ISTQB CT-SEC

Açıklama

ISTQB® CT - Security Tester sertifikası, ISTQB® Foundation sertifikasına sahip olan ve Security Tester olmak için yazılım testi konusunda daha derin bilgi edinmek isteyen yazılım profesyonellerine yöneliktir.

Security Tester yeterliliği, yazılım testi kariyerinde ileri bir seviyeye ulaşmış ve güvenlik testi alanındaki uzmanlığını daha da geliştirmek isteyen kişiler için tasarlanmıştır.

Bölüm 1: Security Testing'in Temelleri

Bölüm 2: Security Testing Amaçları, Hedefleri ve Stratejileri

Bölüm 3: Security Testing Süreçleri

Bölüm 4: Yazılım Yaşam Döngüsü Boyunca Security Testing

Bölüm 5: Güvenlik Mekanizmalarının Test Edilmesi

Bölüm 6: Security Testing'de İnsan Faktörleri

Bölüm 7: Security Test Değerlendirmesi ve Raporlama

Bölüm 8: Security Testing Araçları

Bölüm 9: Standartlar ve Sektör Trendleri

İş Sonuçları

Bu seviyeyi başarıyla tamamlayan adaylar:

• Risk değerlendirmesinin security test planlama ve tasarımına nasıl bilgi sağladığını ve security testing'in iş ihtiyaçlarıyla nasıl uyumlu hale getirildiğini anlayabilir.
• Korunması gereken önemli varlıkları, her varlığın değerini ve her varlık için gerekli güvenlik seviyesini değerlendirmek için gereken verileri belirleyebilir.
• Mevcut ve gelecekteki güvenlik tehditlerini belirlemek için risk değerlendirme tekniklerinin belirli bir durumda ne kadar etkili kullanıldığını analiz edebilir.
• Güvenlik politika ve prosedürlerinin ne olduğunu ve bilgi sistemlerinde nasıl uygulandığını anlayabilir.
• Belirli güvenlik politika ve prosedürlerini security test sonuçlarıyla birlikte analiz ederek bunların etkinliğini değerlendirebilir.
• Güvenlik denetiminin amacını anlayabilir.
• Risklerin azaltılması, güvenin artırılması gibi faydalar dahil olmak üzere bir kuruluşta security testing'in neden gerekli olduğunu anlayabilir.
• Proje gerçeklerinin, iş kısıtlamalarının, yazılım geliştirme yaşam döngüsünün ve diğer faktörlerin security testing ekibinin görevlerini nasıl etkilediğini anlayabilir.
• Security testing hedeflerinin neden kuruluşun güvenlik politikası ve diğer test hedefleriyle uyumlu olması gerektiğini açıklayabilir.
• Belirli bir proje senaryosunda işlevsellik, teknoloji özellikleri ve bilinen güvenlik açıklarına göre security test hedeflerini belirleyebilir.
• Information assurance ile security testing arasındaki ilişkiyi anlayabilir.
• Belirli bir projede security test hedefleri ile hassas dijital ve fiziksel varlıkların bütünlüğünü koruma ihtiyacı arasındaki ilişkiyi tanımlayabilir.
• Belirli bir durumu analiz ederek hangi security testing yaklaşımlarının başarılı olma ihtimalinin daha yüksek olduğunu belirleyebilir.
• Bir security testing yaklaşımının başarısız olduğu durumu analiz ederek olası nedenleri belirleyebilir.
• Belirli bir senaryoda farklı paydaşları belirleyebilir ve security testing'in her paydaş grubu için faydalarını açıklayabilir.
• KPI'ları (Key Performance Indicators) analiz ederek iyileştirilmesi gereken ve gerekmeyen security testing uygulamalarını belirleyebilir.
• Belirli bir proje için etkili bir security test sürecinin temel unsurlarını tanımlayabilir.
• Belirli bir security test planını analiz ederek güçlü ve zayıf yönleri hakkında geri bildirim verebilir.
• Belirli bir projede, verilen security test yaklaşımına ve belirlenen fonksiyonel ve yapısal güvenlik risklerine göre kavramsal (soyut) security test'ler uygulayabilir.
• Güvenlik politika ve prosedürlerini doğrulamak için test case'leri uygulayabilir.
• Etkili bir security test ortamının temel unsurlarını ve özelliklerini anlayabilir.
• Herhangi bir security test gerçekleştirmeden önce planlama yapmanın ve gerekli onayları almanın önemini anlayabilir.
• Security test sonuçlarını analiz ederek aşağıdakileri belirleyebilir:
  • Güvenlik açığının türü
  • Güvenlik açığının kapsamı
  • Güvenlik açığının olası etkisi
  • Önerilen düzeltme
• Teknoloji ve tehditlerin sürekli değişmesi nedeniyle security testing süreçlerinin güncel tutulmasının önemini anlayabilir.
• Güvenliğin neden en iyi şekilde bir yaşam döngüsü süreci içinde sağlandığını açıklayabilir.
• Belirli bir yazılım yaşam döngüsü için uygun güvenlikle ilgili faaliyetleri uygulayabilir (ör. iterative, sequential).
• Belirli bir gereksinim setini güvenlik açısından analiz ederek eksikleri belirleyebilir.
• Belirli bir tasarım dokümanını güvenlik açısından analiz ederek eksikleri belirleyebilir.
• Component testing sırasında security testing'in rolünü anlayabilir.
• Tanımlanmış bir kodlama spesifikasyonuna göre component-level security test'ler (soyut) uygulayabilir.
• Belirli bir component-level test'in sonuçlarını analiz ederek kodun güvenlik açısından yeterliliğini değerlendirebilir.
• Component integration testing sırasında security testing'in rolünü anlayabilir.
• Tanımlanmış bir sistem spesifikasyonuna göre component integration security test'ler (soyut) uygulayabilir.
• Bir veya daha fazla güvenlik gereksinimini doğrulayan ve tanımlanmış bir fonksiyonel süreci test eden end-to-end security test senaryosu oluşturabilir.
• Belirli bir acceptance test'in güvenlik yönleri için kabul kriterleri tanımlayabilir.
• Belirli bir senaryoya göre end-to-end security retest/regression test yaklaşımı uygulayabilir.
• System hardening kavramını ve güvenliği artırmadaki rolünü anlayabilir.
• Yaygın system hardening mekanizmalarının etkinliğini nasıl test edeceğini gösterebilir.
• Authentication ve authorization arasındaki ilişkiyi ve bilgi sistemlerinin güvenliğinde nasıl kullanıldıklarını anlayabilir.
• Yaygın authentication ve authorization mekanizmalarının etkinliğini nasıl test edeceğini gösterebilir.
• Encryption kavramını ve bilgi sistemlerini güvence altına almak için nasıl kullanıldığını anlayabilir.
• Yaygın encryption mekanizmalarının etkinliğini nasıl test edeceğini gösterebilir.
• Firewall kavramını, network zone kullanımını ve bunların bilgi sistemlerinde nasıl uygulandığını anlayabilir.
• Mevcut firewall uygulamalarının ve network zone'ların etkinliğini nasıl test edeceğini gösterebilir.
• Intrusion detection araçlarının ne olduğunu ve bilgi sistemlerinin güvenliğinde nasıl kullanıldıklarını anlayabilir.
• Mevcut intrusion detection araçlarının etkinliğini nasıl test edeceğini gösterebilir.
• Malware scanning araçlarının ne olduğunu ve bilgi sistemlerinin güvenliğinde nasıl kullanıldıklarını anlayabilir.
• Mevcut malware scanning araçlarının etkinliğini nasıl test edeceğini gösterebilir.
• Data obfuscation araçlarının ne olduğunu ve bilgi sistemlerinin güvenliğinde nasıl kullanıldıklarını anlayabilir.
• Data obfuscation yaklaşımlarının etkinliğini nasıl test edeceğini gösterebilir.
• Security training'in bir yazılım yaşam döngüsü faaliyeti olarak ne anlama geldiğini ve bilgi sistemlerinin güvenliğinde neden gerekli olduğunu anlayabilir.
• Security training'in etkinliğini nasıl test edeceğini gösterebilir.
• İnsan davranışının nasıl güvenlik risklerine yol açabileceğini ve bunun security testing'in etkinliğini nasıl etkilediğini açıklayabilir.
• Belirli bir senaryoda saldırganın hedef hakkında önemli bilgileri nasıl elde edebileceğini belirleyebilir ve ortamı korumak için uygun önlemleri uygulayabilir.
• Bilgisayar sistemlerine yapılan saldırıların yaygın motivasyonlarını ve kaynaklarını açıklayabilir.
• Bir saldırı senaryosunu analiz ederek saldırının olası kaynağını ve motivasyonunu belirleyebilir.
• Social engineering yoluyla güvenlik savunmalarının nasıl aşılabileceğini açıklayabilir.
• Kuruluş genelinde security awareness'ın önemini anlayabilir.
• Belirli test sonuçlarına göre security awareness'ı artırmak için uygun önlemleri uygulayabilir.
• Projenin kapsamı ve hedefleri değiştikçe güvenlik beklentilerinin ve kabul kriterlerinin güncellenmesi gerektiğini anlayabilir.
• Security test sonuçlarının gizli ve güvenli tutulmasının önemini anlayabilir.
• Security test durum raporları için zamanında, doğru ve hassas veri sağlayacak uygun kontrollerin ve veri toplama mekanizmalarının oluşturulması gerektiğini anlayabilir (ör. security test dashboard).
• Belirli bir ara security test durum raporunu analiz ederek doğruluk, anlaşılabilirlik ve paydaşlara uygunluk seviyesini değerlendirebilir.
• Static ve dynamic analysis araçlarının security testing'deki rolünü açıklayabilir.
• Bir veya daha fazla araçla karşılanması gereken security testing ihtiyaçlarını analiz edebilir ve dokümante edebilir.
• Open-source araçlarla ilgili sorunları anlayabilir.
• Güvenlik tehditlerine karşı güncel kalabilmek için araç sağlayıcısının araçları sık güncelleme kapasitesini değerlendirmenin önemini anlayabilir.