TALIS III etapi esmane turvatestimine

Testmistaotluse nr.: TT_56 Algatamise kuupäev: 01.09.2020 Seotud muudatusettepanekud: Projekti number: Tähtsus: Oluline Algataja nimi: Bret Rand Tähtaeg: 16.04.2021 Ametikoht/roll: Testimise juht Organisatsioon: Tervise ja Heaolu Infosüsteemide Keskus Sisukord TOC \z \o "1-3" \u \h 1 Projekti sisu PAGEREF _Toc34133859 \h 2 1.1 Testitava teenuse kirjeldus PAGEREF _Toc34133860 \h 2 1.1 Projekti mõjud teistele projektidele/muudatustele PAGEREF _Toc34133861 \h 2 1.2 Projekti- ja tooteriskid PAGEREF _Toc34133862 \h 2 2 Testimise kirjeldus PAGEREF _Toc34133863 \h 2 2.1 Testimise eesmärk ja ulatus PAGEREF _Toc34133864 \h 2 2.2 Testimise edukriteerium PAGEREF _Toc34133865 \h 3 2.3 Testimise osapooled ja osamäär PAGEREF _Toc34133866 \h 3 3 Testimistööde teostamine PAGEREF _Toc34133867 \h 3 3.1 Testkeskkonna andmed PAGEREF _Toc34133868 \h 3 3.2 Testimise ajakava PAGEREF _Toc34133869 \h 3 3.3 Testimisel osalejad PAGEREF _Toc34133870 \h 4 3.4 Testimise töömaht ja maksumus (pakkumus) PAGEREF _Toc34133871 \h 4 Projekti sisu Testitava teenuse kirjeldus Arendatud funktsionaalsuse kasutuslugudega saab tutvuda siin https://trello.com/b/Y6WThskv/talis-iii-etapi-ettevalmistus . Vaadata kasutuslugusid, kus on label (võib ka olla muid labeleid): 582930 60960 3 etapp - Kui kasutusloos on maha kriipsutatud tingimused, siis see tähendab, et need funktsionaalsused on tehtud 2-etappis. TALISe kohta info on leitav RIHAs https://www.riha.ee ja otsige talis . Projekti mõjud teistele projektidele/muudatustele Projekt/Muudatus Sõltuvuse iseloom (ressurss/tulemid/ajakava) Märkused Projekti- ja tooteriskid Projekti tooteriskid on sellised riskid, mida saab maandada testimisega. Risk, riski tüüp (toote/projekti), esinemise tõenäosus, mõju, maandamise strateegia. Risk Riski tüüp (toote/projekt) Riski esinemise tõenäosus Mõju Maandamise strateegia TALIS3’e rakenduste kaudu võivad lekkida privaatsed andmed või rikutakse andmete terviklikkust. toote keskmine suur Turvatestimisel leitud vead parandatakse. Testimise kirjeldus Testimise eesmärk ja ulatus Punkti REF _Ref34043783 \r \h 1 kirjeldatud rakendusele mõeldud funktsionaalsuse turvatestimine viiakse läbi vastavalt järgmistele tingimustele. Metoodilise testimise käigus tuleb hinnata kõiki potentsiaalseid turvavigu ning need testraportis detailselt välja tuua koos võimalike lahenduste soovitustega. Kontrollitakse, et testitava rakenduse võimalike haavatavuste kaudu ei oleks võimalik juurde pääseda andmetele, mis asuvad väljaspool testitava rakenduse funktsionaalsust. Turvatestimine peab olema tehtud OWASP ASVS level 2 testimise metoodika alusel. Testimise lõppedes esitletakse tulemusi tellijale ja tellija poolt kaasatud arendajale. Turvatestimine on jaotatud esmaseks- ja lõplikuks testimiseks. Esmane testimise alustamise planeeriks hinnanguliselt september 2020 ja kestvusega nädal. Lõpliku testimise alustamise planeeriks hinnanguliselt aprill 2021. Testimise edukriteerium Testitavad objektid Edukriteeriumid/Meetrika Rakendus koos kasutajaliidesega Rakenduse veebiliidestes ei ole üldtuntud turvaauke, mis võimaldaksid välisel ründajal rakendusse sisse murda ja teha selles mingeid äriloogika vastaseid tegevusi. Testimise osapooled ja osamäär Lihtsamatel juhtudel paari inimese nimed, kes osalevad testimises ja/või peavad tulemid kooskõlastama või vastu võtma. Keerulisematel juhtudel RACI maatriks. Kui testide läbiviimise eelduseks on koostöö TEHIKst väljapoole jäävate osapooltega, siis tuleb ka nende osalus ära märkida. R – vastutav teostaja/juht A – vastutav vastuvõtja/tellija/omanik C – kohustusliku tagasiside allikas/kinnita/kooskõlastaja I – vabatahtliku tagasiside allikas/teavitatav <tühi> - ei osale Nimi/Teema Turvatesti läbi viimine, raporti koostamine Clarified Security OÜ R Tõnis Komp C Bret Rand C Kristel Metsvahi A Testimistööde teostamine Testkeskkonna andmed TALIS3 asub TEHIKu testkeskkonnas. TALIS3 – https://talis2.test.tehik.ee/ . Andmebaas. Rakendusserver (kus asub logi) – tal-app-1y.tst.tehik.ee. Lähtekood. Ligipääsude haldamine käib vastavalt kehtivale ligipääsude haldamise korrale. NB! TALIS3 turvatestimise keskkonna IP on 10.0.81.61. Testimise ajakava Tarne Tähtaeg Koosseis Esmane testimine (selektiivselt, kuni 30% kogumahust) 2 ... 3 töönädalat, september 2020 vt. 3.3 Lõplik testimine 3 ... 4 töönädalat, aprill 2021 vt. 3.3 Testimisel osalejad Organisatsioon Koosseis Roll Clarified Security OÜ Mehis Hakkaja Turvatestimise meeskonna ja projekti juht, raportite üle vaataja Clarified Security OÜ Anti Räis, Silvia Väli, Elar Lang, Andres Liiver, Marko Belzetski Turvatestija vastutavas rollis (vähemalt 1 vastutav turvatestija, kes omab OSWE/GWAPT/CWAPT sertifikaati) ja vastavas rollis testimise kogemust Clarified Security OÜ Mihkel Raba, Liis Jaks, Rasmus Moorats Turvatestija (kaasatakse vastavalt vajadusele ja sobilikkusele) TEHIK Bret Rand Tehniline tugi TEHIK Kristel Metsvahi Projektijuht TEHIK Tõnis Komp Turvanõuded Testimise töömaht ja maksumus (pakkumus) Ammendav ülevaade testimisega kaasnevatest kuludest. Moodul/tegevus Töömaht, ühik (h) Töö maksumus km-ta (EUR) Töö maksumus km-ga (EUR) Esmane testimine (selektiivselt, kuni 30% kogumahust) 45 5 175 6 210 Lõplik testimine (sh vajadusel olulisemate paranduste ületest) 105 12 075 14 490 Kokku (ASVS Tase 2): 150 17 250 20 700