Turvallisuustestaus

Turvallisuustestaus on järjestelmien, sovellusten ja verkojen turvaominaisuuksien systemaattista arviointia. Sen tavoitteena on löytää haavoittuvuuksia, arvioida niiden aiheuttamia riskejä ja varmistaa, että suojausmekanismit toimivat odotetulla tavalla sekä että järjestelmä noudattaa olennaisia turvallisuusvaatimuksia.

Eri lähestymistavat ovat haavoittuvuustestaus, penetraatiotestaus sekä turvallisuuskatsaus. Testauksessa yhdistellään usein sekä automaattisia välineitä että manuaalisia menetelmiä. Käytännössä voidaan toteuttaa mustalaatikko-, valkolaatikko- ja harmaalaatikko -menetelmiä sekä ulkoisia että sisäisiä testejä.

Prosessi järjestetään yleensä siten, että määritellään laajuus, säännöt ja aikataulu (engagement). Tähän kuuluu kirjallinen lupa, tietojen luottamuksellisuus ja turvallisuusrajat. Suoritetaan itse testaus, dokumentoidaan löydöt ja arvioidaan niiden riski sekä vaikutus. Lopuksi laaditaan korjaussuositukset ja suoritetaan tarvittaessa uudelleentestauksia.

Tekniikat ja työkalut voivat sisältää staattista ja dynaamista koodianalyysiä, automaattisia haavoittuvuusskannereita, fuzzing-tekniikoita sekä manuaalisia hyödyntämisharjoituksia ja sovelluksen käyttäytymisen tarkkailua.

Turvallisuustestaus tapahtuu aina luvanvaraisena ja eettisesti, noudattaen voimassa olevaa lainsäädäntöä ja sopimuksia. Tietojen käsittely, raportointi ja luottamuksellisuus ovat keskeisiä.

Tuloksena syntyy ymmärrys järjestelmän nykyisestä turvallisuustilasta, prioriteetit korjaustoimille ja toimenpideohjeet. Turvallisuustestaus tukee riskienhallintaa ja vaatimustenmukaisuutta muun muassa OWASP- ja ISO/IEC 27001 -viitekehyksissä.