ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
тестирование криптографических алгоритмов и механизмов хэширования;
тестирование механизмов менеджмента идентификаторов пользователей и привилегий;
тестирование механизмов авторизации;
проверка каскадной устойчивости мер безопасности.
П р и м е ч а н и е - К тестированию атрибуты не применяются.
7.4.2 Виды тестирования
7.4.2.1 Тестирование слепым методом
Аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью, тестирует объект проверки без каких-либо предварительных знаний его дополнительных
характеристик, помимо общедоступных. Объект проверки подготавливается к проверке лицом, забла
говременно знающим все детали проверки. Слепая проверка в основном осуществляется на основе
навыков аудитора, проводящего проверку мер и средств контроля и управления информационной
безопасностью. Объем и глубина слепой проверки могут быть настолько обширными, насколько по
зволяют знания и работоспособность аудитора, проводящего проверку мер и средств контроля и
управления информационной безопасностью. Таким образом, это тестирование имеет ограниченное
применение при проверках безопасности и его следует избегать. Его обычно называют «этичным ха
керством».
7.4.2.2 Тестирование двойным слепым методом
Аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью. тестирует объект проверки без каких-либо предварительных знаний его дополнительных
характеристик, помимо общедоступных. Аудитор заранее не сообщает об области проверки или ис
пользуемых тестах. При двойной слепой проверке тестируется подготовленность объекта проверки к
неизвестным параметрам рассмотрения.
7.4.2.3 Тестирование методом серого ящика
Аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью, тестирует объект проверки, располагая ограниченным знанием о его защите и активах, но
полным знанием о доступных тестах. Объект проверки подготавливается к проверке лицом, заблаго
временно знающим все детали проверки. Проверка методом серого ящика осуществляется на основе
навыков аудитора, проводящего проверку мер и средств контроля и управления информационной
безопасностью. Основным свойством этого тестирования является результативность. Объем и глу
бина зависят от качества информации, предоставленной аудитору, проводящему проверку мер и
средств контроля и управления информационной безопасностью, перед тестированием, а также от
надлежащих знаний аудитора, проводящего проверку мер и средств контроля и управления инфор
мационной безопасностью. Таким образом, это тестирование имеет ограниченное применение при
проверках безопасности и его следует избегать. Этот вид тестирования часто называется «тестиро
ванием уязвимостей», и оно чаще всего инициируется объектом в качестве действия по самооценке.
7.4.2.4 Тестирование методом двойного серого ящика
Аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью, тестирует объект проверки, располагая ограниченным знанием о его защите и активах, но
полным знанием о доступных тестах. Аудитор заранее сообщает об области и сроках проверки, но не о
тестах. Проверка методом двойного серого ящика тестирует подготовленность объекта к неизвест ным
параметрам рассмотрения. Объем и глубина зависят от качества информации, предоставленной
аудитору, проводящему проверку мер и средств контроля и управления информационной безопасно
стью, и объекту проверки перед тестированием, а также от применяемых знаний аудитора, проводя
щего проверку мер и средств контроля и управления информационной безопасностью.
7.4.2.5 Тестирование тандемным методом
Аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью. и объект проверки подготавливаются к проверке, для обоих заранее известны все детали
проверки. При тандемном методе тестируется защита и меры и средства контроля и управления объ
екта. Однако при его использовании не может осуществляться тестирование подготовленности объ
екта к неизвестным параметрам рассмотрения. Основным свойством данного тестирования является
доскональность, поскольку аудитор, проводящий проверку мер и средств контроля и управления ин
формационной безопасностью, имеет полное представление обо всех тестах и ответных действиях.
Объем и глубина зависят от качества информации, предоставленной аудитору, проводящему провер ку
мер и средств контроля и управления информационной безопасностью, перед тестированием, а также
от надлежащих знаний аудитора, проводящего проверку мер и средств контроля и управления
информационной безопасностью. Это тестирование часто называют «внутренней проверкой», и ауди-
10