ISTQB CT-STA

Description

Specjalista posiadający certyfikat ISTQB® Security Test Analyst potrafi:

• Wyjaśnić, czym są zasoby organizacji, jaka jest ich wartość oraz jakie ryzyka bezpieczeństwa są z nimi związane.
• Wykorzystywać wiedzę na temat motywacji i metod działania atakujących do wspierania testowania bezpieczeństwa.
• Łączyć zarządzanie ryzykiem, systemy kontroli wewnętrznej i przepisy dotyczące bezpieczeństwa z działaniami związanymi z testowaniem bezpieczeństwa.
• Definiować cele testowania bezpieczeństwa i stosować odpowiednie strategie testowania w całym cyklu życia oprogramowania.
• Określać pakiety prac związanych z testowaniem bezpieczeństwa oraz planować zasoby, działania i harmonogramy niezbędne do ich realizacji.
• Interpretować wyniki testów bezpieczeństwa, przekazywać informacje o ustaleniach oraz ustalać priorytety działań mających na celu usunięcie zidentyfikowanych podatności.

Rozdział 1: Bezpieczeństwo zasobów i ocena ryzyka

• Bezpieczeństwo zasobów
  • Wyjaśnić, czym jest zasób, uwzględniając zasoby materialne i niematerialne.
  • Wyjaśnić wartość zasobu, biorąc pod uwagę ciągłość działania organizacji, koszty odtworzenia, szkody wizerunkowe oraz inne konsekwencje jego utraty.
  • Stosować techniki identyfikacji ryzyka w celu określenia potencjalnych zagrożeń bezpieczeństwa dla chronionego zasobu.
• Ocena ryzyka bezpieczeństwa zasobów
  • Interpretować wyniki oceny ryzyka dla zasobów, uwzględniając prawdopodobieństwo wystąpienia ryzyka, jego wpływ oraz kontekst organizacyjny.
  • Rozumieć, w jaki sposób analiza wpływu na działalność biznesową wspiera ocenę ryzyka bezpieczeństwa.

Rozdział 2: Sposób myślenia i metody działania atakujących

• Motywacje i metody działania atakujących
  • Podawać przykłady tego, w jaki sposób znajomość motywacji atakujących może zwiększyć skuteczność pracy analityka testów bezpieczeństwa.
  • Stosować metody, których atakujący mogą używać do pozyskiwania informacji przydatnych w testowaniu bezpieczeństwa.
  • Wykorzystywać metody pasywnego i aktywnego rozpoznania, w tym informacje dostępne publicznie oraz bezpośrednią eksplorację systemów.
• Osoby wewnątrz organizacji i atakujący zewnętrzni
  • Podawać przykłady konkretnych ryzyk związanych z osobami wewnątrz organizacji, w tym zagrożeń wynikających z działań nieumyślnych, złośliwych, zmowy oraz działań stron trzecich.
  • Rozróżniać atakujących zewnętrznych i osoby wewnątrz organizacji w kontekście testowania bezpieczeństwa.

Rozdział 3: Zarządzanie ryzykiem, systemy kontroli wewnętrznej i regulacje

• Zarządzanie ryzykiem
  • Wyjaśnić metodyki zarządzania ryzykiem oraz działania związane z identyfikacją, oceną, postępowaniem z ryzykiem, komunikacją i monitorowaniem ryzyka.
  • Analizować zidentyfikowane ryzyka bezpieczeństwa i ich kontekst biznesowy w celu wspierania podejmowania odpowiednich decyzji dotyczących zarządzania ryzykiem.
  • Uwzględniać akceptację, ograniczanie, unikanie i przenoszenie ryzyka podczas rekomendowania sposobów postępowania z ryzykiem.
• Systemy kontroli wewnętrznej
  • Wykorzystywać wiedzę o zależnościach między politykami bezpieczeństwa a systemami kontroli wewnętrznej.
  • Definiować kontrole bezpieczeństwa pozwalające zweryfikować przestrzeganie zatwierdzonych polityk.
  • Stosować działania kontrolne w zakresie bezpieczeństwa, w tym oceniać ich wyniki i w razie potrzeby doskonalić kontrole.
• Działania testowe wynikające z regulacji
  • Wykorzystywać obowiązujące regulacje dotyczące bezpieczeństwa do określania działań testowych.
  • Dostosowywać działania kontrolne przewidziane w regulacjach do testowanego systemu.
  • Definiować przypadki testowe i oczekiwane rezultaty, gdy wymagania regulacyjne nie określają konkretnej procedury testowej.

Rozdział 4: Cele, strategie i działania związane z testowaniem bezpieczeństwa

• Cele i strategie testowania bezpieczeństwa
  • Podsumować cele testowania bezpieczeństwa związane ze zgodnością z wymaganiami, ryzykiem, zapewnieniem bezpieczeństwa i doskonaleniem.
  • Wyjaśnić, w jaki sposób strategia testowania bezpieczeństwa wyznacza zakres, podejścia, pokrycie, techniki, narzędzia i zasoby.
  • Stosować odpowiednie strategie testowania bezpieczeństwa w określonym scenariuszu projektowym.
• Działania związane z testowaniem bezpieczeństwa w całym cyklu życia oprogramowania
  • Realizować odpowiednie działania związane z testowaniem bezpieczeństwa w zwinnych i kaskadowych modelach cyklu życia oprogramowania.
  • Uwzględniać wymagania bezpieczeństwa, modelowanie zagrożeń oraz przeglądy projektu pod kątem bezpieczeństwa na wczesnych etapach prac rozwojowych.
  • Uwzględniać przyrostową weryfikację bezpieczeństwa, walidację przed wydaniem oraz ocenę bezpieczeństwa operacyjnego na odpowiednich etapach.

Rozdział 5: Pakiety prac związanych z testowaniem bezpieczeństwa i planowanie testów

• Definiowanie pakietów prac związanych z testowaniem bezpieczeństwa
  • Podsumować charakterystykę pakietów prac związanych z testowaniem oprogramowania, w tym cele, zakres, zadania, produkty prac, zasoby i kryteria akceptacji.
  • Uwzględniać specyficzne aspekty bezpieczeństwa podczas definiowania pakietów prac, w tym niepewność oszacowań nakładu pracy, potrzebę specjalistycznych kompetencji oraz poufny charakter ustaleń.
  • Określać odpowiednie środowiska testowania bezpieczeństwa, uwzględniając izolację, konfiguracje reprezentatywne dla rzeczywistych warunków oraz możliwości odtwarzania środowiska.
• Planowanie testowania bezpieczeństwa
  • Wyjaśnić różne aspekty planowania testowania bezpieczeństwa, w tym zakres, obowiązki, harmonogramy, środowiska, narzędzia i zatwierdzenia.
  • Realizować plan testów dla pakietów prac związanych z testowaniem bezpieczeństwa poprzez zapewnienie zasobów, uzgodnienie produktów prac i zaplanowanie działań.
  • Stosować monitorowanie i nadzór nad testami oraz przeprowadzać przeglądy produktów testowych pod kątem kompletności i poprawności.

Rozdział 6: Interpretacja wyników testów i określanie działań

• Komunikowanie wyników testowania bezpieczeństwa
  • Wyjaśnić kluczowe aspekty komunikowania informacji zawartych w raportach z testowania bezpieczeństwa.
  • Dostosowywać sposób prezentacji ustaleń do potrzeb zespołów technicznych, kierownictwa i innych interesariuszy.
  • Rozumieć konieczność niezwłocznego informowania o krytycznych podatnościach oraz odpowiedniego postępowania z raportami zawierającymi informacje poufne.
• Zarządzanie działaniami następczymi po sporządzeniu raportów
  • Wyjaśnić, jak zarządzać działaniami następczymi wynikającymi z raportów z testowania bezpieczeństwa, aby wspierać terminowe ograniczanie podatności.
  • Uwzględniać poziom istotności podatności, krytyczność dla działalności biznesowej, wymagania bezpieczeństwa oraz możliwości wprowadzania zmian w kodzie lub środowisku podczas rekomendowania działań.
• Ustalanie priorytetów niezbędnych działań
  • Analizować raport z testowania bezpieczeństwa w celu ustalenia priorytetów niezbędnych działań z uwzględnieniem odpowiedniego kontekstu biznesowego i operacyjnego.
  • Uwzględniać etapowe ograniczanie ryzyka, powiązane podatności oraz testowanie potwierdzające podczas definiowania działań następczych.
  • Rekomendować usprawnienia eliminujące zarówno powtarzające się przyczyny problemów, jak i poszczególne podatności.