2.3 組織の背景

セキュリティは、他の種類のテストと共に実行される機能テストの一種です。テストに利用できる時間は限られているため、テストマネージャはセキュリティテストを含め、実行できるテストの量を決定する必要があります。
セキュリティテストが専門家の役割と見なされることは珍しくありません。したがって、セキュリティテストを専門とする組織に外部委託されることもあります。
セキュリティテストの範囲は、最終的にはビジネスまたは組織のリスクといったセキュリティベースによって決まります。
組織内でセキュリティリスクが多い場合は、より広範なセキュリティテストが必要となります。

ソフトウェアテストと同様に、情報セキュリティはライフサイクル活動となっています。
セキュリティ上のニーズは、要件で定義され、設計で表現され、コードで実装される必要があります。
その後、セキュリティテストでセキュリティ実装の正確性と有効性を検証および検証します。
セキュリティを効果的にコードにパッチしたり、コードをテストしたりすることはできません。
安全なコーディングと設計技術を使用してセキュリティがソフトウェアに組み込まれている場合にのみ、ソフトウェアを安全にすることができるといえます。

また、限られた時間、リソース、範囲、リスクレベル、セキュリティテストのスキルセット、ライフサイクルアプローチが、組織内のセキュリティテストチームの成功に大きく影響する要因となります。

JSTQB AL セキュリティテスターの目次

2 セキュリティテストの目的、目標、および戦略