenswerten und Risikobewertung

• Schutz von Vermögenswerten
  • Erklären, was ein Vermögenswert ist, einschließlich materieller und immaterieller Vermögenswerte.
  • Den Wert eines Vermögenswerts erklären und dabei Geschäftskontinuität, Wiederherstellungskosten, Reputationsschäden und weitere Folgen eines Verlusts berücksichtigen.
  • Methoden zur Risikoidentifikation anwenden, um mögliche Sicherheitsrisiken für einen zu schützenden Vermögenswert zu ermitteln.
• Bewertung von Sicherheitsrisiken für Vermögenswerte
  • Risikobewertungen für Vermögenswerte interpretieren und dabei Eintrittswahrscheinlichkeit, Auswirkungen und den organisatorischen Kontext berücksichtigen.
  • Verstehen, wie eine Geschäftsauswirkungsanalyse (Business Impact Analysis) die Bewertung von Sicherheitsrisiken unterstützt.

Kapitel 2: Denkweise und Vorgehensweisen von Angreifern

• Motive und Methoden von Angreifern
  • Beispiele dafür nennen, wie das Wissen über die Motive von Angreifern die Arbeit eines Security Test Analyst verbessert.
  • Methoden anwenden, mit denen Angreifer Informationen sammeln, die auch für Sicherheitstests genutzt werden können.
  • Passive und aktive Methoden zur Informationsbeschaffung nutzen, darunter öffentlich verfügbare Informationen und die direkte Untersuchung von Systemen.
• Interne und externe Angreifer
  • Beispiele für besondere Risiken durch interne Personen nennen, darunter unbeabsichtigte, böswillige, gemeinsam geplante und durch Dritte verursachte Bedrohungen.
  • Im Zusammenhang mit Sicherheitstests zwischen externen Angreifern und internen Personen unterscheiden.

Kapitel 3: Risikomanagement, interne Kontrollsysteme und Vorschriften

• Risikomanagement
  • Methoden des Risikomanagements und die dazugehörigen Aktivitäten zur Identifikation, Bewertung, Behandlung, Kommunikation und Überwachung von Risiken erklären.
  • Erkannte Sicherheitsrisiken und ihren geschäftlichen Kontext analysieren, um geeignete Entscheidungen im Risikomanagement zu unterstützen.
  • Bei Empfehlungen zum Umgang mit Risiken die Risikoakzeptanz, Risikominderung, Risikovermeidung und Risikoübertragung berücksichtigen.
• Interne Kontrollsysteme
  • Den Zusammenhang zwischen Sicherheitsrichtlinien und internen Kontrollsystemen anwenden.
  • Sicherheitsprüfungen definieren, mit denen die Einhaltung genehmigter Richtlinien überprüft wird.
  • Sicherheitskontrollen durchführen, ihre Ergebnisse bewerten und die Prüfungen bei Bedarf anpassen.
• Aus Vorschriften abgeleitete Testaktivitäten
  • Geltende Sicherheitsvorschriften nutzen, um Testaktivitäten abzuleiten.
  • Vorgeschriebene Kontrollaktivitäten an das zu testende System anpassen.
  • Testfälle und erwartete Ergebnisse definieren, wenn gesetzliche oder regulatorische Anforderungen kein konkretes Testverfahren vorgeben.

Kapitel 4: Ziele, Strategien und Aktivitäten von Sicherheitstests

• Ziele und Strategien von Sicherheitstests
  • Die Ziele von Sicherheitstests in Bezug auf Compliance, Risiken, Sicherheitsnachweise und Verbesserungen zusammenfassen.
  • Erklären, wie eine Sicherheitsteststrategie den Testumfang, die Vorgehensweisen, die Testabdeckung, die Techniken, die Werkzeuge und die Ressourcen bestimmt.
  • Geeignete Sicherheitsteststrategien in einem vorgegebenen Projektszenario anwenden.
• Sicherheitstestaktivitäten während des Softwareentwicklungslebenszyklus
  • Geeignete Sicherheitstestaktivitäten in agilen und wasserfallbasierten Entwicklungsmodellen umsetzen.
  • Sicherheitsanforderungen, Bedrohungsmodellierung und Sicherheitsüberprüfungen des Designs frühzeitig in die Entwicklung integrieren.
  • Schrittweise Sicherheitsprüfungen, Validierungen vor der Freigabe und Sicherheitsbewertungen im laufenden Betrieb in den passenden Phasen durchführen.

Kapitel 5: Arbeitspakete für Sicherheitstests und Testplanung

• Arbeitspakete für Sicherheitstests definieren
  • Die Merkmale von Arbeitspaketen im Softwaretest zusammenfassen, einschließlich Ziele, Umfang, Aufgaben, Ergebnisse, Ressourcen und Abnahmekriterien.
  • Bei der Definition von Arbeitspaketen besondere Anforderungen an Sicherheitstests berücksichtigen, darunter unsichere Aufwandsschätzungen, spezielle Fachkenntnisse und vertrauliche Ergebnisse.
  • Geeignete Testumgebungen für Sicherheitstests festlegen, einschließlich Isolation, realitätsnaher Konfigurationen und Möglichkeiten zur Wiederherstellung.
• Sicherheitstests planen
  • Die verschiedenen Aspekte der Sicherheitstestplanung erklären, darunter Testumfang, Verantwortlichkeiten, Zeitpläne, Umgebungen, Werkzeuge und Genehmigungen.
  • Einen Testplan für Arbeitspakete im Bereich Sicherheitstests umsetzen, indem Ressourcen bereitgestellt, Ergebnisse vereinbart und Aktivitäten geplant werden.
  • Testüberwachung und Teststeuerung anwenden sowie Testarbeitsergebnisse auf Vollständigkeit und Korrektheit prüfen.

Kapitel 6: Testergebnisse interpretieren und Maßnahmen festlegen

• Ergebnisse von Sicherheitstests kommunizieren
  • Die wichtigsten Aspekte der Kommunikation von Sicherheitstestberichten erklären.
  • Die Darstellung der Ergebnisse an die Bedürfnisse technischer Teams, des Managements und anderer Stakeholder anpassen.
  • Verstehen, warum kritische Schwachstellen sofort gemeldet und vertrauliche Berichte angemessen behandelt werden müssen.
• Folgemaßnahmen zu Testberichten verwalten
  • Erklären, wie Folgemaßnahmen zu Sicherheitstestberichten organisiert werden, damit Schwachstellen rechtzeitig behoben werden können.
  • Bei Empfehlungen für Maßnahmen den Schweregrad von Schwachstellen, die geschäftliche Bedeutung, Sicherheitsanforderungen sowie Möglichkeiten zur Anpassung des Codes oder der Umgebung berücksichtigen.
• Notwendige Maßnahmen priorisieren
  • Einen Sicherheitstestbericht analysieren, um notwendige Maßnahmen unter Berücksichtigung des geschäftlichen und betrieblichen Kontexts zu priorisieren.
  • Bei der Festlegung von Folgemaßnahmen schrittweise Risikominderung, zusammenhängende Schwachstellen und Bestätigungstests berücksichtigen.
  • Verbesserungen empfehlen, die sowohl wiederkehrende Ursachen als auch einzelne Schwachstellen beheben.