ISTQB CT-STA

Описание

Специалист, сертифицированный по программе ISTQB® Security Test Analyst, способен:

• Объяснять, что представляют собой активы организации, какова их ценность и какие риски безопасности с ними связаны.
• Использовать знания о мотивах и методах злоумышленников для проведения тестирования безопасности.
• Устанавливать взаимосвязь между управлением рисками, системами внутреннего контроля, нормативными требованиями в области безопасности и деятельностью по тестированию безопасности.
• Определять цели тестирования безопасности и применять соответствующие стратегии тестирования на протяжении всего жизненного цикла разработки программного обеспечения.
• Определять пакеты работ по тестированию безопасности и планировать ресурсы, мероприятия и сроки, необходимые для их выполнения.
• Интерпретировать результаты тестирования безопасности, сообщать о выявленных проблемах и определять приоритетность действий по устранению обнаруженных уязвимостей.

Глава 1: Безопасность активов и оценка рисков

• Безопасность активов
  • Объяснять понятие актива, включая материальные и нематериальные активы.
  • Объяснять ценность актива с учетом непрерывности бизнеса, затрат на восстановление, репутационного ущерба и других последствий его утраты.
  • Применять методы идентификации рисков для определения потенциальных рисков безопасности, связанных с защищаемым активом.
• Оценка рисков безопасности активов
  • Интерпретировать результаты оценки рисков для активов с учетом вероятности возникновения рисков, их последствий и организационного контекста.
  • Понимать, как анализ влияния на бизнес способствует оценке рисков безопасности.

Глава 2: Образ мышления и методы действий злоумышленников

• Мотивация и методы злоумышленников
  • Приводить примеры того, как понимание мотивов злоумышленников может повысить эффективность работы аналитика по тестированию безопасности.
  • Применять методы, которые злоумышленник может использовать для сбора информации, полезной при тестировании безопасности.
  • Использовать методы пассивной и активной разведки, включая сбор общедоступной информации и непосредственное исследование систем.
• Внутренние и внешние злоумышленники
  • Приводить примеры конкретных рисков, связанных с внутренними субъектами угроз, включая непреднамеренные действия, злонамеренные действия, сговор и угрозы со стороны третьих лиц.
  • Различать внешних злоумышленников и внутренних субъектов угроз в контексте тестирования безопасности.

Глава 3: Управление рисками, системы внутреннего контроля и нормативные требования

• Управление рисками
  • Объяснять методологии управления рисками и мероприятия, связанные с выявлением, оценкой, обработкой, информированием и мониторингом рисков.
  • Анализировать выявленные риски безопасности и их бизнес-контекст для поддержки принятия обоснованных решений по управлению рисками.
  • Учитывать принятие, снижение, избегание и передачу рисков при выработке рекомендаций по их обработке.
• Системы внутреннего контроля
  • Применять знания о взаимосвязи между политиками безопасности и системами внутреннего контроля.
  • Определять проверки безопасности, позволяющие установить, соблюдаются ли утвержденные политики.
  • Применять мероприятия по контролю безопасности, включая оценку результатов и совершенствование проверок при необходимости.
• Тестовые мероприятия, вытекающие из нормативных требований
  • Использовать применимые нормативные требования в области безопасности для определения мероприятий по тестированию.
  • Адаптировать предусмотренные нормативными требованиями контрольные мероприятия к тестируемой системе.
  • Определять тестовые случаи и ожидаемые результаты, если нормативные требования не устанавливают конкретную процедуру тестирования.

Глава 4: Цели, стратегии и мероприятия по тестированию безопасности

• Цели и стратегии тестирования безопасности
  • Обобщать цели тестирования безопасности, связанные с соответствием требованиям, рисками, обеспечением уверенности в безопасности и совершенствованием.
  • Объяснять, как стратегия тестирования безопасности определяет область тестирования, подходы, покрытие, методы, инструменты и ресурсы.
  • Применять соответствующие стратегии тестирования безопасности в заданном проектном сценарии.
• Мероприятия по тестированию безопасности на протяжении жизненного цикла разработки программного обеспечения
  • Реализовывать подходящие мероприятия по тестированию безопасности в рамках гибких моделей разработки и каскадной модели жизненного цикла.
  • Интегрировать требования безопасности, моделирование угроз и анализ проектных решений с точки зрения безопасности на ранних этапах разработки.
  • Включать поэтапную проверку безопасности, валидацию перед выпуском и оценку безопасности в процессе эксплуатации на соответствующих этапах.

Глава 5: Пакеты работ по тестированию безопасности и планирование тестирования

• Определение пакетов работ по тестированию безопасности
  • Обобщать характеристики пакетов работ по тестированию программного обеспечения, включая цели, область работ, задачи, результаты работ, ресурсы и критерии приемки.
  • Учитывать специфику безопасности при определении пакетов работ, включая неопределенность оценок трудозатрат, необходимость специализированных компетенций и конфиденциальный характер выявленных проблем.
  • Определять подходящие среды тестирования безопасности, включая изоляцию, конфигурации, соответствующие реальным условиям, и возможности восстановления.
• Планирование тестирования безопасности
  • Объяснять различные аспекты планирования тестирования безопасности, включая область тестирования, обязанности, сроки, среды, инструменты и согласования.
  • Разрабатывать и реализовывать план тестирования для пакетов работ по тестированию безопасности, обеспечивая необходимые ресурсы, согласовывая результаты работ и составляя график мероприятий.
  • Осуществлять мониторинг и контроль тестирования, а также проверять тестовые артефакты на полноту и корректность.

Глава 6: Интерпретация результатов тестирования и определение необходимых действий

• Представление результатов тестирования безопасности
  • Объяснять ключевые аспекты представления информации, содержащейся в отчетах о тестировании безопасности.
  • Адаптировать представление выявленных проблем к потребностям технических команд, руководства и других заинтересованных сторон.
  • Понимать необходимость незамедлительного информирования о критических уязвимостях и надлежащего обращения с отчетами, содержащими конфиденциальную информацию.
• Управление последующими действиями по результатам отчетов
  • Объяснять, как управлять последующими действиями по результатам отчетов о тестировании безопасности для обеспечения своевременного устранения уязвимостей.
  • Учитывать серьезность уязвимостей, критичность для бизнеса, требования безопасности и возможности внесения изменений в код или среду при выработке рекомендаций.
• Определение приоритетности необходимых действий
  • Анализировать отчет о тестировании безопасности для определения приоритетности необходимых действий с учетом соответствующего бизнес-контекста и условий эксплуатации.
  • Учитывать поэтапное снижение рисков, взаимосвязанные уязвимости и подтверждающее тестирование при определении последующих мероприятий.
  • Рекомендовать улучшения, направленные на устранение как повторяющихся причин, так и отдельных уязвимостей.