16、渗透测试项目管理与信息系统安全评估框架解析

渗透测试项目管理与信息系统安全评估框架解析

1. 渗透测试利益相关者识别

在渗透测试项目中，识别利益相关者至关重要，这能确保利益相关者之间的有效沟通。但这并不意味着每个利益相关者都会收到渗透测试中的所有信息，也不意味着每个利益相关者都有平等的话语权。识别利益相关者只是让项目经理知道谁需要参与项目以及何时让他们参与沟通。

2. 规划过程组

规划过程组是获取成功完成项目所需信息的方法。在渗透测试范围内，项目经理需要了解项目可能持续的时间、项目团队的规模、项目的估计成本、所需的资源等。规划过程组的流程如下：
| 流程 | 描述 |
| — | — |
| 制定项目管理计划 | 项目管理计划是该组中所有其他流程的总和。完成其他流程后，项目经理能更好地了解项目在时间、必要工具/设备、变更管理以及工作完成方式等方面的进展。 |
| 收集需求 | 将项目章程转化为需求文档，把业务目标转化为工程师要满足的技术需求，同时收集限制条件，如“禁止拒绝服务攻击”。 |
| 定义范围 | 此流程应产生范围说明书，定义项目的目标、需求、边界、假设和可交付成果。 |
| 创建工作分解结构（WBS） | 识别完成项目实际需要做的工作，并提供足够细节让工程师知道自己的工作内容。WBS 不是进度表，但用于明确活动并识别可能存在的冲突。 |
| 定义活动 | 利用项目范围信息识别项目内的活动并确定里程碑。里程碑可以是大型事件，如文档收集完成、实际渗透测试完成等。过于细化的里程碑往往会失去意义。 |
| 排列活动顺序 | 项目的一部分通常要在另一部分完成后才能开始。该流程创建项目进度网络图，显示受工作流依赖影响的事件顺序，资源对渗透测试