🎸

テスト分析・リスクベースドテスト！JSTQBに沿ってアジャイル・スクラム・DevOpsにも応用できるQAの知識を解説します！

2023/10/07に公開

テスト分析概要

テスト分析の段階では、要件や仕様を深く探ることで、テストの対象となる範囲を特定します。この時点で、テストの基準や受け入れ基準を明確に設定し、どのテストをどの順番で行うかの優先順位を決めることが求められます。

この段階でリスクアセスメントを実施します。このアセスメントを通じて、潜在的なリスクを初期段階で特定し、それに基づいたテスト戦略を策定する準備を行います。

リスクベースドテスト全体を説明している動画なので、ぜひ参考にしてください！

テスト計画の「6. ソフトウェアのリスク発生」項目をリスク分析で詳細化します。この際、「7. テスト戦略」も考慮し、記載を行います。リスク評価、重要度、リスクの原因などの要素を含めることが重要です。

以下はその詳細な例です。

リスク評価: 高
トレーサビリティ: ユーザーストーリー、画面設計書参照
重要度: APIが返すデータが不正確や不完全な場合、システムや他の依存サービスに大きな影響が生じる。
リスクの原因:
- データベースクエリの誤り
- データ変換の問題
テストカバレッジ: 顧客業務への大きな影響を考慮し、100%を目指す。
対応方針: NTについては原則対応を行い、NGの場合は修正後に確認テストを実施する。
テスト戦略: データベースクエリとデータ変換ロジックのテストを重点的に行います。さらに、検証テストやデータ整合性の確認も実施します。NTやNGの結果が出た場合、確認テストだけでなく、すべてのテストケースに対してリグレッションテストを実施します。
リスク再評価: リリース後のリスク再評価を予定。

リスク評価: 高
トレーサビリティ: OWASP ASVS参照
重要度: システムへの不正アクセスやユーザーデータの漏洩は法的・評判のリスクとなる。
リスクの原因:
- セキュリティパッチの未適用
- 弱いパスワードポリシー
- SQLインジェクションの脆弱性
テストカバレッジ: 静的解析とセキュリティペネトレーションテストを100%カバレッジで実施。
対応方針:
- 静的解析の評価はAとする。
- セキュリティペネトレーションテスト結果:
  - 「緊急」「重要」: 対応必須
  - 「警告」: チーム内で対応を検討
  - 「注意」「情報」: 対応不要
テスト戦略: 定期的なセキュリティペネトレーションテストを実施し、潜在的脆弱性を識別。セキュリティのベストプラクティスとパッチ状況を継続的に監視。
リスク再評価: 四半期ごとに実施