Mitä se tarkastelee
Tunkeutumistestauksessa tarkistetaan, voidaanko tunnistettuja tai epäiltyjä heikkouksia käyttää pääsyyn tai vaikutukseen käytännössä. Testaajat toimivat sovituissa järjestelmissä, pääsytasoilla ja menetelmillä, todentavat havainnot turvallisesti ja kirjaavat todisteet sekä menetelmän. Raportti selittää teknisen yksityiskohdan ja liiketoiminnallisen merkityksen, jotta korjaustyö kohdistuu oikeisiin asioihin.
Kysymykset, joihin se auttaa vastaamaan
- Voiko heikkoutta käytännössä hyödyntää, ja millaisin edellytyksin?
- Mikä olisi vaikutus järjestelmiimme ja tietoihimme?
- Pysäyttävätkö kontrollimme ne hyökkäysreitit, joista olemme eniten huolissamme?
Milloin se on hyödyllinen
- Ennen arkaluonteisen sovelluksen käyttöönottoa tai merkittävän arkkitehtuurimuutoksen jälkeen.
- Haavoittuvuusarvioinnin tärkeimpien havaintojen todentaminen.
- Teknisen näytön antaminen, kun asiakkaat, tilintarkastajat tai viranomaiset pyytävät testaustuloksia.
Miten toimeksianto rajataan
- Sovi järjestelmät, pääsyt, testausikkuna ja sallitut menetelmät ennen testauksen alkua.
- Todenna havainnot näiden rajojen sisällä ja keskeytä, jos odottamaton vaikutus ilmenee.
- Selitä raportissa teknisen näytön ja liiketoiminnallisen merkityksen yhteys.
- Uusintatestaus sisältyy vain, jos se on sovittu.
Tyypilliset tuotokset
Nämä ovat tyypillisiä tuotoksia. Varsinainen laajuus ja tuotokset sovitaan jokaisessa toimeksiannossa erikseen.
- Yhteenveto laajuudesta ja menetelmästä.
- Todennetut havainnot ja niitä tukeva näyttö.
- Riskien priorisointi ja korjaussuositukset.
- Uusintatestauksen tulokset, jos uusintatestaus on sovittu.
Olennainen varmennuksen konteksti
Tekniset havainnot voivat ohjata riskien käsittelyä, tietoturvaparannuksia ja varmennusnäyttöä. Sopiva arviointi riippuu velvoitteistanne, ympäristöstänne ja tavoitteistanne.
Testaus tukee laajempaa varmennusohjelmaa. Se ei yksinään osoita vaatimustenmukaisuutta tai sertifiointia.