Kiểm thử viên, đánh giá viên an toàn thông tin cần đáp ứng những yêu cầu nào?

Trong hoạt động đánh giá, kiểm thử sản phẩm an toàn thông tin mạng, năng lực của người thực hiện có vai trò quan trọng nhằm bảo đảm kết quả chính xác và nhất quán.

Theo đó, TCVN 13723-1:2023 “Kỹ thuật an toàn công nghệ thông tin - Yêu cầu về năng lực đối với kiểm thử viên và đánh giá viên bảo mật thông tin - Phần 1: Giới thiệu, khái niệm và yêu cầu chung” đã được công bố, nhằm bảo đảm các cá nhân thực hiện quy trình đánh giá và kiểm thử sản phẩm an toàn thông tin mạng có đủ kiến thức, kỹ năng và kinh nghiệm cần thiết.

Tiêu chuẩn nêu rõ, kiểm thử viên là cá nhân được giao thực hiện các hoạt động kiểm thử theo một tiêu chuẩn kiểm thử sự phù hợp nhất định và phương pháp kiểm thử liên quan; đánh giá viên là cá nhân được giao thực hiện đánh giá theo một tiêu chuẩn đánh giá nhất định và phương pháp đánh giá liên quan.

TCVN 13723-1:2023 đặt ra yêu cầu về năng lực đối với kiểm thử viên, đánh giá viên an toàn thông tin. (Ảnh minh họa)

TCVN 13723-1:2023 xác định năng lực của kiểm thử viên và đánh giá viên dựa trên nhiều yếu tố, gồm kiến thức, kỹ năng, kinh nghiệm, trình độ đào tạo và tính hiệu quả. Đây là những yếu tố quan trọng cần được xem xét khi xác định năng lực của nhân sự thực hiện kiểm thử hoặc đánh giá sản phẩm an toàn thông tin mạng.

Cụ thể, yếu tố kiến thức bao gồm các yêu cầu về hiểu biết sản phẩm an toàn thông tin và quy trình đánh giá; kỹ năng bao gồm khả năng thực hiện đánh giá, phân tích và viết báo cáo kiểm thử; kinh nghiệm cần được ghi nhận từ việc tham gia các dự án thực tế liên quan đến đánh giá và kiểm thử; trình độ đào tạo gồm bằng cấp giáo dục và chứng chỉ chuyên môn cần được lưu giữ; tính hiệu quả đánh giá khả năng lặp lại và chính xác trong kết quả kiểm thử.

Bên cạnh đó, TCVN 13723-1:2023 cũng phân định 4 mức năng lực đối với nhân sự. Mức 1 là hỗ trợ, trong đó cá nhân có khả năng thực hiện công việc kiểm thử hoặc đánh giá dưới sự giám sát.

Mức 2 là chuyên nghiệp, yêu cầu khả năng làm việc không cần giám sát trong nhiều lĩnh vực, dù một số lĩnh vực vẫn có thể cần giám sát.

Mức 3 - quản lý, cá nhân có khả năng giám sát công việc kiểm thử hoặc đánh giá của những người ở mức 1 và 2, đồng thời có khả năng xử lý những sai lệch được phát hiện trong hoạt động của phòng thử nghiệm.

Mức 4 - lãnh đạo, là mức yêu cầu phạm vi năng lực cao hơn, bao gồm khả năng kiểm tra các khía cạnh của cuộc kiểm thử hoặc đánh giá theo tiêu chuẩn và phương pháp đã xác định, làm việc không cần giám sát trong các phương pháp được chỉ định, giao tiếp với các bên liên quan và thực hiện quản lý dự án. Người ở mức này cũng có khả năng giám sát, hướng dẫn công việc của nhân sự ở các mức thấp hơn.

Việc xác định rõ các yếu tố và mức năng lực giúp làm cơ sở xem xét năng lực của kiểm thử viên, đánh giá viên trong hoạt động đánh giá, kiểm thử sản phẩm an toàn thông tin mạng. TCVN 13723-1:2023 đồng thời tạo khuôn khổ chung để các phần tiếp theo của bộ tiêu chuẩn quy định cụ thể hơn về kiến thức, kỹ năng và tính hiệu quả đối với từng nhóm nhân sự.

Thanh Tùng