Inspections et revues manuelles
Description des inspections et revues manuelles en tant que technique de test de sécurité, y compris leurs avantages et inconvénients.
Aperçu
Les inspections manuelles sont des revues humaines qui testent généralement les implications en matière de sécurité des personnes, des politiques et des processus. Les inspections manuelles peuvent également inclure l'inspection des décisions technologiques telles que les conceptions architecturales. Elles sont généralement menées en analysant la documentation ou en réalisant des entretiens avec les concepteurs ou les propriétaires du système.
Bien que le concept d'inspections manuelles et de revues humaines soit simple, elles peuvent être parmi les techniques les plus puissantes et les plus efficaces disponibles. En demandant à quelqu'un comment quelque chose fonctionne et pourquoi il a été mis en oeuvre d'une manière spécifique, le testeur peut rapidement déterminer si des problèmes de sécurité sont susceptibles d'être évidents. Les inspections et revues manuelles sont l'un des rares moyens de tester le processus du cycle de vie du développement logiciel lui-même et de s'assurer qu'il existe une politique ou un ensemble de compétences adéquats en place.
Comme pour beaucoup de choses dans la vie, lors de la réalisation d'inspections et de revues manuelles, il est recommandé d'adopter un modèle de confiance mais de vérification. Tout ce que le testeur voit ou entend ne sera pas exact. Les revues manuelles sont particulièrement utiles pour vérifier si les gens comprennent le processus de sécurité, ont été informés de la politique et ont les compétences appropriées pour concevoir ou mettre en oeuvre des applications sécurisées.
D'autres activités, notamment l'examen manuel de la documentation, des politiques de codage sécurisé, des exigences de sécurité et des conceptions architecturales, doivent toutes être réalisées à l'aide d'inspections manuelles.
Avantages
- Ne nécessite aucune technologie de support
- Peut être appliqué à une variété de situations
- Flexible
- Favorise le travail d'équipe
- Tôt dans le SDLC
Inconvénients
- Peut prendre du temps
- Le matériel de support n'est pas toujours disponible
- Nécessite une réflexion et des compétences humaines importantes pour être efficace