[你问我来答第14期]：CMMI评估探讨（已结束）

liaoxj

回复49#
问题：

我想问一个我一直疑惑的问题，怎么将编写的测试用例在实际的测试工作中能应用的到呢？目前我的现状是：在编写测试用例的时候，给我的只是用户需求，没有详细设计，并且前期的需求调研需求分析我都没有参与，领导们还一直让我些用例，自己看着用户需求，然后对照着开发人员已完成的架构，便点着系统，对照着用户需求来些，但是写出来的用例根本没有办法用，太笼统了，请大傻给指点下如何让我编写的测试用例在功能、系统测试中能用的上？还有就是即便编写了一个非常完善的用例，人工的点点肯定不过工具来操作的方便，请问该用什么自动化工具好呢

大傻回复：

开发过程是用户需求->软件需求->概要设计->详细设计，那么对应的测试用例设计过程分成了测试需求->测试大纲->测试用例。首先在用户需求和软件需求阶段测试人员根据用户需求、软件需求转换成测试需求，作为系统测试的依据。就是把用户需求站在测试的角度转换成测试人员的语言，也就是测试人员拿到需求，要想想这个需求大概是这样一个功能，要从哪些方面可以测试，可以用哪些方法等。如果有不清楚那么就要跟需求人员沟通。其次在概要设计阶段，那么就根据功能划分来划分我们测试大纲，如根据业务功能，哪些可以设计成公用用例，哪些可以测试复用库继承。最后在详细设计阶段我们就是根据详细设计在编写详细的测试用例包括测试目标、测试环境、输入数据、测试步骤、预期结果、测试脚本等。

我前面说了一个测试用例过程，说明测试用例也需要有阶段，需要不断完善，测试人员不是神仙不可能在用户需求阶段就能写成完整测试用例。说句实话在我们这里也碰到你们同样的问题，发现虽然花了很多的经历写测试用例，但是真正测试的时候还是随机测试。目前我们是这样操作，我们根据项目的特性在测试计划的时候就约定了测试用例执行发现缺陷的比例，当然作为绩效考虑依据之一。我们测试组长在分配测试任务的时候就是根据测试用例来分配的。我们允许项目测试人员在测试过程中完善测试用例，这样的话会对回归测试，特别是升级项目有很好的作用。

自动化不是说写了一份完美测试用例就可以自动化，自动化需要你根据项目情况和技术架构来选择自动化的契机和工具。我在我博客中总结过一次自动化测试的内容，你可以参见一下。自动化测试，我知之见

liaoxj

回复52#
问题：
     一个部门就一个测试人员，怎么展开工作，我所在的部门就是这样，他们根本不拿我当一回事，最后我成一打杂的了，什么地方缺人手，什么就让我做，在公司呆了块一年了，什么东西都没有学习到，这样的部门还值得待下去吗。
大傻回复：
    这还真是一个纠结的事，我觉得你好好思考一下，在这里你有没有发展空间，或者你没有能力去改变一些东东，比如跟领导交流一下，谈谈自己的思路，也可以看看领导的想法。如果这些都不行话，你如果想在测试方面好好的发展一下的话，可以考虑换份比较规范的公司。还有打杂不一定学不到东西，我们要对自己每做的一件事，使用120%的力量去做好，特别是新人的时候，只有把工作做好，别人才会认可你，认可你才会重视你，这样话你才能改变一些东东。

liaoxj

回复54#
问题：
    我想问一下 你们的 CMMI 在具体实施中是否顺利在项目紧张的情况下也是否严格按照 CMMI 流程来管理而不是走形式很多时候想法很好领导也很认同但是执行过程中有问题 如：大家都在赶项目 没人管你的CMMI 也没有人监管CMMI 执行另外你认为实施CMMI 有哪些困难应如何克服困难
大傻回复：

走不走CMMI流程管理，跟项目紧张不紧张没有冲突，难道项目紧张就不需要写代码，不要编写需求了，不需要测试了吗，不管产品质量了吗。CMMI只是一种方法，成熟的企业的CMM是可以根据项目各种特性进行裁剪。比如项目紧张，我们过程可以做一裁剪和调整。

1.裁剪概要设计里程碑，并入详细设计里程碑。

2.详细设计只设计优先级高的需求和基础框架的设计。

3.编码复用度要达到60%，人员要求级为高级。

4.测试用例只设计优先级高的需求。

5.单元测试测试在Sqlserver环境下测试，系统测试在oracle环境下测试。

6.除了用户需求和验收评审使用正式评审，其它只做非正式评审。

7.……

CMMI实施中有哪些困难，主要是我们做CMMI的目标不对，只为了拿证书，而不是通过CMMI评估来优化完善我们过程。还有公司缺少过程改进方面的专家，有的公司甚至是找一些技术文秘来做。我觉得要克服这些困难，首先需要有一个强硬的领导，有时时候需要强硬推行，而且培养一些过程改进方面的资深的人才，如送到专业机构培训，并且在企业中不断的实践。

liaoxj

回复58#
问题：
    最近公司为了扩大业务，赢得更多的客户，提高客户的满意度，上周开部门例会时，老总提出了本季度、年度的工作重点是：服务优质，改善系统的用户体验，要求每个人都好好想想，并给出可操作的建议，一个月后详细讨论。哎，以前没有做过用户体验的测试，哪位同仁能否帮忙出出主意，从哪些方面去改善系统的用户体验？
大傻回复：

ISO 9241-210标准将用户体验定义为 “人们对于针对使用或期望使用的产品、系统或者服务的认知印象和回应”。因此，用户体验是主观的，且其注重实际应用。

　　ISO定义的补充说明有着如下解释：用户体验，即用户在使用一个产品或系统之前、使用期间和使用之后的全部感受，包括情感、信仰、喜好、认知印象、生理和心理反应、行为和成就等各个方面。该说明还列出三个影响用户体验的因素：系统，用户和使用环境。

ISO标准的第3条说明暗示了可用性也可以作为用户体验的一个方面。如，“可用性标准可以用来评估用户体验一些方面”。不过，该ISO标准并没有进一步阐述用户体验和系统可用性之间的具体关系。显然，这两者是相互重叠的概念。

用户体验我的理解像门户网站，移动产品，游戏等产品对用户体验要求更高一些，我们以门户网站的来一起交流一下网站用户体验各个方面吗。

(一)从视觉去深究

设计风格尽量符合目标客户的审美习惯，并具有一定的引导性； 网站的LOGO：确保logo的保护空间，确保品牌的清晰展示而又不占据过分空间；网页打开的速度，尽量确保页面在5秒内打开；页面方面力求重点突出，主次分明，图文并茂。与企业的商业目标相结合，将目标客户最感兴趣的信息放置在最重要的位置；页面色彩：与网站整体形象相统一，主色调+辅助色不超过三种颜色；页面导航：导航条清晰明了、突出，层级分明。

(二)从实用方便方面入手来探索

表单填写：尽量采用下拉选择，需填写部分需注明要填写内容，并对必填字段做出限制； 按钮设置：对于交互性的按钮必须清晰突出，以确保用户可以清楚地点击； 点击浏览过的信息颜色需要显示为不同的颜色，以区分于未阅读内容，避免重复阅读。

(三)提高网站的稳定性

一个稳定性不高的网站不仅不利于百度蜘蛛的抓取，更是让有意寻找与我们网站相关的信息的用户厌恶。试想用户找了半天找不到的信息总算找到了，满怀期待地点进我们的网站，却没想到网站竟然打不开，犹如被泼了冷水，我想下次他们一定不会再想进你的网站了。而对于我们说这也是大大的损失，好不容易有几个有意向的客户想来参观我们的产品，却因为网站运行速度慢甚至打不开而失去了这些客户，实在是太亏了。网站的访问速度是永恒不变的定律，如果速度时快，时慢，而且还经常抽风，还有各种问题，那你还会去访问。

(四)换位思考

为了做好一个网站，我们要经常换位思考，可以让自己变成用户去体验自己的公司的每一款产品，这才使得网站也好，产品也好有了较大的口碑。

(五)提高网站的信誉及服务质量

当我们的网站有一定的流量，一定数量的用户后，我们便可以进行交易了。不过前提是要提高网站的信誉，就像淘宝网里的用户们都会选择信誉度高的店铺买东西一样。其次就是服务质量，良好的服务才会使我们网站有个良好的口碑，才会使我们的网站持久发展不断做大。

liaoxj

回复56#
问题1：
     怎么样才算是真正掌握了CMMI体系？重点关注哪些方面？
大傻回复：

我觉得CMMI体系的掌握分成两种，一种公司的内部所有过程、规程、模板烂熟于心。可以告诉项目什么时候应该怎么做，要遵守哪些规范，并能指出过程做得不对的地方。另一种项目提出一个问题有能力优化过程或相关文档，或能通过收集的数据分析知道问题所在并能提供解决方案。CMMI重点关注的是知道什么时候，要做哪些事，这些事应该怎么做，怎么做才是对的。

问题2：
     如何才能保证CMMI能在公司得到有效执行？确实保证产品质量？
大傻回复：

如何保证CMMI有效执行前面我已经说过不少了，我再总结一下。

1.需要一个强硬的并懂软件开发，项目管理公司高层领导，最好是分管技术的总工或副总。

2.一套适合公司，可操作的公司软件开发管理的过程，规程和模板，即适合本公司的一套CMMI模型。

3.有一套根据这个CMMI过程为基础的绩效考核体系，并有一个专职部门来监督该过程的执行。

问题3：     
    具体执行过程中常见问题与解决方案 经验分享一下？
大傻回复：
     第三个问题在前面的贴子中我都有提到，请查看相关回帖。

xihuan856

测试经理如何在空降的测试部门尽快树立起威望呢？如何笼络人心呢？
我在测试行业工作了5年了，功能测试方面的经验也比较丰富了，以前也带过不少项目。现在刚好朋友挖我到了一家新公司，虽然是新公司，但该公司从成立到现在也快3年了，比我先进公司测试人员有7个，加上我现在去的一个陌生的行业，业务没有老员工熟悉，我该如何做才能够尽快树立起自己的威望呢？如何笼络人心呢？

lucy-lucy

专家怎么最近不见人影了呢，呵呵！！

liaoxj

回复59#
问题：

大侠，你好，我现在是带了两个新人，一个有功能测试工程师的测试主管。虽然说是主管，但是我的技能也仅限于功能测试和业务方面的经验，发现自己可以教的东西已经掏完之后，自己感觉很害怕。编程能力等于0，性能测试能力约等于0，貌似只有功能测试目前做的还不错。请问大侠，接下来我要怎么做，才能整体提高团队的技能，提高测试的效率呢？

大傻回复:

作为测试主管帮带新人是必须需要做的事，是我们职责，只有能你的团队整体技能上去才能提高我们工作效率。古代的武术高手教徒弟的时候害怕徒弟超过师傅，都喜欢留一个一招半式不传授。不知道古代人是怎么情况，但是现在的你我有好怕，其实你帮带别人的时候不仅你的业务和技术不断提升了，而且更加透彻了，因为当你帮带别人你不仅回顾了一次，而且有时你也不知不觉去查资料把它整得更明白了。而且有没有发现你沟通能力和培训能力不知不觉得有了。现培训（传授本领）也是一种技能，若有机会当培训师或者当老师也是我们经后可以选择不错的方向或职业。

虽说测试主管不一要是技术大牛，但是你有没有发现有几个不懂技术的人可以管理好技术团队的，你尽然有意识到编程和性能测试是你的弱项，那么你就少打会游戏要，少谈会恋爱，去学习充电一下。如果你的女朋友或男朋友爱你的话也是会理解你的。

提高团队技能其实说起来不难但是做起来可能就难了，一，就是让新人尽快熟悉业务，就是你说的帮带，帮带一定要形成机制。二，创造学习型的团队，通过各种手段创造这种氛围。

提高工作效率其实也说起来也简单就是改进方法，只有不断创新的方法才能使效率提高。方法是多方面，可能是一优化了一个过程细节，修改了一个模板，引用了一种工具，我们要结我们自己公司业务需要改进。

liaoxj

回复61#
问题:
    于CMMI评估，测试流程相对于平时测试的流程还需要做哪些改进，加入哪些活动。
大傻回复：
    CMMI不会增加测试任何活动，其实CMMI中与测试有直接相关就两个过程域
   VAL Validation 确认

   VER Verification 验证

liaoxj

回复66#
问题：
     想问一下老师,在一个没有测试人员的公司,想把测试搞起来，应该从哪几方面开始...
大傻回复：
     这个问题其实前面都有提到过，在这里我在简单总结一下：
    1.得到高层的绝对支持，最好是获取到“尚方宝剑”，在中国没有领导的支持是干不成事的。
    2.招聘志同道合的人，所有事的都是要人去做，当有这样的团队的时候，才能办成事。
    3.制定一套符合当前公司现状的工作章程，并工作实践中不断不完善，改进。
    4.什么都不要说了，兄弟姐妹们开干吧！

liaoxj

回复70#
问题：
问下大侠，若是有一个网上售票系统让大侠做一下性能测试，请问大侠会从哪些方面入手，如何入手，性能测试点什么，谢谢大侠
大傻回复：
     说句实话，这样的问题我很难回答，你的性能是开发过程想知道系统大概性能情况，还是想知道需要咱样硬件或网络配置才能支持当前的生产环境，还是现在已经有性能问题，想寻找性能瓶颈。怎么入手请看一下本贴24#性能测试流程吧。

liaoxj

回复71#
问题：
       请教一下李老师：一般7、8个人的测试小组，如何去设计小组的工作岗位和组织架构比较合理？如何去做部门不同岗位的岗位职责？一直处于疑惑中呀！
大傻回复：
    我个人认为如果团队规模较小的时候，不要把工种分得很细，很多时候不是很实际的，小团队的时候一定要把所有人利用起来，而利用起来的时候就需要人要多才。
    我建议7、8个人人小团队，建议已公司产品业务分组，如果测试组有性能测试，建议测试小组的成员兼职。每到一段时间的时候，在恰当的时机进行人员轮换，以便不时之需。
    部门岗位职责这肯定要根据公司给你任务分解职责了，像你这样可以分为小组长，骨干，普通成员的职责了。

liaoxj

回复73#
问题：
   今天测试经理下班时叫我好好想想，以后协助他编写和完善质量管理体系?可我一直做测试，对质量体系都没概念，怎样去做这个体系呢？可以从哪些方面去设计呀？如何去规划这个体系呢，犯难呀，只能求助专家了。
大傻回复：

质量管理体系是企业内部建立的、为保证产品质量或质量目标所必需的、系统的质量活动。它根据企业特点选用若干体系要素加以组合，加强从设计研制、生产、检验、销售、使用全过程的质量管理活动，并予制度化、标准化，成为企业内部质量工作的要求和活动程序。我觉得你可以产品行业标准，工程流程标准，测试检验标准等方面设计。

建立、完善质量体系一般要经历质量体系的策划与设计，质量体系文件的编制、质量体系的试运行，质量体系审核和评审四个阶段，每个阶段又可分为若干具体步骤。

教育培训，统一认识：质量体系建立和完善的过程，是始于教育，终于教育的过程，也是提高认识和统一认识的过程，教育培训要分层次，循序渐进地进行。

组织落实，拟定计划：尽管质量体系建设涉及到一个组织的所有部门和全体职工，但对多数单位来说，成立一个精干的工作班子可能是需要的，根据一些单位的做法，这个班子也可分三个层次。

确定质量方针，制定质量目标：质量方针体现了一个组织对质量的追求，对顾客的承诺，是职工质量行为的准则和质量工作的方向。制定质量方针的要求是：

1.与总方针相协调；

2.应包含质量目标；

3.结合组织的特点；

4.确保各级人员都能理解和坚持执行。

现状调查和分析：现状调查和分析的目的是为了合理地选择体系要素。

调整组织结构，配备资源：因为在一个组织中除质量管理外，还有其他各种管理。组织机构设置由于历史沿革多数并不是按质量形成客观规律来设置相应的职能部门的，所以在完成落实质量体系要素并展开成对应的质量活动以后，必须将活动中相应的工作职责和权限分配到各职能部门。一方面是客观展开的质量活动，一方面是人为的现有的职能部门，两者之间的关系处理，一般地讲，一个质量职能部门可以负责或参与多个质量活动，但不要让一项质量活动由多个职能部门来负责。目前我国企业现有职能部门对质量管理活动所承担的职责、所起的作用普遍不够理想总的来说应该加强。在活动展开的过程中，必须涉及相应的硬件、软件和人员配备，根据需要应进行适当的调配和充实。

质量体系文件编写：除质量手册需统一组织制订外，其它体系文件应按分工由归口职能部门分别制订，先提出草案，再组织审核，这样做有利于今后文件的执行

质量体系试运行：文件编制完成后，质量体系将进入试运行阶段。其目的，是通过试运行，考验质量体系文件的有效性和协调性，并对暴露出的问题，采取改进措施和纠正措施，以达到进一步完善质量体系文件的目的。

质量体系的审核与评审：质量体系审核在体系建立的初始阶段往往更加重要。在这一阶段，质量体系审核的重点，主要是验证和确认体系文件的适用性和有效性。

liaoxj

回复74#
问题：

毕业后做测试组长也快2年了，一直为测试组内的沟通发愁，一直都在摸索一个问题：怎样去制定和履行部门内管理和跨部门沟通规范？如何去实施和执行？希望能得到前辈的指点和教导，thanks！！

大傻回复：

在工作中，您需要与您的上级、下级、相关部门、尤其是您的客户进行各种不同层次的沟通，如果您发现自己与人交流沟通不当，想一想是否因为自己没能重视沟通？有了良好的沟通，办起事来就畅行无阻。沟通涉及到获取信息或提供信息，在这种或那种之间，或对他人施以影响以理解您的旨意并愿意根据您的愿望行事。

我个人认为，内部沟通，首先作为你这个领导要主动去跟员工去沟通，有时候可以去聆听，沟通是双互的，你不要老想别人来跟你沟通。有时候就像谈恋爱前面就剩下一个窗户纸了，但是没有人主动捅破它。沟通方式可以多样会议，面谈，甚至是QQ或邮件也是沟通。

跨部门的沟通必须建立一个机制，这种机制是建立在共同目标上的，当然部门领导之间也会建立一些私人关系，有时这种私人关系也带来一些工作上的便利。

liaoxj

回复76#
问题：
咨询2个测试组目前碰到的问题吧！
（1）刚组建18个月的测试组，该如何去进行测试团队建设？可以从哪些方面去开展？面试测试的时候也经常被问到，希望知道的朋友多出出主意和给个方向，呵呵。
（2）如何去建立和完善合理的激励机制，激发员工的潜能，一直保证员工工作积极性，让测试工作开展得有声有色？避免测试人员混日子的情况。
大傻回复：
   这个两个问题前面有类似问题我已回复，我补充一些内容吧，大家建立激励的机制，别忘建立淘汰机制，有时如果没有淘汰机制，激励机制会变成和谐的东东。

liaoxj

回复77#
问题1：
如何去建立通用的测试用例规范库？方便后续测试设计用例时，直接复用即可，用什么软件管理最佳？
大傻回复：

建立通用的用例库，我们这里也努力，不过可以把我们操作思路拿出来给大家一起交流。

1.将一些行业，开发规范，界面规范纳入通用测试用例库。

2.建立公司产品业务的基础用例库，如我们HIS，电子病历，社区等。

3.建立一些自己总结和其它路径获取的用例，如边界值，登录，查询等。

工具没有最好，只有适何不适合自己，可以是免费开源，或者是收费的，甚至是word,excel，重要的管理方法和机制。

问题2：
   如何根据每个人的特长，帮助组内的下属去制订每个人的职业发展规划？
大傻回复：

下属的职业规划分两种，一种是他本身的意愿，比如是管理方向还是技术方向，另一种是公司为我们下属提供几种可以选择岗位和方向。而作为我们这些负责人要做得是如何在完成部门总体目标的同时，又能满足个人发展合理需求。

问题3：
  如何去建立一系列的业务系统自动化测试框架快速实施自动化测试？
大傻回复：

自动化是好东西，但是目前还不成熟，我们可以选择一些简单业务去尝试做自动化，只能通过实践去积累了。

问题4：
   如何做好部门的测试技术平台建设？可以从哪些方面去深入思考和探讨？
大傻回复：

我想象中的测试技术平台，就是我们测试工作的日常工作，测试过程，工作产品都是在这个平台中进行。可以在平台中收集我们需要的产品本身，测试人员，开发人员的各种数据，并提供合理度量模型。分析出产品质量情况和人员绩效情况。

问题5：
   如何做好年底的测试部门工作总结？从哪些方面去总结，才更能体现测试部门的特色和工作业绩？
大傻回复：

作为我们这些管理都者工作总结就实实在一些，今年做了拿些事，年初目标完成情况，年初定的计划完成了多少，没有完成的原因是什么，明年打算怎么做，哪方面要提高。当然这些内容如果能配些数据分析图和具估实例那会更直观和客观一些。什么业绩就是公司给你的目标和任务有没有完成，完成情况如何。

liaoxj

回复79#
问题1：
   公司领导要我给小组成员制定部门人员的培养计划，如何制定呢？能否借鉴您的经验给个方向呀。
大傻回复： 这个问题，我们前面已经回复了其实就是公司意愿和个人意愿如何有机结合。
问题2：
   如何去设计测试工作的checklist，使得常规化的工作有据可依？
大傻回复：
   测试工作checklist其实只要把握测试工作几关键点就是，测试开始之前，各测试阶段开始之前，测试完成之前和测试工作产品提交评审或审核之前。
问题3：
   怎样去设计公司的测试技术标准和测试制度，让测试技术标准和测试制度来管人？具体的测试技术标准和测试制度涵盖哪些内容呀？
大傻回复：

    好的企业文化会让优秀的员工越来越优秀，好的制度会让普通的员工变成优秀的员工。所以我要建立一套适何自己公司的标准和制度，技术标准和制度不难制定，难得是坚持执行，所以我必须建立一套监督机制。测试制度和技术标准从大的方面可以以下几项。

1、工作流程，如测试准入，测试退出准则等。

2、工作人员，性能测试人员技能要求等。

3、工作产品，测试用例评审标准等

4、工作环境，测试工具和日常工具版本标准等。

5、后勤保障，人员工资，奖金标准等。

liaoxj

回复82#
问题:
    老师：由于我们公司的测试正式规范起来还不到半年，许多制度还不是很完善，我想问下，我们测试什么时候介入项目比较好，为什么？我们公司是没有需求这一步的，现在的测试就是我们去问程序员需求，产生一份测试需求，但是这样很被动，最终会漏掉一些东西，但是由于测试在公司地位不是很高，直接参与到需求评审又不太可能。
大傻回复：
    测试肯定越早介入项目最好，这已经是测试的共识了，我们目前我是项目启动的时候就介入了，测试人员一般是需求开始的时候才真正的介入。
    需求评审测试人员一定要参加旁听也行，为什么不可能参加，作为部门领导该争取的时候一定要争取，可以要求项目经理让你参加评审会，有时脸皮要厚一些，他们在开评审会的时候，就是直接去参加，难道他还赶你不成。当然我们参加评审会时，功课一定要做好。到一定阶段时候你不想参加，他可能要指名道姓一定要你参加了。

liaoxj

回复83#
问题1：
   如何去做好自己负责的测试项目的费用预算和评估？
大傻回复：
   我们测试预算评佑有专门的评估方法，以前是跟开发一起，现在我们是独立核算，我们是根据项目规模和项目特性来计算测试预算费用的。先有方法，以后慢慢调整。
问题2：
   何权衡测试缺陷与测试质量的关系，怎样去把握这个度让开发人员和测试人员都满意？
大傻回复：

    权衡测试缺陷和测试质量肯定要根据项目目标和用户体验了，如果这个项目只是一个演示版那么测试标准就一样了。测试人员和开发人员如果目标一致就不会有矛盾了，当然如果你的机制也要好，如果开发人员的考核直接跟测试人员的缺陷挂钩，不打架才怪呢。

问题3：
   对一个系统的安全测试，大家有何好的建议，可以从哪些方面入手去测试？
大傻回复：

    安全性测试(security testing)是有关验证应用程序的安全服务和识别潜在安全性缺陷的过程。安全性测试并不最终证明应用程序是安全的，而是用于验证所设立策略的有效性，这些对策是基于威胁分析阶段所做的假设而选择的。

   软件安全性测试包括程序、网络、数据库安全性测试。根据系统安全指标不同测试策略也不同。

1.用户程序安全的测试要考虑问题包括：

a)明确区分系统中不同用户权限;

b)系统中会不会出现用户冲突;

c)系统会不会因用户的权限的改变造成混乱;

d)用户登陆密码是否是可见、可复制;

e)是否可以通过绝对途径登陆系统(拷贝用户登陆后的链接直接进入系统);

f)用户推出系统后是否删除了所有鉴权标记，是否可以使用后退键而不通过输入口令进入系统。

2.系统网络安全的测试要考虑问题包括：

a)测试采取的防护措施是否正确装配好，有关系统的补丁是否打上;

b)模拟非授权攻击，看防护系统是否坚固;

c)采用成熟的网络漏洞检查工具检查系统相关漏洞;

d)采用各种木马检查工具检查系统木马情况;

e)采用各种防外挂工具检查系统各组程序的客外挂漏洞。

3.数据库安全考虑问题：

a)系统数据是否机密(比如对银行系统，这一点就特别重要，一般的网站就没有太高要求);

b)系统数据的完整性;

c)系统数据可管理性;

d)系统数据的独立性;

e)系统数据可备份和恢复能力(数据备份是否完整，可否恢复，恢复是否可以完整)。

liaoxj

    我要做专家【你问我来答第14期]：CMMI评估探讨】今天结束了，我很高兴在这30天时间能够大家畅所欲言，我自己也成长了不少，很多问题我也查了很多资料，巩固了一下。在这里我非常感谢51testing给我这么一个平台让我能跟大家一起交流。
    本期也有很多遗憾就是由于个人知识面，文字表达能力欠缺和时间限制，无法跟大家更深入交流，希望经后机会跟大家面对面的交流。今天是中秋佳节，祝大家中秋快乐，阖家团圆！也希望大家经后多跟我交流。8月26号以后的问题不能及时回答，望见谅。

                                                                                                                                              大傻
                                                                                                                                     2011-9-12  22:59