Kockázatok és prioritások

A kockázati lista akkor használható, ha minden sora leír egy lehetséges nemkívánatos állapotot és annak következményét. Az olyan címke, mint „biztonság”, önmagában nem elég. Hasznosabb például: „egy másik hallgató azonosítójának módosításával idegen eredmény tekinthető meg, ami személyes adat kiszivárgását okozná”. A konkrét megfogalmazás segít a tesztfeltétel és a szükséges védekezés kiválasztásában.

Az azonosításba vonjuk be azokat, akik a használati helyzetet, az architektúrát és a működési következményt ismerik. Kérdezhetünk korábbi incidensekről, adatérzékenységről, ritka határesetekről, külső szolgáltatásokról, üzleti csúcsidőről és helyettesítő megoldásokról. Egy rövid workshopon először külön gyűjtsük az ötleteket, majd egységes definícióval tisztázzuk őket.

A projektkockázat a tesztelés teljesítését nehezíti, például nincs elég szakember vagy késik a környezet. A termékkockázat a működés minőségi problémájából fakad, például adatvesztés, téves számítás vagy jogosulatlan hozzáférés. A két csoport összefügghet: ha a kritikus szakértő kiesik, nőhet annak esélye, hogy egy termékkockázat feltáratlan marad.

A kockázati besorolás mögött álljon közös skála és indoklás. A valószínűség és a hatás külön becslése után összesített kategóriát adhatunk, de a kategória nem matematikai bizonyosság. Ha ordinális szavakat használunk, azok csak sorrendet jelentenek; az „alacsony” és „közepes” közötti távolság nem feltétlenül azonos a „közepes” és „magas” közötti különbséggel.

A nagyobb kockázat több vagy mélyebb vizsgálatot indokolhat, de a tesztelés csak az egyik válasz. Megelőző intézkedés lehet a követelmény tisztázása, a kód felülvizsgálata, a jogosultsági terv ellenőrzése vagy a visszaállíthatóság javítása. Kockázatcsökkentés lehet célzott tesztelés és monitorozás; bizonyos esetben a szervezet indokoltan elfogadja a maradék kockázatot.

A kockázati sorrend a projekt során változik. Egy új hiba, új felhasználói igény, terhelési adat, javítás vagy beszállítói változás módosíthatja a valószínűséget és a hatást. A tesztvezető rendszeres időközönként és lényeges esemény után frissíti a listát, majd elmagyarázza, ha a tesztterv emiatt változik.