Ga naar inhoud
YipYipISMS YipYip

Security testing in development and acceptance

GedeeltelijkProject Manager

Wat we doen

Section titled “Wat we doen”

Elke oplevering doorloopt een vast testproces:

  1. Team test functionaliteit – design en development testen elke functionaliteit op werking en vorm voordat die naar de klant gaat
  2. PM-test waar nodig – bij kritische aanpassingen, of als de klant niet zelf kan testen, verifieert de projectmanager of alles werkt volgens afspraak. De PM beslist of deze stap nodig is; als PM en klant beide testen, test de PM eerst
  3. Tussentijdse QA door de klant – de klant beoordeelt tussentijdse deliverables en is verantwoordelijk voor tijdige feedback daarop
  4. Bugs via Jira – gevonden bugs worden als tickets vastgelegd en moeten opgelost zijn voor oplevering
  5. Klant acceptatietest – de klant test de oplevering als geheel
  6. Release – pas na acceptatie door de klant
  7. Garantie (6 weken) – bugs op afgesproken functionaliteiten worden kosteloos opgelost
  8. SLA optioneel – na de garantie kan de klant een SLA afsluiten; die bevat responstijden voor bugfixes en onderhoud

Security-specifiek:

  • Tijdens ontwikkeling: code review op OWASP Top 10 en Dependabot (zie 8.25, 8.28).
  • Pentesten van de productieomgeving is de verantwoordelijkheid van de klant. Bij oplevering wordt de klant daarop gewezen; YipYip faciliteert (toegang, testomgeving, opvolging van bevindingen).

Verantwoordelijkheden

Section titled “Verantwoordelijkheden”
  • Projectmanager – opleverproces: beslissen over de PM-test, goedkeuring, release-coördinatie, pentest-advies aan de klant
  • Design – toetst functionaliteit en oplevering op vorm en functie
  • Developers – testen functionaliteit op werking, bugs verhelpen voor oplevering, bugfixes binnen garantie en SLA, opvolging pentestbevindingen
  • Klant – tussentijdse QA en acceptatietest uitvoeren, pentest laten uitvoeren, bugs melden na oplevering

Gaps

Section titled “Gaps”

Dit control dekt security testing tijdens ontwikkeling en acceptatie; geautomatiseerde code-scanning en de OWASP-review horen daarom hier, de pentest op productie bij de klant.

  • Geen opleverchecklist waarop security-punten (waaronder het pentest-advies) worden afgetekend (ISMS-243).
  • Geen SAST en geen DAST; security testing beperkt zich tot code review en Dependabot (ISMS-380).
  • Uitgevoerde pentests en de opvolging ervan worden niet per project vastgelegd.
  • De verdeling van verantwoordelijkheden voor security testing (klant: pentest productie; YipYip: security in het ontwikkelproces) staat nog niet in de standaard projectovereenkomst.

Bewijs

Section titled “Bewijs”