Sikkerhetstesting

Sikkerhetstesting er en systematisk vurdering av informasjonssystemer og -tjenester med sikte på å identifisere sikkerhetssårbarheter og verifisere at sikkerhetskontroller fungerer som tiltenkt.

Arbeidet omfatter ulike aktiviteter som sårbarhetsvurdering, penetrasjonstesting (pentest), sikkerhetsrevisjon og risikovurdering, samt vurdering av overholdelse av relevante standarder og regelverk. Testing kan være automatisert, manuell eller en kombinasjon, og kan være passiv eller aktiv.

Typiske områder er applikasjonssikkerhet, nettverksinfrastruktur, skybaserte miljøer, mobil- og innebygde systemer samt API-sikkerhet. Vanlige metoder inkluderer SAST (statisk testing av kode), DAST (dynamisk testing av kjørende applikasjoner), IAST, software composition analysis og manuelle penetrasjonstester.

Prosessen inkluderer ofte avgrensing og samtykke fra eiere, trusselmodellering, gjennomføring av tester, innsamling av bevis og rapportering, oppfølging og retesting. Resultatet er en risiko-basert prioritering og en handlingsplan for remediering.

Målsettingen er å redusere risiko og forbedre organisasjonens sikkerhetstilstand gjennom forbedret utvikling, drift og sårbarhetshåndtering. Sikkerhetstesting knytter seg til anerkjente standarder som OWASP Testing Guide og NIST SP 800-115, samt etterlevelse av ISO/IEC 27001.