tietoturvatestaus

Tietoturvatestaus on järjestelmän, verkon tai sovelluksen turvallisuuden systemaattinen arviointi. Sen tavoitteena on löytää turvallisuusloukkia, arvioida riskejä ja tukea korjaustoimenpiteitä ennen mahdollisia oikeita hyökkäyksiä. Testaus kattaa tekniset järjestelmät, liiketoimintaprosessit sekä henkilöstöön liittyvät riskit. Usein testaus suoritetaan riippumattomien testauspalvelujen tarjoajien toimesta tai organisaation omien tietoturvatiimien toimesta, ja tulokset raportoidaan sidosryhmille.

Päävaihtoehtoja ovat haavoittuvuustestaus, jossa kartoitetaan tunnettuja ja piileviä heikkouksia, sekä penetraatiotestaus, jossa varmennetaan, voivatko haavoittuvuudet johtaa onnistuneeseen hyökkäykseen. Muita muotoja ovat turvallisuusauditointi eli prosessi, jossa tarkastetaan politiikat, suositukset ja noudatettavat standardit, sekä red-team/blue-team-harjoitukset, joissa simuloidaan todellista hyökkäystilannetta ja puolustusta.

Prosessi etenee tyypillisesti laajuuden määrittämisestä, tiedonkeruusta ja haavoittuvuuksien kartoituksesta, kontrolloidusta hyväksikäytöstä, raportoinnista sekä korjaustoimenpiteiden seurannasta. Keskeistä on oikeudellinen ja eettinen hallinta: selkeä laajuus (scope), luvallinen hyväksyntä, sopimus ja ohjeet toimintaan sekä suojattujen tietojen käsittely.

Viitekehyksiä ja standardeja ovat esimerkiksi ISO/IEC 27001 ja 27002, NIST SP 800-115 sekä OWASP Testing Guide. Kansainväliset ja paikalliset lait sekä GDPR vaikuttavat testausten suunnitteluun ja raportointiin. Hyvä käytäntö on dokumentoida löydökset, riskien priorisointi sekä korjaustoimenpiteet, sekä suorittaa retestaus varmistaen, että haavoittuvuudet on korjattu.