Es fundamental considerar los siguientes cinco aspectos clave, tal como se detallan en la unidad «2. Security Testing Purposes, Goals and Strategies» del programa de estudios ISTQB-CT-SEC:
(1) Propósito de las Pruebas de Seguridad
Comprender que el objetivo principal de las pruebas de seguridad es identificar y mitigar vulnerabilidades que puedan ser explotadas, garantizando la protección de los activos de información y el cumplimiento de las políticas de seguridad de la organización.
(2) Contexto Organizacional
Alinear las actividades de prueba de seguridad con las políticas y objetivos de seguridad de la organización, considerando factores como el sector, regulaciones aplicables y el perfil de riesgo.
(3) Objetivos de las Pruebas de Seguridad
Definir claramente los objetivos de las pruebas de seguridad, basándose en la funcionalidad, atributos tecnológicos y vulnerabilidades conocidas, para asegurar una evaluación efectiva y focalizada.
(4) Enfoques de Pruebas de Seguridad
Seleccionar enfoques de prueba adecuados, como pruebas basadas en políticas, riesgos, estándares, requisitos y vulnerabilidades, para abordar eficazmente las amenazas identificadas.
(5) Mejora de las Prácticas de Pruebas de Seguridad
Fomentar la mejora continua de las prácticas de prueba de seguridad mediante la capacitación, participación en comunidades como OWASP y actualización constante sobre tendencias y amenazas emergentes.
Al enfocarte en estos aspectos, podrás implementar pruebas de seguridad más efectivas y alineadas con los objetivos de tu proyecto y organización.
EJEMPLOS DE PROMPTS
El siguiente prompt refiere al item «Propósito de las Pruebas de Seguridad«. Si bien no tiene la estructura que debiera, puede ayudarte a orientarte.
«Actúa como un experto en pruebas de seguridad certificado bajo los estándares de ISTQB-CT-SEC. Proporciona orientación detallada a un tester ágil para identificar y mitigar vulnerabilidades en la [Historia de Usuario] con el [Objetivo y Criterios de Aceptación] definidos, asegurando la alineación con los propósitos y objetivos de las pruebas de seguridad según el programa ISTQB-CT-SEC. En tu respuesta, abarca lo siguiente:
- Propósito de las pruebas de seguridad: Explica cómo identificar y mitigar vulnerabilidades en la [Historia de Usuario] con el [Objetivo y Criterios de Aceptación] que puedan ser explotadas, asegurando la protección de los activos de información y el cumplimiento de las políticas de seguridad organizacionales expresadas en [DOCUMENTO de la organización].
- Áreas clave de evaluación: Describe cómo realizar pruebas en aspectos críticos como confidencialidad, integridad, autenticación, autorización, manejo de datos sensibles y resistencia ante ataques de denegación de servicio en relación con [Historia de Usuario].
- Priorización de riesgos: Proporciona un método basado en análisis de riesgos para clasificar vulnerabilidades según su severidad e impacto potencial en el negocio en relación con [Historia de Usuario].
- Recomendaciones para mitigación: Detalla controles de seguridad técnicos y organizativos que el tester puede recomendar para mitigar las vulnerabilidades encontradas.
- Estrategias para evaluar el cumplimiento: Explica cómo verificar que las soluciones implementadas cumplen con los estándares, regulaciones y requisitos organizacionales, expresadas en [DOCUMENTO de la organización].
- Herramientas y técnicas: Sugiere herramientas de análisis estático (SAST), análisis dinámico (DAST) y pruebas manuales relevantes para detectar y mitigar vulnerabilidades.
Proporciona ejemplos prácticos y pasos específicos que el tester ágil pueda seguir para documentar, comunicar y remediar eficazmente las vulnerabilidades, destacando cómo estos enfoques están alineados con las definiciones de ISTQB-CT-SEC.»
El siguiente prompt refiere al item «Objetivos en Pruebas de Seguridad«. Si bien no tiene la estructura que debiera, puede ayudarte a orientarte.
«Actúa como un experto en pruebas de seguridad alineado con los estándares de ISTQB-CT-SEC. Ayuda a un tester ágil a definir claramente los objetivos de las pruebas de seguridad en un proyecto, basándose en la funcionalidad del sistema, los atributos tecnológicos y las vulnerabilidades conocidas, con el fin de identificar y mitigar riesgos de manera efectiva y focalizada. Para cubrir los objetivos de las pruebas de seguridad remitirse a lo expresado en [Historia de Usuario] con el [Objetivo y Criterios de Aceptación]. En tu respuesta, incluye:
- Definición de objetivos claros: Explica cómo establecer objetivos de prueba específicos que se alineen con los requisitos de seguridad funcionales y no funcionales del sistema, como la protección de datos, la validación de acceso y la resistencia ante amenazas.
- Evaluación basada en atributos tecnológicos: Proporciona pasos detallados para analizar cómo las tecnologías utilizadas en el sistema (como APIs, servicios en la nube, bases de datos o entornos móviles) afectan las metas de las pruebas de seguridad.
- Análisis de vulnerabilidades conocidas: Describe cómo identificar y priorizar vulnerabilidades comunes y emergentes (como las listadas en OWASP Top Ten o en bases de datos como CVE) y su relación con los objetivos definidos.
- Estrategias para priorizar: Explica cómo enfocar las pruebas en áreas críticas del sistema según su impacto potencial en el negocio, como transacciones financieras, sistemas de autenticación o datos sensibles.
- Adaptación del alcance de las pruebas: Sugiere cómo adaptar los objetivos para cubrir diferentes entornos (desarrollo, pruebas, producción) y casos de uso relevantes.
- Herramientas y métricas: Recomienda herramientas y técnicas que permitan medir el éxito de los objetivos definidos, como la detección de vulnerabilidades críticas, la reducción de riesgos o el cumplimiento normativo.
Proporciona ejemplos prácticos de cómo un tester ágil puede implementar estos pasos, documentar los hallazgos y colaborar con los equipos de desarrollo para lograr una evaluación efectiva de seguridad. Asegúrate de que las estrategias estén alineadas con los estándares y principios del ISTQB-CT-SEC.»
El siguiente prompt refiere al item «Definir Objetivos en Pruebas de Seguridad«. Si bien no tiene la estructura que debiera, puede ayudarte a orientarte.
«Actúa como un experto en pruebas de seguridad alineado con los estándares de ISTQB-CT-SEC. Ayuda a un tester ágil a seleccionar y aplicar enfoques de pruebas de seguridad adecuados para identificar y mitigar vulnerabilidades en un sistema, asegurando que las amenazas sean abordadas eficazmente. Para cubrir el objetivo de seleccionar y aplicar enfoques de pruebas de seguridad, remitirse a lo expresado en [Historia de Usuario] con el [Objetivo y Criterios de Aceptación]. En tu respuesta, incluye:
- Definición de enfoques basados en políticas: Explica cómo diseñar pruebas que evalúen el cumplimiento de las políticas de seguridad de la organización, regulaciones legales y estándares de la industria (por ejemplo, GDPR, PCI DSS, ISO/IEC 27001).
- Pruebas basadas en riesgos: Proporciona una metodología para priorizar y enfocar las pruebas en las áreas más críticas del sistema, considerando la probabilidad de explotación y el impacto potencial de las amenazas.
- Pruebas basadas en estándares y mejores prácticas: Describe cómo usar guías reconocidas como OWASP Testing Guide, OWASP Top Ten y ASVS para estructurar y realizar pruebas alineadas con las mejores prácticas.
- Pruebas basadas en requisitos: Explica cómo derivar y validar casos de prueba a partir de los requisitos de seguridad funcionales y no funcionales, como autenticación, cifrado y manejo seguro de sesiones.
- Pruebas basadas en vulnerabilidades: Describe cómo identificar y evaluar vulnerabilidades conocidas utilizando herramientas automáticas (SAST, DAST) y pruebas manuales para validar la exposición del sistema.
- Combinación de enfoques: Proporciona una estrategia para integrar múltiples enfoques de manera coherente, maximizando la cobertura y eficacia de las pruebas de seguridad.
Incluye ejemplos prácticos de escenarios reales donde estos enfoques se aplican de manera efectiva y resalta las mejores prácticas para documentar hallazgos y colaborar con otros equipos en la remediación de vulnerabilidades. Asegúrate de que las recomendaciones estén alineadas con los principios y guías del ISTQB-CT-SEC.»
