Beheersmaatregeltests

Hoe testen werkt

Een beheersmaatregeltest is een uitvoering van de testprocedure van een beheersmaatregel. De tester volgt de gedocumenteerde stappen, legt bevindingen vast en dient een resultaat in. Elke test ontvangt een sequentieel testnummer (TST-0001, TST-0002, enzovoort).

Teststatussen en planning

Een test bevindt zich in een van drie statussen:

Ingepland - automatisch aangemaakt door het systeem op basis van de testfrequentie van de beheersmaatregel (dagelijks, wekelijks, maandelijks, per kwartaal of jaarlijks). Voor elke komende periode wordt een ingeplande test aangemaakt en toegewezen aan een tester. Beheersmaatregelen zonder frequentie blijven ad-hoc en leveren geen ingeplande testen op.
Te laat - een ingeplande test waarvan de vervaldatum is verstreken zonder dat er een resultaat is vastgelegd. De test blijft toegewezen totdat de tester deze afrondt.
Afgerond - een tester heeft een resultaat vastgelegd en de test is opgenomen in de historie.

Op de detailpagina van een beheersmaatregel toont het tabblad Testen elke test voor die beheersmaatregel in alle statussen, met één regel per test met de status, het resultaat, de tester, de geteste periode, de vervaldatum en de reviewstatus. Gebruik het selectievakje "toon alleen testen aan mij toegewezen" om de lijst te beperken tot je eigen werk.

Wat een test vastlegt

Elke test legt de volgende informatie vast:

Resultaat - een gegradeerde uitkomst: geslaagd, gedeeltelijk, gefaald of niet van toepassing. Gedeeltelijk betekent dat de maatregel slechts deels werkt; gefaald betekent dat deze niet werkt. Zowel gedeeltelijk als gefaald verzwakt de residuele score van het gemitigeerde risico.
Bewijs - een tekstbeschrijving van wat is waargenomen tijdens het testen.
Notities - aanvullende notities of context van de tester.
Tester - de gebruiker die de test heeft uitgevoerd (automatisch ingesteld op de huidige gebruiker).
Testdatum - het tijdstempel van wanneer de test is uitgevoerd.

Bewijsbijlagen

Testers kunnen bestandsbijlagen uploaden als bewijs ter ondersteuning van hun testresultaat. Deze bijlagen worden opgeslagen bij het testrecord en zijn toegankelijk vanuit de testdetailweergave. Veelvoorkomend bewijs omvat screenshots, logexports, configuratiedumps of compliancescanrapporten. De maximale bestandsgrootte is 50 MB. Zie Tickets voor een volledige lijst van ondersteunde bestandstypen - dezelfde typen worden geaccepteerd voor beheersmaatregeltestbewijs.

Reviewworkflow

Als de bovenliggende beheersmaatregel review vereist, doorloopt elke test na indiening een reviewworkflow:

De tester dient de test in. De reviewstatus wordt ingesteld op In Afwachting.
Een reviewer (die een andere gebruiker moet zijn dan de tester) beoordeelt het resultaat en het bewijs.
De reviewer keurt de test goed of wijst deze af, optioneel met reviewnotities.
De reviewer en het reviewtijdstempel worden vastgelegd.

Bij deze vier-ogenreview bepaalt de reviewer de definitieve graad (geslaagd, gedeeltelijk of gefaald) die de gezaghebbende uitkomst wordt. Als de beheersmaatregel geen review vereist, is de graad die door de maatregeleigenaar is vastgelegd direct gezaghebbend - er is geen reviewstap nodig. De gezaghebbende graad bepaalt de residuele score van eventuele risico's die deze maatregel mitigeert.

Automatische aanmaak van bevindingen

Wanneer een test wordt gegradeerd als gedeeltelijk of gefaald, maakt Anzen automatisch een bevinding aan met de volgende standaardwaarden:

Titel: “Falen beheersmaatregel: [titel beheersmaatregel]” bij een gefaalde test, of “Degradatie beheersmaatregel: [titel beheersmaatregel]” bij een gedeeltelijke test
Ernst: medium
Status: Open
Entiteit: geërfd van de eigenaar-entiteit van de beheersmaatregel
Koppelingen: de bevinding verwijst naar zowel de beheersmaatregel als de specifieke test die deze heeft veroorzaakt

Een systeemopmerking wordt toegevoegd aan de automatisch aangemaakte bevinding waarin wordt vermeld welke test deze heeft veroorzaakt. De bevinding wordt ook uitgewaaierd naar elk risico dat deze maatregel mitigeert, en de feitelijke (huidige) residuele score van die risico's stijgt richting inherent totdat de maatregel weer presteert. Dit wordt opgenomen in het risicorapport, waardoor onderpresterende beheersmaatregelen worden verbonden met risicoblootstelling. Te late of nooit-geteste beheersmaatregelen verzwakken de feitelijke residu op dezelfde manier, zelfs voordat er een gegradeerd resultaat bestaat.