ISTQB® CT - Security Tester

Təsvir

ISTQB® CT - Security Tester sertifikasiyası artıq ISTQB® Foundation sertifikatına sahib olan və Security Tester olmaq üçün software testing üzrə biliklərini daha da dərinləşdirmək istəyən software mütəxəssisləri üçün nəzərdə tutulub.

Security Tester kvalifikasiyası software testing sahəsində artıq qabaqcıl təcrübəyə sahib olan və security testing üzrə biliklərini daha da inkişaf etdirmək istəyən şəxslər üçün nəzərdə tutulub.

Fəsil 1: Security Testing-in Əsasları

Fəsil 2: Security Testing Məqsədləri, Hədəfləri və Strategiyaları

Fəsil 3: Security Testing Prosesləri

Fəsil 4: Software Lifecycle Boyunca Security Testing

Fəsil 5: Security Mexanizmlərinin Testing-i

Fəsil 6: Security Testing-də İnsan Faktorları

Fəsil 7: Security Test Qiymətləndirilməsi və Reporting

Fəsil 8: Security Testing Alətləri

Fəsil 9: Standartlar və Sənaye Trendləri

Biznes nəticələri

Bu səviyyəni uğurla keçən namizədlər aşağıdakıları bacardıqlarını nümayiş etdirirlər:

• Risk assessment-in security test planning və design üçün məlumat təmin etməkdə və security testing-i biznes ehtiyacları ilə uyğunlaşdırmaqda rolunu başa düşmək.
• Qorunmalı əsas asset-ləri, hər asset-in dəyərini və hər asset üçün lazım olan security səviyyəsini qiymətləndirmək üçün tələb olunan data-nı müəyyən etmək.
• Mövcud və gələcək security threat-ləri müəyyən etmək üçün verilmiş vəziyyətdə risk assessment texnikalarının effektiv istifadəsini təhlil etmək.
• Security policy və procedure anlayışlarını və onların information system-lərdə necə tətbiq olunduğunu başa düşmək.
• Verilmiş security policy və procedure-ları security test nəticələri ilə birlikdə təhlil edərək onların effektivliyini müəyyən etmək.
• Security audit-in məqsədini başa düşmək.
• Təşkilatda security testing-in nə üçün lazım olduğunu, o cümlədən risklərin azaldılması və etibar səviyyəsinin yüksəlməsi kimi faydaları başa düşmək.
• Layihə reallıqlarının, biznes məhdudiyyətlərinin, software development lifecycle-ın və digər amillərin security testing komandasının fəaliyyətinə necə təsir etdiyini başa düşmək.
• Security testing məqsəd və hədəflərinin təşkilatın security policy-si və digər test məqsədləri ilə niyə uyğunlaşdırılmalı olduğunu izah etmək.
• Verilmiş layihə ssenarisində funksionallıq, texnologiya xüsusiyyətləri və məlum vulnerability-lər əsasında security test məqsədlərini müəyyən etmək.
• Information assurance ilə security testing arasındakı əlaqəni başa düşmək.
• Verilmiş layihədə security test məqsədləri ilə həssas digital və physical asset-lərin integrity səviyyəsi arasındakı əlaqəni müəyyən etmək.
• Verilmiş vəziyyəti təhlil edib hansı security testing yanaşmalarının daha uğurlu ola biləcəyini müəyyən etmək.
• Verilmiş security testing yanaşmasının uğursuz olduğu vəziyyəti təhlil edib mümkün səbəbləri müəyyən etmək.
• Verilmiş ssenaridə müxtəlif stakeholder-ləri müəyyən etmək və hər stakeholder qrupu üçün security testing-in faydalarını izah etmək.
• KPI-ları (Key Performance Indicators) təhlil edərək təkmilləşdirilməli security testing praktikalarını və dəyişiklik tələb etməyən elementləri müəyyən etmək.
• Verilmiş layihə üçün effektiv security test process-in əsas elementlərini müəyyən etmək.
• Verilmiş security test plan-ı təhlil edib onun güclü və zəif tərəfləri haqqında feedback vermək.
• Verilmiş security test approach və müəyyən edilmiş functional və structural security risk-lər əsasında conceptual (abstract) security test-lər hazırlamaq.
• Security policy və procedure-ları validation etmək üçün test case-lər hazırlamaq.
• Effektiv security test environment-in əsas elementlərini və xüsusiyyətlərini başa düşmək.
• Hər hansı security test-dən əvvəl planlaşdırmanın və lazımi approval-ların alınmasının əhəmiyyətini başa düşmək.
• Security test nəticələrini təhlil edərək aşağıdakıları müəyyən etmək:
  • Security vulnerability-nin xarakteri
  • Security vulnerability-nin əhatə dairəsi
  • Security vulnerability-nin mümkün təsiri
  • Tövsiyə olunan remediation
• Texnologiya və threat-lərin daim dəyişməsi səbəbindən security testing proseslərinin davamlı saxlanmasının əhəmiyyətini başa düşmək.
• Security-nin lifecycle process daxilində niyə daha effektiv təmin edildiyini izah etmək.
• Verilmiş software lifecycle üçün uyğun security fəaliyyətlərini tətbiq etmək (məsələn, iterative, sequential).
• Verilmiş requirement-ləri security baxımından təhlil edərək çatışmazlıqları müəyyən etmək.
• Verilmiş design document-i security baxımından təhlil edərək çatışmazlıqları müəyyən etmək.
• Component testing zamanı security testing-in rolunu başa düşmək.
• Verilmiş coding specification əsasında component-level security test-lər (abstract) hazırlamaq.
• Verilmiş component-level test nəticələrini təhlil edərək kodun security baxımından uyğunluğunu müəyyən etmək.
• Component integration testing zamanı security testing-in rolunu başa düşmək.
• Verilmiş system specification əsasında component integration security test-lər (abstract) hazırlamaq.
• Bir və ya bir neçə security requirement-i yoxlayan və təsvir edilmiş functional process-i test edən end-to-end security test ssenarisi hazırlamaq.
• Verilmiş acceptance test üçün security aspektlərinə dair acceptance criteria müəyyən etmək.
• Verilmiş ssenari əsasında end-to-end security retest/regression test yanaşması hazırlamaq.
• System hardening anlayışını və onun security-ni gücləndirməkdə rolunu başa düşmək.
• Geniş istifadə olunan system hardening mexanizmlərinin effektivliyini necə test etməyi nümayiş etdirmək.
• Authentication və authorization arasındakı əlaqəni və onların information system-lərin qorunmasında necə tətbiq olunduğunu başa düşmək.
• Geniş istifadə olunan authentication və authorization mexanizmlərinin effektivliyini necə test etməyi nümayiş etdirmək.
• Encryption anlayışını və onun information system-lərin qorunmasında necə tətbiq olunduğunu başa düşmək.
• Geniş istifadə olunan encryption mexanizmlərinin effektivliyini necə test etməyi nümayiş etdirmək.
• Firewall anlayışını, network zone-ların istifadəsini və onların information system-lərdə security üçün necə tətbiq olunduğunu başa düşmək.
• Mövcud firewall implementation-ların və network zone-ların effektivliyini necə test etməyi nümayiş etdirmək.
• Intrusion detection tool-ların anlayışını və onların information system-lərdə necə tətbiq olunduğunu başa düşmək.
• Mövcud intrusion detection tool implementation-larının effektivliyini necə test etməyi nümayiş etdirmək.
• Malware scanning tool-ların anlayışını və onların information system-lərin qorunmasında necə tətbiq olunduğunu başa düşmək.
• Mövcud malware scanning tool implementation-larının effektivliyini necə test etməyi nümayiş etdirmək.
• Data obfuscation tool-ların anlayışını və onların information system-lərdə necə tətbiq olunduğunu başa düşmək.
• Data obfuscation yanaşmalarının effektivliyini necə test etməyi nümayiş etdirmək.
• Security training-in software lifecycle fəaliyyəti kimi rolunu və information system-lərin qorunması üçün nə üçün lazım olduğunu başa düşmək.
• Security training-in effektivliyini necə test etməyi nümayiş etdirmək.
• İnsan davranışının security risk-lərinə necə səbəb ola biləcəyini və security testing-in effektivliyinə necə təsir etdiyini izah etmək.
• Verilmiş ssenaridə attacker-in target haqqında vacib məlumatları necə əldə edə biləcəyini müəyyən etmək və environment-i qorumaq üçün tədbirlər tətbiq etmək.
• Computer system attack-larının ümumi motivasiyalarını və mənbələrini izah etmək.
• Verilmiş attack ssenarisini təhlil edib attack-ın mümkün mənbə və motivasiyasını müəyyən etmək.
• Social engineering vasitəsilə security defense-lərin necə zəiflədilə biləcəyini izah etmək.
• Təşkilat daxilində security awareness-in əhəmiyyətini başa düşmək.
• Verilmiş test nəticələrinə əsasən security awareness-i artırmaq üçün uyğun tədbirlər tətbiq etmək.
• Layihənin scope və məqsədləri dəyişdikcə security expectation-ların və acceptance criteria-nın yenilənməsi ehtiyacını başa düşmək.
• Security test nəticələrinin məxfi və təhlükəsiz saxlanmasının əhəmiyyətini başa düşmək.
• Security test status report-ları üçün məlumatların vaxtında, dəqiq və düzgün şəkildə toplanmasını təmin edən uyğun control və data-gathering mexanizmlərinin yaradılması ehtiyacını başa düşmək (məsələn, security test dashboard).
• Verilmiş interim security test status report-u təhlil edib onun accuracy, understandability və stakeholder-lər üçün uyğunluq səviyyəsini müəyyən etmək.
• Static və dynamic analysis tool-ların security testing-də rolunu izah etmək.
• Bir və ya bir neçə tool ilə qarşılanmalı security testing ehtiyaclarını təhlil etmək və sənədləşdirmək.
• Open-source tool-larla bağlı məsələləri başa düşmək.
• Security threat-lərlə aktual qalmaq üçün vendor-un tool-ları tez-tez update etmək imkanlarının qiymətləndirilməsi ehtiyacını başa düşmək.