Sikkerhetstest

Sikkerhetstest, eller sikkerhetstesting, er en systematisk evaluering av et datasystem, en applikasjon eller en nettverksinfrastruktur for å identifisere sikkerhetsmangler og å vurdere risikoen for uautorisert tilgang, datalekkasje eller tjenestenekt. Målet er å gi beslutningsgrunnlag for å forbedre det tekniske og organisatoriske sikkerhetsnivået.

Tester kan deles inn i ulike typer. Teknisk sikkerhetstest omfatter penetrasjonstesting, sårbarhetsvurdering og kodegjennomgang av applikasjoner og infrastruktur. Organisatoriske tester fokuserer på etterlevelse av sikkerhetspolicyer, tilgangskontroll og hendelseshåndtering. Noen tilnærminger inkluderer også vurdering av fysisk sikkerhet og driftsprosesser.

Faser i en sikkerhetstest følger ofte en avtalt prosess: planlegging og omfang, informasjonsinnhenting, gjennomføring av tester i tråd med etiske retningslinjer og avtalt omfang, dokumentasjon av funn og bevis, samt rapportering og oppfølging. Etter testen gis ofte en risiko- og prioriteringsbasert rapport som beskriver identifiserte sårbarheter, tilhørende risiko, konsekvenser og forslag til tiltak. Vanlige rammeverk og referanser inkluderer OWASP Testing Guide for webapplikasjoner, NIST SP 800-115 og PTES. Sikkerhetstesting bør gjennomføres med samtykke fra eier og kontraktfestede rammer for hva som er tillatt å gjøre, og hvordan funn skal håndteres. Resultatet brukes til å redusere risiko, styrke beredskap og støtte etterlevelse av relevante lover og standarder.