ISTQB CT-STA

Deskripsi

Seorang ISTQB® Certified Security Test Analyst dapat:

• Menjelaskan aset organisasi, nilainya, serta risiko keamanan yang terkait dengan aset tersebut.
• Memanfaatkan pemahaman tentang motivasi dan metode penyerang untuk mendukung pengujian keamanan.
• Menghubungkan manajemen risiko, sistem pengendalian internal, dan regulasi keamanan dengan aktivitas pengujian keamanan.
• Menentukan tujuan pengujian keamanan dan menerapkan strategi pengujian yang sesuai sepanjang siklus hidup pengembangan perangkat lunak.
• Menentukan paket pekerjaan pengujian keamanan serta merencanakan sumber daya, aktivitas, dan jadwal yang diperlukan untuk melaksanakannya.
• Menafsirkan hasil pengujian keamanan, menyampaikan temuan, dan menentukan prioritas tindakan untuk menangani kerentanan yang telah diidentifikasi.

Bab 1: Keamanan Aset dan Penilaian Risiko

• Keamanan Aset
  • Menjelaskan pengertian aset, termasuk aset berwujud dan tidak berwujud.
  • Menjelaskan nilai suatu aset dengan mempertimbangkan kelangsungan bisnis, biaya pemulihan, kerusakan reputasi, dan dampak lain akibat kehilangan aset tersebut.
  • Menerapkan teknik identifikasi risiko untuk menentukan potensi risiko keamanan terhadap aset yang dilindungi.
• Penilaian Risiko Keamanan Aset
  • Menafsirkan hasil penilaian risiko aset dengan mempertimbangkan kemungkinan terjadinya risiko, dampak risiko, dan konteks organisasi.
  • Memahami bagaimana analisis dampak bisnis mendukung penilaian risiko keamanan.

Bab 2: Pola Pikir Penyerang dan Metode Operasinya

• Motivasi dan Metode Penyerang
  • Memberikan contoh bagaimana pemahaman tentang motivasi penyerang dapat meningkatkan pekerjaan seorang Analis Pengujian Keamanan.
  • Menerapkan metode yang mungkin digunakan penyerang untuk menemukan informasi yang dapat mendukung pengujian keamanan.
  • Menggunakan pendekatan pengintaian pasif dan aktif, termasuk informasi yang tersedia untuk umum dan eksplorasi langsung terhadap sistem.
• Orang Dalam dan Penyerang Eksternal
  • Memberikan contoh risiko khusus yang ditimbulkan oleh orang dalam, termasuk ancaman yang tidak disengaja, tindakan berbahaya, kerja sama dalam serangan, dan ancaman dari pihak ketiga.
  • Membedakan penyerang eksternal dan orang dalam dalam konteks pengujian keamanan.

Bab 3: Manajemen Risiko, Sistem Pengendalian Internal, dan Regulasi

• Manajemen Risiko
  • Menjelaskan metodologi manajemen risiko dan aktivitas yang terlibat dalam mengidentifikasi, menilai, menangani, mengomunikasikan, dan memantau risiko.
  • Menganalisis risiko keamanan yang telah diidentifikasi dan konteks bisnisnya untuk mendukung keputusan manajemen risiko yang tepat.
  • Mempertimbangkan penerimaan, mitigasi, penghindaran, dan pengalihan risiko saat merekomendasikan tindakan penanganan risiko.
• Sistem Pengendalian Internal
  • Menerapkan hubungan antara kebijakan keamanan dan sistem pengendalian internal.
  • Menentukan pemeriksaan keamanan untuk memastikan bahwa kebijakan yang telah disetujui dipatuhi.
  • Menerapkan aktivitas pengendalian keamanan, termasuk mengevaluasi hasil dan menyempurnakan pemeriksaan jika diperlukan.
• Aktivitas Pengujian Berdasarkan Regulasi
  • Menggunakan regulasi keamanan yang berlaku untuk menentukan aktivitas pengujian.
  • Menyesuaikan aktivitas pengendalian yang diwajibkan oleh regulasi dengan sistem yang diuji.
  • Menentukan kasus uji dan hasil yang diharapkan ketika persyaratan regulasi tidak menetapkan prosedur pengujian.

Bab 4: Tujuan, Strategi, dan Aktivitas Pengujian Keamanan

• Tujuan dan Strategi Pengujian Keamanan
  • Merangkum tujuan pengujian keamanan yang berkaitan dengan kepatuhan, risiko, jaminan keamanan, dan perbaikan.
  • Menjelaskan bagaimana strategi pengujian keamanan menjadi panduan untuk ruang lingkup, pendekatan, cakupan, teknik, alat, dan sumber daya.
  • Menerapkan strategi pengujian keamanan yang sesuai dalam skenario proyek yang diberikan.
• Aktivitas Pengujian Keamanan Sepanjang Siklus Hidup Pengembangan Perangkat Lunak
  • Melaksanakan aktivitas pengujian keamanan yang sesuai dalam siklus hidup pengembangan berbasis Agile dan Waterfall.
  • Mengintegrasikan persyaratan keamanan, pemodelan ancaman, dan peninjauan desain keamanan ke dalam aktivitas awal pengembangan.
  • Melakukan verifikasi keamanan secara bertahap, validasi sebelum rilis, dan penilaian keamanan operasional pada tahap yang sesuai.

Bab 5: Paket Pekerjaan Pengujian Keamanan dan Perencanaan Pengujian

• Menentukan Paket Pekerjaan Pengujian Keamanan
  • Merangkum karakteristik paket pekerjaan pengujian perangkat lunak, termasuk tujuan, ruang lingkup, tugas, hasil kerja, sumber daya, dan kriteria penerimaan.
  • Menerapkan pertimbangan khusus keamanan saat menentukan paket pekerjaan, termasuk estimasi usaha yang tidak pasti, kompetensi khusus, dan temuan yang bersifat sensitif.
  • Menentukan lingkungan pengujian keamanan yang sesuai, termasuk isolasi, konfigurasi yang mewakili kondisi sebenarnya, dan kemampuan pemulihan.
• Perencanaan Pengujian Keamanan
  • Menjelaskan berbagai aspek dalam perencanaan pengujian keamanan, termasuk ruang lingkup, tanggung jawab, jadwal, lingkungan, alat, dan persetujuan.
  • Melaksanakan rencana pengujian untuk paket pekerjaan pengujian keamanan dengan menyediakan sumber daya, menyepakati hasil kerja, dan menjadwalkan aktivitas.
  • Menerapkan pemantauan dan pengendalian pengujian serta meninjau kelengkapan dan ketepatan artefak pengujian.

Bab 6: Menafsirkan Hasil Pengujian dan Menentukan Tindakan

• Mengomunikasikan Hasil Pengujian Keamanan
  • Menjelaskan aspek-aspek utama dalam komunikasi laporan pengujian keamanan.
  • Menyesuaikan penyajian temuan dengan kebutuhan tim teknis, manajemen, dan pemangku kepentingan lainnya.
  • Memahami perlunya segera menyampaikan kerentanan kritis dan menangani laporan yang bersifat sensitif dengan tepat.
• Mengelola Tindak Lanjut Laporan
  • Menjelaskan cara mengelola tindak lanjut laporan pengujian keamanan untuk mendukung mitigasi kerentanan secara tepat waktu.
  • Mempertimbangkan tingkat keparahan kerentanan, tingkat kepentingan bisnis, persyaratan keamanan, serta peluang untuk mengubah kode atau lingkungan saat merekomendasikan tindakan.
• Menentukan Prioritas Tindakan yang Diperlukan
  • Menganalisis laporan pengujian keamanan untuk menentukan prioritas tindakan yang diperlukan berdasarkan konteks bisnis dan operasional yang relevan.
  • Mempertimbangkan mitigasi bertahap, kerentanan yang saling berkaitan, dan pengujian konfirmasi saat menentukan aktivitas tindak lanjut.
  • Merekomendasikan perbaikan yang menangani penyebab masalah yang berulang serta kerentanan individual.