一、信息安全性测试概述
信息安全性(security)为GB/T 25000.51-2016标准中提及的软件产品的八大产品质量特征之一。信息安全性测试用于验证系统、产品保护信息和数据的程度，使用户、系统产品或系统具有与其授权类型和授权基本一致的数据访问度。
为完成系统与软件信息安全性测试，可依照的国家标准有：
GB/T 25000.10-2016系统与软件工程 系统与软件质量要求和评价(SQuaRE) 第 10 部分:系统与软件质量模型
GB/T 25000.51-2016系统与软件工程 系统与软件质量要求和评价(SQuaRE) 第 51 部分：就绪可用软件产品(RUSP)的质量要求和测试细则
GB/T 25000.23-2019系统与软件工程 系统与软件质量要求和评价(SQuaRE) 第 23 部分:系统与软件产品质量测量
在GB/T 25000.51-2016中，对信息安全性测试要求做了规定，为测试工程师测试软件的信息安全性提供了指南。
二、信息安全性测试内容及方法
在对产品进行信息安全性检测时，需考虑保密性、完整性、抗抵赖性、可核查性、真实性以及信息安全性的依从性这六大特性。在进行渗透测试和漏洞扫描时可以选择适合的工具进行测试，如：BurpSuite、AppScan、绿盟科技等。
（一）保密性
保密性指的是产品或系统确保数据，只有在被授权时才能访问的程度。
保密性部分主要测试内容及方法包括：被测系统是否能够防止对程序和数据的未授权访问；被测系统账户是否授权承担任务所需的最小权限；被测系统是否能明确区分系统中不同用户权限，系统不会因用户的权限改变而造成混乱；使用被测系统是否需要进行用户身份鉴别；敏感数据是否进行加密传输和存储；敏感数据加密方式是否符合要求具备破解难度。
（二）完整性
完整性指产品或系统、组件，防止未授权访问，篡改计算机程序或数据的程度。
完整性部分主要测试内容及方法包括：在修改数据或新增数据时，应对数据格式、数据长度进行判断；发生结构数据库或文件完整性阐述损害的事件时，被测系统是否有控制处理能力；被测系统应具备对数据的可备份性和可恢复能力等。
（三）抗抵赖性
抗抵赖性指的是活动发生后可以被证实且不可被否认的程度。
抗抵赖性部分主要测试内容及方法包括：被测系统是否启用安全审计功能，对需要通过数字签名的功能进行跟踪记录；被测系统安全审计中的数据是否只能进行查看，不允许被任何人进行修改；被测系统提供的需求文档中应对软件采用的不可抵赖机制进行说明。
（四）可核查性
可核查性指的是实体活动可以被唯一的追溯到该实体的程度。
可核查性部分主要测试内容及方法包括：被测系统开启审计日志后可以覆盖到每个用户以及用户的每个系统操作，记录信息是否全面；审计日志是否能被未授权用户进行删除修改等操作；被测系统是否定义了审计跟踪极限阈值，当存储空间耗尽时，能否采取必要的保护措施；审计日志最长保存时间是否符合测试需求；被测系统在受到真实或模拟攻击事件的情况下，系统日志中是否有相关记录。
（五）真实性
真实性指的是对象或资源的身份标识能够背证实符合其声明的程度。
真实性部分主要测试内容及方法包括：被测系统是否提供专用的登录控制模块对用户的身份进行合法性核实；是否具备登录用户身份的鉴别机制；是否采用两种以上的用户鉴别方法；用户身份是否具有唯一性；被测系统是否存在弱口令和空口令用户；被测系统是否存在登录失败处理功能等。
（六）信息安全性的依从性
信息安全性的依从性指的是产品或系统遵循与信息安全性相关的标准、约定或法规以及类似规定的程度。如：网络安全等级保护基本要求、GB/T 35273-2020个人敏感信息的传输和存储等。
三、软件测试实验室的能力资质
中国信息通信研究院南方分院（深圳信息通信研究院）已获得国家认证认可监督管理委员会颁发的检验检测机构资质认定证书（CMA）和中国合格评定国家认可委员会（CNAS）颁发的实验室认可证书。2023年，在软件测试的性能效率和信息安全性的两次能力验证中，均获得“满意”的结果，展现了我院软件质量测评实验室的优秀的技术实力。本院拥有专业的正版测试工具，可在资质认可范围内从事软件的科研课题验收测试、信息系统验收测试、产品委托评测、安全专项评测、移动APP安全评测等，可以根据客户需求提供软件测试方案设计、测试用例设计、现场或样品送检测试、出具检测和验收报告等测试服务。成立多年以来已完成多家厂商的软件委托测试业务，并得到高度认可。
如您想了解更多的软件测试信息以及业务合作，欢迎联系我们：
冯志芳 fengzhifang@caict.ac.cn 18518229960
