ISTQB CT-STE

Description

Certyfikowany ISTQB® Security Test Engineer potrafi:

• Rozumieć podstawowe paradygmaty bezpieczeństwa oraz ich wpływ na testowanie bezpieczeństwa.
• Stosować odpowiednie techniki testowania bezpieczeństwa, rozpoznając ich mocne strony i ograniczenia.
• Wspierać planowanie, projektowanie i wykonywanie testów bezpieczeństwa.
• Skutecznie wykorzystywać standardy i dobre praktyki dotyczące testowania bezpieczeństwa.
• Dostosowywać działania związane z testowaniem bezpieczeństwa do konkretnego kontekstu organizacyjnego.
• Dostosowywać testowanie bezpieczeństwa do różnych metod wytwarzania oprogramowania i modeli cyklu życia oprogramowania.
• Integrować wyniki testów bezpieczeństwa z Systemem Zarządzania Bezpieczeństwem Informacji (ISMS) w celu aktywnego zarządzania ryzykiem.
• Gromadzić, oceniać i konsolidować wyniki testów oraz przygotowywać szczegółowy raport zawierający wszystkie ustalenia i dowody.
• Identyfikować wymagania dotyczące narzędzi do testowania bezpieczeństwa i wspierać wybór odpowiednich narzędzi zgodnie z wymaganym podejściem.

Rozdział 1: Paradygmaty bezpieczeństwa

• Poziomy bezpieczeństwa zasobów
  • Wyjaśniać różne poziomy bezpieczeństwa zasobów oraz odpowiadający im poziom ochrony.
  • Wyjaśniać zależność między wrażliwością informacji a testowaniem bezpieczeństwa.
• Audyty bezpieczeństwa
  • Opisywać rolę testowania bezpieczeństwa w kontekście audytów bezpieczeństwa.
• Koncepcja Zero Trust
  • Wyjaśniać koncepcję Zero Trust.
  • Stosować koncepcję Zero Trust w testowaniu bezpieczeństwa.
• Oprogramowanie typu open source
  • Podawać przykłady ponownego wykorzystania oprogramowania open source (OSS) w tworzeniu oprogramowania oraz jego wpływu na testowanie bezpieczeństwa.

Rozdział 2: Techniki testowania bezpieczeństwa

• Stosowanie typów testów bezpieczeństwa zgodnie z kontekstem testowym
  • Podawać przykłady typów testów bezpieczeństwa odpowiednich dla kontekstu black-box, grey-box lub white-box.
  • Podawać przykłady typów testów bezpieczeństwa odpowiednich dla dynamicznego lub statycznego testowania bezpieczeństwa.
• Stosowanie typów testów bezpieczeństwa zgodnie z kontekstem projektu i kontekstem technicznym
  • Stosować przypadki testowe bezpieczeństwa na podstawie określonego podejścia do testowania bezpieczeństwa oraz zidentyfikowanych funkcjonalnych i strukturalnych ryzyk bezpieczeństwa.
  • Opisywać sposób przeprowadzania testów ponownej certyfikacji i testów uzgadniania dla tożsamości i uprawnień.
  • Opisywać sposób testowania mechanizmów zarządzania tożsamością i dostępem.
  • Opisywać sposób testowania mechanizmów ochrony danych.
  • Opisywać sposób testowania technologii ochronnych.

Rozdział 3: Proces testowania bezpieczeństwa

• Proces testowania bezpieczeństwa
  • Wyjaśniać różne działania, zadania i obowiązki w ramach procesu testowania bezpieczeństwa.
  • Rozumieć kluczowe elementy i cechy skutecznego środowiska testowania bezpieczeństwa.
• Projektowanie testów bezpieczeństwa
  • Podawać przykłady testów bezpieczeństwa na podstawie określonej bazy kodu na poziomie testów komponentowych.
  • Podawać przykłady testów bezpieczeństwa na podstawie specyfikacji projektowych na poziomie integracji komponentów.
  • Implementować kompleksowy test bezpieczeństwa end-to-end, który waliduje co najmniej jedno wymaganie bezpieczeństwa związane z co najmniej jednym procesem biznesowym.

Rozdział 4: Standardy i dobre praktyki

• Wprowadzenie do standardów i dobrych praktyk
  • Wyjaśniać różne źródła standardów testowych i dobrych praktyk oraz zakres ich zastosowania.
• Stosowanie wymaganych standardów i dobrych praktyk w testowaniu bezpieczeństwa
  • Stosować koncepcje OWASP, CVE i CVSS oraz wykorzystywać je w testowaniu bezpieczeństwa.
• Wykorzystywanie standardów i dobrych praktyk
  • Wyjaśniać zalety i wady wyroczni testowych stosowanych w testowaniu bezpieczeństwa.
  • Rozumieć zalety i wady korzystania z dobrych praktyk i standardów bezpieczeństwa.

Rozdział 5: Dostosowanie do kontekstu organizacyjnego

• Wpływ struktur organizacyjnych na testowanie bezpieczeństwa
  • Analizować określony kontekst organizacyjny i wskazywać konkretne aspekty, które należy uwzględnić w testowaniu bezpieczeństwa.
• Wpływ regulacji na polityki bezpieczeństwa i sposób ich testowania
  • Analizować wpływ regulacji na polityki bezpieczeństwa oraz sposób ich testowania.
• Analiza scenariusza ataku
  • Analizować scenariusz ataku (atak przeprowadzony i wykryty) oraz identyfikować możliwe źródła i motywacje ataku.

Rozdział 6: Dostosowanie do modeli cyklu życia wytwarzania oprogramowania

• Wpływ różnych modeli cyklu życia wytwarzania oprogramowania
  • Podsumowywać, dlaczego działania związane z testowaniem bezpieczeństwa powinny obejmować cały cykl życia wytwarzania oprogramowania.
  • Analizować wpływ różnych modeli wytwarzania systemów na działania związane z testowaniem bezpieczeństwa.
• Testowanie bezpieczeństwa podczas utrzymania
  • Definiować i wykonywać regresyjne testy bezpieczeństwa oraz testy potwierdzające na podstawie zmian w systemie.
  • Analizować wyniki testów bezpieczeństwa w celu określenia charakteru podatności bezpieczeństwa oraz jej potencjalnego wpływu technicznego.

Rozdział 7: Testowanie bezpieczeństwa jako część Systemu Zarządzania Bezpieczeństwem Informacji

• Kryteria akceptacji dla testowania bezpieczeństwa
  • Rozumieć kryteria akceptacji testów bezpieczeństwa oraz ich wpływ na wybór podejść i technik testowania bezpieczeństwa.
• Dane wejściowe do Systemu Zarządzania Bezpieczeństwem Informacji
  • Rozumieć rolę testowania bezpieczeństwa w skutecznym Systemie Zarządzania Bezpieczeństwem Informacji.
• Doskonalenie ISMS poprzez odpowiednio dostosowane testowanie bezpieczeństwa
  • Oceniać dojrzałość ISMS poprzez wprowadzanie różnych podejść testowych, nowych obiektów testowych lub zwiększanie pokrycia.
  • Rozumieć mierzalność w ramach ISMS.

Rozdział 8: Raportowanie wyników testów

• Raportowanie testów bezpieczeństwa
  • Rozumieć krytyczność wyników testów bezpieczeństwa oraz wpływ tej krytyczności na sposób ich obsługi i komunikowania.
• Identyfikowanie i analizowanie podatności
  • Oceniać wyniki określonego testu bezpieczeństwa w celu identyfikacji podatności bezpieczeństwa.
• Usuwanie podatności
  • Oceniać różne techniki usuwania zidentyfikowanych podatności.

Rozdział 9: Narzędzia do testowania bezpieczeństwa

• Kategoryzacja narzędzi do testowania bezpieczeństwa
  • Analizować różne przypadki użycia i stosować odpowiednie kategorie narzędzi do testowania bezpieczeństwa.
• Wybór narzędzi do testowania bezpieczeństwa
• Rozumieć zastosowanie i koncepcje dynamicznych narzędzi do testowania bezpieczeństwa.
• Rozumieć zastosowanie i koncepcje statycznych narzędzi do testowania bezpieczeństwa.