testing - 对数据 secret 性的非功能性需求表的困惑

Question

我有下表用于非功能性需求分析，我想知道下表是否适合我的项目。让我们假设这应该是非常重要的质量场景，应该被视为 NFR(非功能性需求部分)。我想知道测试人员将如何测试它，因为必须满足项目成功的津贴。我应该将其移至 QA 还是 NFR？

NFR_01:安全性:用户 PII 数据 secret 性

1. 说明:
用户个人身份信息、偏好和历史数据的保密性应该很高。系统必须尽可能地保护数据的 secret 性。

2.环境:
系统已经投入生产，
发生对 secret 数据的意外访问

3. 刺激:
外部实体或内部未经授权的实体

4. 回复:
系统必须保护数据的 secret 性，并且应拒绝未经授权的访问

5. 测量:
[用户 PII 数据 secret 性] = [100 - [攻击者成功的攻击次数]/[攻击总数]]

6. 津贴:
[用户 PII 数据 secret 性] >= 99.999

Answer 1

这项任务看起来很复杂，而且级别很高，没有确切的验收标准。

首先，您需要识别所有漏洞(我将为 QA 调查创建任务，理想情况下您需要专门的安全专家)。

然后分析和评估所有问题，如果需要，按原因分组。这应该由安全专家、开发人员和产品来完成。
然后每个问题都应该按照您的常规 SDLC 流程单独处理。

措施:即使有漏洞，大多数情况下也没有攻击。就个人而言，我不喜欢指标，那只是另一种欺骗方式。但是，如果您真的想用数字打动某人-请使用可用于支付罚款的金额。

余量:没有任何 QA 可以保证 99% 无缺陷。如果我没记错的话，独立审计所能提供的最好结果是 95% - 但这是非常昂贵且极其彻底的测试