Vorlage

Verordnung «%ASFF_YYYY_ID»

a. Performed by the customer and witness based on sampling (P-Tests); sie wer- den vom Antragsteller durchgeführt; ein Teil der Tests wird stichprobenmäs- sig von der Zertifizierungsstelle beobachtet;

b. Performed and fully Witness (PW); sie werden durch Beobachtung validiert.

Erstüberprüfung / Überwachung Tests Überwachung geringfügige

wesentliche Änderung Änderung

Authentifizierungstests (Login, Sitzungen…) PW P

Autorisierungstests (Zugriffsrechte, unzuverlässige Ele- PW P

mente…)

Logtests (Benachrichtigungen, Alarme, Protokollierung) PW PW

Kommunikationsrobustheitstests (Integrität, Protokoll- PW PW

konformität)

Schnittstellentests (Dateninjektion, Fuzzing, Eingabevali- PW P

dierung)

Verfügbarkeitstests (Stresstests) PW P

Penetrationstests PW P

Tabelle 4:Testbeobachtungsstrategie

2.5.2 Prüfung der Testspezifikationen und Testwerkzeuge

Vor jeder Testbeobachtung müssen dem leitenden Auditor der Testplan, die Spezifi- kation und spezifische Informationen zu den Testwerkzeugen und Testprozessen des Antragstellers vorgelegt werden. Bewertet werden:

a. Testabdeckung;

b. Testeffektivität;

c. Qualität der Testdokumentation;

d. Angemessenheit der Testwerkzeuge;

e. Validierungsnachweise der Testwerkzeuge;

f. Kompetenz des Personals;

g. Unternehmensprozesse.

2.5.3 Während der Testbeobachtung

Der leitende Auditor muss:

a. die Testsitzung beobachten, den Ablauf so wenig wie möglich stören und alle Fragen oder Klärungen vor Beginn der Tests stellen;

b. überprüfen, ob die Tests gemäss den vereinbarten Verfahren, dem Testplan und den Testspezifikationen durchgeführt werden;