Pentests im Kontext von der ISO 17025

Die ISO/IEC 17025 ist eine Norm für die allgemeinen Anforderungen an die Kompetenz von Prüf- und Kalibrierlaboratorien. Diese Norm legt fest, welche Anforderungen ein Labor erfüllen muss, um die Richtigkeit, Zuverlässigkeit und Reproduzierbarkeit der durchgeführten Prüfungen und Kalibrierungen sicherzustellen. Die Norm gilt nicht nur für technische Labore, sondern auch für andere Arten von Laboren, wie z.B. medizinische oder forensische Labore.

Da Penetration Tests (auch bekannt als Ethical Hacking) in der Regel in IT-Laboren durchgeführt werden, kann die ISO/IEC 17025 auch auf diese Art von Tests angewendet werden. Die Anwendung der Norm auf Penetration Tests kann dabei helfen, die Qualität, Dokumentations, Revisionssicherheit und Genauigkeit der Testergebnisse zu verbessern. Dadurch wird sichergestellt, dass die durchgeführten Tests zuverlässig sind und den Kunden ein genaues Bild der Sicherheitslage ihres Systems liefern.

Die ISO/IEC 17025 legt unter anderem Anforderungen an das Personal, die Ausstattung und die Prozesse fest, die in einem Labor eingesetzt werden. Dies kann sich auf Penetration Tests wie folgt auswirken:

1. Personalanforderungen

Die Norm legt fest, dass das Personal, das in einem Labor arbeitet, über die notwendigen Qualifikationen und Fähigkeiten verfügen muss, um die ihm zugewiesenen Aufgaben auszuführen. Für Penetration Tests bedeutet dies, dass die Tester qualifiziert (z.B. OSCP, OSWE oder zertifizierter IS-Penetrationstester) und erfahren sein müssen, um komplexe Sicherheitsprüfungen durchzuführen.

2. Ausstattungsanforderungen

Die Norm schreibt vor, dass Labore über die notwendige Ausstattung verfügen müssen, um ihre Aufgaben zu erfüllen. Im Fall von Penetration Tests sind dies z.B. spezielle Hard- und Softwaretools sein, die für die Durchführung der Tests benötigt werden.

3. Prozessanforderungen

Die Norm verlangt, dass Labore über dokumentierte und standardisierte Prozesse verfügen, um sicherzustellen, dass die durchgeführten Prüfungen und Kalibrierungen wiederholbar und verlässlich sind. Für Penetration Tests bedeutet dies, dass klare und standardisierte Verfahren für die Durchführung der Tests, die Interpretation der Ergebnisse und die Berichterstattung erforderlich sind.

Fazit

Zusammenfassend kann man sagen, dass die Anwendung der ISO/IEC 17025 auf Penetration Tests dazu beitragen kann, die Qualität und Zuverlässigkeit der durchgeführten Tests zu verbessern. Dadurch können Unternehmen und Organisationen sicherstellen, dass sie genaue und aussagekräftige Informationen über die Sicherheit ihres Systems erhalten.