2.6.2 セキュリティテストアプローチにおける失敗の分析

セキュリティテストでは、ある程度の失敗があることを理解しておく必要があります。
セキュリティの脆弱性が検出され解決されないからといって、必ずしもセキュリティテストのアプローチが失敗したわけではないこともあります。
潜在的なセキュリティ上の脆弱性は多く、新しい脆弱性が毎日発見されているため、セキュリティリスクを効果的に特定するにはセキュリティテスト手法だけでは不十分であり、機密データやその他のデジタル資産が危険にさらされている場合があります。

根本原因分析は、セキュリティテストアプローチが失敗した原因を特定するのに役立ちます。考えられる原因は次のとおりです。

* セキュリティテストを確立する上での経営幹部のリーダーシップの欠如
* セキュリティテスト戦略を実施するために必要なリソースの欠如（資金の不足、* 時間の不足、リソースの不足など）
* セキュリティテストアプローチの効果的な実装の欠如（必要なタスクを実行するために必要なスキルの欠如など）
* セキュリティテストアプローチに対する組織の理解とサポートの欠如
* セキュリティテストアプローチに対するステークホルダの理解とサポートの欠如
* セキュリティリスクの理解不足
* テストアプローチと組織のセキュリティポリシーの整合性の欠如
* テストアプローチと組織のセキュリティテストポリシーおよびセキュリティテスト戦略の間の整合性の欠如
* システムの目的に対する理解不足
* システムに関する技術情報の欠如（誤った仮定の原因となる）
* セキュリティテストのための効果的なツールの欠如
* セキュリティテストのスキル不足

JSTQB AL セキュリティテスターの目次

2 セキュリティテストの目的、目標、および戦略