Verwenden Sie präzise Begriffe, um präzise Leistungen zu beauftragen
Ein Angebot sollte erläutern, was seine Testbedingungen in der Praxis bedeuten. Nutzen Sie dieses Glossar, um bei Gesprächen über Banking-Apps, Zahlungs-APIs und privilegierte Zugriffe zwischen Zugang, Autorisierung und beobachteter Auswirkung zu unterscheiden. Bitten Sie den Anbieter, allgemeine Begriffe in konkrete Ziele und messbare Abnahmekriterien zu überführen.
Umfang
Die für die Bewertung genehmigten Systeme, Identitäten, Arbeitsabläufe und Methoden, einschließlich ausdrücklicher Ausschlüsse und Abhängigkeiten.
Regeln für die Durchführung
Die Betriebsbedingungen, Berechtigungen, Eskalationskontakte und Abbruchkriterien, die die Testdurchführung regeln.
Canary-Objekt
Ein bewusst synthetischer Datensatz, ein Konto oder eine Transaktion, mit dem bzw. der ein Ergebnis belegt wird, ohne auf echte sensible Daten zurückzugreifen.
Segmentierung
Kontrollen, die den Zugriff auf Netzwerke oder Dienste voneinander trennen. Ein Test untersucht festgelegte Pfade und Berechtigungen, statt davon auszugehen, dass ein Diagramm die tatsächliche Durchsetzung abbildet.
Workload-Identität
Ein Rechner- oder Dienstprinzipal, der von Anwendungen, Integrationen oder Bereitstellungssystemen verwendet wird. Seine Berechtigungen und die Gültigkeitsdauer seiner Zugangsdaten beeinflussen den erreichbaren Angriffsweg.
Unterstütztes Szenario
Ein Szenario, bei dem ein genehmigtes bereitgestelltes Konto oder eine vorgegebene Ausgangsposition verwendet wird. Die Unterstützung wird dokumentiert, damit das Ergebnis nicht mit einem Zugang ohne Unterstützung verwechselt wird.
Nachweise
Die Beobachtungen und Aufzeichnungen, die einen Befund stützen, einschließlich Zeitstempeln, Kontext und Integritätssicherungen. Synthetische Beispieldaten müssen als solche gekennzeichnet bleiben.
Nachtest
Eine nachgelagerte Validierung konkreter Maßnahmen zur Behebung anhand vereinbarter Abnahmekriterien. Ein geplantes Verfahren ist kein abgeschlossenes Ergebnis.
Verbleibendes Risiko
Verbleibende Risiken nach Behebungen, Ausschlüssen oder vorläufigen Kontrollen, für die eine ausdrückliche Zuständigkeit und Entscheidung erforderlich sind.
