ISO/IEC17025是檢測和校準(zhǔn)實驗室能力的國際通用準(zhǔn)則，不規(guī)定安全測試應(yīng)該測哪些漏洞，而是規(guī)定一個實驗室要具備什么條件，它出具的安全測試結(jié)果才值得被信任。對軟件安全測試而言，這層信任基礎(chǔ)設(shè)施的意義比很多人意識到的更重。

它約束的是過程，而安全測試Zui怕的恰恰是過程不可靠。滲透測試和代碼審計的結(jié)論高度依賴執(zhí)行者的判斷：同一套系統(tǒng)，不同的人測，發(fā)現(xiàn)的漏洞可能天差地別。ISO/IEC17025要求實驗室對測試方法進(jìn)行確認(rèn)、對結(jié)果有效性進(jìn)行監(jiān)控、保留原始觀察數(shù)據(jù)和完整的技術(shù)記錄，并確保人員具備相應(yīng)能力。這意味著依據(jù)17025運(yùn)行的實驗室，其安全測試報告背后有可追溯的用例設(shè)計、工具配置、人工驗證步驟和復(fù)核記錄，而不是一份專家憑經(jīng)驗寫的結(jié)論。在司法舉證、監(jiān)管核查和甲方驗收場景中，這種可追溯性直接決定報告能不能被采信。

CNAS認(rèn)可就是17025在中國實驗室場景的落地評審。 軟件安全測試機(jī)構(gòu)持有CNAS認(rèn)可，意味著其管理體系和技術(shù)能力經(jīng)過了按17025準(zhǔn)則的同行評審，認(rèn)可范圍附件里會明確列出被認(rèn)可的檢測對象、項目和依據(jù)標(biāo)準(zhǔn)。委托方核驗時看的不是有沒有17025證書，而是CNAS范圍附件里安全測試相關(guān)標(biāo)準(zhǔn)是否在列、機(jī)構(gòu)的狀態(tài)是否有效。范圍不覆蓋，報告的技術(shù)可信度就沒有制度性背書。

17025對結(jié)果有效性的要求，正好擊中安全測試的一個軟肋。 漏洞掃描工具會更新規(guī)則庫，滲透測試的手法在演化，代碼審計的規(guī)則集也需要持續(xù)校準(zhǔn)。17025要求實驗室有計劃地監(jiān)控結(jié)果有效性，參加能力驗證或?qū)嶒炇议g比對，并對工具和方法的變更進(jìn)行確認(rèn)。一個不參與任何能力驗證、不記錄工具版本和規(guī)則庫日期的安全測試團(tuán)隊，其報告在一年后是否還能復(fù)現(xiàn)同樣的結(jié)論，要打一個很大的問號。

需要區(qū)分的是：ISO/IEC 17025不是安全測試的技術(shù)標(biāo)準(zhǔn)，不替代 OWASP Testing Guide、GB/T 39412或等保要求中的具體測試項。管的是實驗室有沒有能力穩(wěn)定地按那些標(biāo)準(zhǔn)做事。選擇安全測試機(jī)構(gòu)時，17025/CNAS是判斷過程可靠性的入口，進(jìn)入入口之后，仍然要追問具體的安全測試方法和人員實戰(zhàn)經(jīng)驗。