Progetto

Ordinanza «%ASFF_YYYY_ID»

Tabella 3: Verifica dei processi

2.5 Test – Livello 2

L’organismo di certificazione può scegliere tre approcci diversi:

- esecuzione di propri test;

- utilizzo di un rapporto su test esterni;

- osservazione di test.

L’ultimo approccio può essere combinato con il secondo se non può essere garantita la reputazione del fornitore di test esterno.

2.5.1 Osservazione di test

In assenza di chiari requisiti per i test negli standard disponibili, deve essere utilizzato l’approccio definito in questo schema, che copre le funzioni di sicurezza tecniche. I test effettuati nei centri di prova del richiedente devono essere osservati secondo lo stato sotto descritto. Per questi test possono essere considerati i risultati della verifica degli artefatti di sicurezza pertinenti.

È possibile effettuare i seguenti test:

a. Performed by the customer and witness based on sampling (test P); sono ef- fettuati dal richiedente; una parte è osservata a campione dall’organismo di certificazione;

b. Performed and fully Witness (PW); sono validati mediante osservazione.

Prima verifica /

Test Monitoraggio diMonitoraggio di

modifica sostan-modifica minore ziale

Test di autenticazione (login, sessioni…) PW R

Test di autorizzazione (diritti di accesso, elementi non affi-PW R

dabili…)

Test di log (avvisi, reminder, protocolli) PW PW

Test di robustezza della comunicazione (integrità, confor-PW PW

mità protocolli)

Test di interfacce (iniezione di dati, fuzzing, validazione diPW R

inserimenti)

Test di disponibilità (stress test) PW R

Test di penetrazione PW R

Tabella 4: Strategia di osservazione di test