ISTQB CT-SEC

Descriere

Certificarea ISTQB® CT - Security Tester se adresează profesioniștilor din domeniul software care dețin deja certificatul ISTQB® Foundation și care doresc să-și aprofundeze cunoștințele de testare software pentru a deveni Security Tester.

Calificarea Security Tester se adresează persoanelor care au atins deja un nivel avansat în cariera lor în domeniul testării software și care doresc să își aprofundeze expertiza în domeniul testării automate.

Capitolul 1: Bazele testării securității

Capitolul 2: Scopurile, obiectivele și strategiile testării securității

Capitolul 3: Procesele de testare a securității

Capitolul 4: Testarea securității de-a lungul ciclului de viață al software-ului

Capitolul 5: Testarea mecanismelor de securitate

Capitolul 6: Factorul uman în testarea securității

Capitolul 7: Evaluarea și raportarea testelor de securitate

Capitolul 8: Instrumente de testare a securității

Capitolul 9: Standarde și tendințe din industrie

Rezultate pentru business

Promovarea acestui nivel demonstrează că respectivii candidați pot:

• Să înțeleagă rolul estimării riscurilor în furnizarea de informații pentru planificarea și proiectarea testelor de securitate și adaptarea testării securității la nevoile business-ului.
• Să identifice activele semnificative care trebuie protejate, valoarea fiecărui activ și datele necesare pentru a estima nivelul de securitate necesar pentru fiecare activ.
• Să analizeze utilizarea eficientă a tehnicilor de estimare a riscurilor într-o anumită situație pentru a identifica amenințările actuale și viitoare la adresa securității.
• Să înțeleagă conceptul de politici și proceduri de securitate și modul în care acestea sunt aplicate în sistemele informatice.
• Să analizeze un set dat de politici și proceduri de securitate, împreună cu rezultatele testelor de securitate, pentru a determina eficiența.
• Să înțeleagă scopul unui audit de securitate.
• Să înțeleagă de ce este necesară testarea securității într-o organizație, inclusiv beneficiile pentru organizație, precum reducerea riscurilor și niveluri mai ridicate de încredere și siguranță.
• Să înțeleagă modul în care realitățile proiectului, constrângerile de business, ciclul de viață al dezvoltării software-ului și alte considerente afectează misiunea echipei de testare a securității.
• Să explice de ce scopurile și obiectivele testării securității trebuie să se alinieze cu politica de securitate a organizației și cu alte obiective de testare din cadrul organizației.
• Pentru un anumit scenariu de proiect, să demonstreze capacitatea de a identifica obiectivele testelor de securitate pe baza funcționalității, a atributelor tehnologice și a vulnerabilităților cunoscute.
• Să înțeleagă relația dintre asigurarea informațiilor și testarea securității.
• Pentru un anumit proiect, să demonstreze capacitatea de a defini relația dintre obiectivele testelor de securitate și necesitatea de consolidare a integrității activelor digitale și fizice sensibile.
• Să analizeze o situație dată și să determine care sunt abordările de testare a securității care au cele mai mari șanse de reușită.
• Să analizeze o situație în care o anumită abordare de testare a securității a eșuat, identificând cauzele probabile ale eșecului.
• Pentru un scenariu dat, să demonstreze capacitatea de a identifica diferitele părți interesate și de a ilustra beneficiile testării securității pentru fiecare grup de părți interesate.
• Să analizeze KPI-urile (indicatori cheie de performanță) pentru a identifica practicile de testare a securității care necesită îmbunătățiri și elementele care nu necesită îmbunătățiri.
• Pentru un anumit proiect, să demonstreze capacitatea de a defini elementele unui proces eficient de testare a securității.
• Să analizeze un anumit plan de testare a securității, oferind feedback cu privire la punctele forte și punctele slabe ale planului.
• Pentru un proiect dat, să pună în aplicare teste de securitate conceptuale (abstracte), pe baza unei abordări date privind testarea securității, împreună cu riscurile de securitate funcționale și structurale identificate.
• Să implementeze cazuri de testare pentru a valida politicile și procedurile de securitate.
• Să înțeleagă elementele-cheie și caracteristicile unui mediu eficient de testare a securității.
• Să înțeleagă importanța planificării și a obținerii aprobărilor înainte de a efectua orice test de securitate.
• Să analizeze rezultatele testelor de securitate pentru a determina următoarele:
  • Natura vulnerabilității securității
  • Amploarea vulnerabilității securității
  • Impactul potențial al vulnerabilității securității
  • Măsurile de remediere sugerate
• Să înțeleagă importanța menținerii proceselor de testare a securității, având în vedere natura evolutivă a tehnologiei și a amenințărilor.
• Să explice de ce securitatea este cel mai bine realizată în cadrul unui proces de ciclu de viață.
• Să implementeze activitățile adecvate legate de securitate pentru un anumit ciclu de viață al software-ului (de exemplu, iterativ, secvențial).
• Să analizeze un set dat de cerințe din perspectiva securității pentru a identifica deficiențele.
• Să analizeze un anumit document de proiectare din perspectiva securității pentru a identifica deficiențele.
• Să înțeleagă rolului testării securității în timpul testării componentelor.
• Să implementeze testele de securitate la nivel de componentă (abstract), având în vedere o specificație de codare definită.
• Să analizeze rezultatele unui anumit test la nivel de componentă pentru a determina dacă respectivul cod este adecvat din punct de vedere al securității.
• Să înțeleagă rolul testării securității în timpul testării de integrare a componentelor.
• Să implementeze teste de securitate de integrare a componentelor (abstract), având în vedere o specificație de sistem definită.
• Să implementeze un scenariu de testare end-to-end pentru testarea securității, care verifică una sau mai multe cerințe de securitate date și testează un proces funcțional descris.
• Să demonstreze capacitatea de a defini un set de criterii de acceptare pentru aspectele de securitate ale unui test de acceptare dat.
• Să pună în aplicare o abordare de retestare end-to-end a securității/o abordare de testare de regresie pe baza unui scenariu dat
• Să înțeleagă conceptul de întărire a sistemului și rolul său în consolidarea securității AS-5.1.2 (K3). Să demonstreze modul de testare a eficienței mecanismelor comune de întărire a sistemului.
• Să înțeleagă relația dintre autentificare și autorizare și modul în care acestea sunt aplicate în securizarea sistemelor informatice.
• Să demonstreze cum se testează eficacitatea mecanismelor comune de autentificare și autorizare.
• Să înțeleagă conceptul de criptare și modul în care se aplică în securizarea sistemelor informatice.
• Să demonstreze cum se testează eficiența mecanismelor comune de criptare.
• Să înțeleagă conceptul de firewall, de utilizare a zonelor de rețea și modul în care acestea sunt aplicate în securizarea sistemelor informatice.
• Să demonstreze cum se testează eficiența implementărilor firewall existente și a zonelor de rețea.
• Să înțeleagă conceptul de instrumente de detectare a intruziunilor și modul în care acestea sunt aplicate în securizarea sistemelor informatice.
• Să demonstreze cum se testează eficiența implementărilor instrumentelor de detectare a intruziunilor existente.
• Să înțeleagă conceptul de instrumente de scanare malware și modul în care acestea sunt aplicate în securizarea sistemelor informatice.
• Să demonstreze cum se testează eficiența implementărilor instrumentelor de scanare malware existente.
• Să înțeleagă conceptul de instrumente de ofuscare a datelor și modul în care acestea sunt aplicate în securizarea sistemelor informatice.
• Să demonstreze modul de testare a eficacității abordărilor privind ofuscarea datelor.
• Să înțeleagă conceptul de formare în domeniul securității ca activitate din ciclul de viață al software-ului și motivele pentru care este necesară în securizarea sistemelor informatice.
• Să explice modul în care comportamentul uman poate conduce la riscuri de securitate și cum acesta influențează eficacitatea testării securității.
• Pentru un scenariu dat, să demonstreze capacitatea de a identifica modalitățile prin care un atacator ar putea descoperi informații esențiale despre o țintă și să aplice măsuri de protecție a mediului.
• Să explice motivațiile și sursele comune pentru efectuarea de atacuri asupra sistemelor informatice (K4). Să analizeze un scenariu de atac (atac efectuat și descoperit) și să identifice posibilele surse și motivații ale atacului.
• Să explice modul în care apărarea securității poate fi compromisă prin inginerie socială.
• Să înțeleagă importanța conștientizării securității în întreaga organizație.
• Având în vedere anumite rezultate ale testelor, să aplice acțiuni adecvate pentru a crește gradul de conștientizare a securității.
• Să înțeleagă necesitatea de a revizui așteptările de securitate și criteriile de acceptare pe măsură ce domeniul de aplicare și obiectivele unui proiect evoluează.
• Să înțeleagă importanța păstrării confidențialității și a securității rezultatelor testelor de securitate.
• Să înțeleagă necesitatea de a crea controale adecvate și mecanisme de colectare a datelor pentru a furniza datele sursă pentru rapoartele privind statusul testelor de securitate în timp util, fără erori și precis (de exemplu, un panou de bord privind testele de securitate).
• Să analizeze un anumit raport intermediar privind statusul testelor de securitate pentru a determina nivelul de acuratețe, gradul de înțelegere și de oportunitate pentru părțile interesate.
• Să explice rolul instrumentelor de analiză statică și dinamică în testarea securității.
• Să analizeze și să documenteze necesitățile de testare a securității care urmează să fie acoperite de unul sau mai multe instrumente (K2). Să înțeleagă problemele legate de instrumentele open source.
• Să înțeleagă necesitatea de a evalua capacitățile furnizorului de a actualiza instrumentele în mod frecvent pentru a rămâne la curent cu amenințările la adresa securității.
• Să înțeleagă importanța păstrării confidențialității și a securității rezultatelor testelor de securitate.
• Să înțeleagă necesitatea de a crea controale adecvate și mecanisme de colectare a datelor pentru a furniza datele sursă pentru rapoartele privind statusul testelor de securitate în timp util, fără erori și precis (de exemplu, un panou de bord privind testele de securitate).
• Să analizeze un anumit raport intermediar privind statusul testelor de securitate pentru a determina nivelul de acuratețe, gradul de înțelegere și de oportunitate pentru părțile interesate.
• Să explice rolului instrumentelor de analiză statică și dinamică în testarea securității.
• Să analizeze și să documenteze necesitățile de testare a securității care urmează să fie acoperite de unul sau mai multe instrumente (K2). Să înțeleagă problemele legate de instrumentele open source.
• Să înțeleagă necesitatea de a evalua capacitățile furnizorului de a actualiza instrumentele în mod frecvent pentru a rămâne la curent cu amenințările la adresa securității.