ISTQB CT-STA

설명

ISTQB® 공인 보안 테스트 분석가는 다음을 수행할 수 있습니다.

• 조직의 자산과 그 가치, 관련된 보안 위험을 설명합니다.
• 공격자의 동기와 공격 방법에 대한 이해를 바탕으로 보안 테스팅을 지원합니다.
• 위험 관리, 내부 통제 시스템 및 보안 규정을 보안 테스트 활동과 연계합니다.
• 보안 테스트 목표를 정의하고 소프트웨어 개발 생명주기 전반에 걸쳐 적절한 테스트 전략을 적용합니다.
• 보안 테스트 작업 패키지를 정의하고 실행에 필요한 자원, 활동 및 일정을 계획합니다.
• 보안 테스트 결과를 해석하고, 발견 사항을 전달하며, 식별된 취약점을 해결하기 위한 조치의 우선순위를 정합니다.

제1장: 자산 보안 및 위험 평가

• 자산 보안
  • 유형 자산과 무형 자산을 포함하여 자산이 무엇인지 설명합니다.
  • 비즈니스 연속성, 복구 비용, 평판 손상 및 자산 손실로 인한 기타 영향을 고려하여 자산의 가치를 설명합니다.
  • 위험 식별 기법을 적용하여 보호 대상 자산의 잠재적인 보안 위험을 파악합니다.
• 자산의 보안 위험 평가
  • 위험 발생 가능성, 위험 영향 및 조직 환경을 고려하여 자산에 대한 위험 평가 결과를 해석합니다.
  • 비즈니스 영향 분석이 보안 위험 평가를 어떻게 지원하는지 이해합니다.

제2장: 공격자의 사고방식과 공격 방법

• 공격자의 동기와 방법
  • 공격자의 동기를 이해하는 것이 보안 테스트 분석가의 업무에 어떻게 도움이 되는지 예를 들어 설명합니다.
  • 공격자가 정보를 수집하기 위해 사용할 수 있는 방법을 보안 테스팅에 적용합니다.
  • 공개된 정보와 시스템에 대한 직접적인 탐색을 포함하여 수동적 및 능동적 정찰 방법을 활용합니다.
• 내부자와 외부 공격자
  • 의도하지 않은 행동, 악의적인 행동, 공모 및 제3자 위협을 포함하여 내부자가 초래할 수 있는 구체적인 위험의 예를 제시합니다.
  • 보안 테스팅의 관점에서 외부 공격자와 내부자를 구분합니다.

제3장: 위험 관리, 내부 통제 시스템 및 규정

• 위험 관리
  • 위험 관리 방법론과 위험의 식별, 평가, 대응, 전달 및 모니터링에 필요한 활동을 설명합니다.
  • 식별된 보안 위험과 관련 비즈니스 환경을 분석하여 적절한 위험 관리 결정을 지원합니다.
  • 위험 대응 방안을 권고할 때 위험 수용, 완화, 회피 및 전가를 고려합니다.
• 내부 통제 시스템
  • 보안 정책과 내부 통제 시스템 간의 관계를 적용합니다.
  • 승인된 정책의 준수 여부를 확인하기 위한 보안 점검을 정의합니다.
  • 결과 평가와 필요에 따른 점검 개선을 포함한 보안 통제 활동을 적용합니다.
• 규정에서 도출된 테스트 활동
  • 적용 가능한 보안 규정을 바탕으로 테스트 활동을 도출합니다.
  • 규정에서 요구하는 통제 활동을 테스트 대상 시스템에 맞게 조정합니다.
  • 규제 요구사항에 테스트 절차가 명시되어 있지 않은 경우 테스트 케이스와 예상 결과를 정의합니다.

제4장: 보안 테스트 목표, 전략 및 활동

• 보안 테스트 목표와 전략
  • 규정 준수, 위험, 보안 보증 및 개선과 관련된 보안 테스트 목표를 요약합니다.
  • 보안 테스트 전략이 테스트 범위, 접근 방식, 커버리지, 기법, 도구 및 자원을 어떻게 결정하는지 설명합니다.
  • 주어진 프로젝트 시나리오에 적절한 보안 테스트 전략을 적용합니다.
• 소프트웨어 개발 생명주기 전반의 보안 테스트 활동
  • 애자일 및 폭포수 기반 개발 생명주기에 적합한 보안 테스트 활동을 수행합니다.
  • 개발 초기 활동에 보안 요구사항, 위협 모델링 및 보안 설계 검토를 통합합니다.
  • 적절한 단계에서 점진적인 보안 검증, 출시 전 유효성 확인 및 운영 보안 평가를 포함합니다.

제5장: 보안 테스트 작업 패키지 및 테스트 계획

• 보안 테스트 작업 패키지 정의
  • 목표, 범위, 작업, 산출물, 자원 및 인수 기준을 포함하여 소프트웨어 테스트 작업 패키지의 특성을 요약합니다.
  • 작업 패키지를 정의할 때 불확실한 작업량 추정, 전문 역량 및 민감한 발견 사항 등 보안 관련 요소를 고려합니다.
  • 격리, 실제 환경을 반영한 구성 및 복구 기능을 포함하여 적절한 보안 테스트 환경을 지정합니다.
• 보안 테스팅 계획
  • 범위, 책임, 일정, 환경, 도구 및 승인 절차를 포함하여 보안 테스트 계획의 다양한 요소를 설명합니다.
  • 자원 확보, 산출물 합의 및 활동 일정 수립을 통해 보안 테스트 작업 패키지에 대한 테스트 계획을 실행합니다.
  • 테스트 모니터링과 테스트 제어를 적용하고 테스트 산출물의 완전성과 정확성을 검토합니다.

제6장: 테스트 결과 해석 및 조치 정의

• 보안 테스트 결과 전달
  • 보안 테스트 보고서 전달의 주요 요소를 설명합니다.
  • 기술팀, 경영진 및 기타 이해관계자의 요구에 맞게 발견 사항을 제시합니다.
  • 심각한 취약점을 즉시 전달하고 민감한 보고서를 적절하게 처리해야 할 필요성을 이해합니다.
• 보고서 후속 조치 관리
  • 취약점을 적시에 완화할 수 있도록 보안 테스트 보고서의 후속 조치를 관리하는 방법을 설명합니다.
  • 조치를 권고할 때 취약점의 심각도, 비즈니스 중요도, 보안 요구사항 및 코드나 환경을 변경할 수 있는 기회를 고려합니다.
• 필요한 조치의 우선순위 결정
  • 보안 테스트 보고서를 분석하여 관련 비즈니스 및 운영 환경에서 필요한 조치의 우선순위를 결정합니다.
  • 후속 활동을 정의할 때 단계적 위험 완화, 관련 취약점 및 확인 테스트를 고려합니다.
  • 개별 취약점뿐만 아니라 반복적으로 발생하는 근본 원인을 해결하기 위한 개선 방안을 권고합니다.