NIST SP 800-115 è la Guida tecnica ai test e alla valutazione della sicurezza delle informazioni. Descrive come pianificare ed eseguire test di sicurezza come scansione delle vulnerabilità, audit delle password, test delle applicazioni web e penetration test. L'obiettivo è trasformare i controlli di sicurezza in un processo ripetibile e documentato, invece che in un'attività svolta caso per caso.
È importante perché difese efficaci dipendono dalle prove, non dalle ipotesi. In pratica, i team usano indicazioni come SP 800-115 per definire ambito, autorizzazione, metodi di test, reporting e misure di salvaguardia prima che qualunque scanner o tester tocchi i sistemi di produzione. Questo aiuta a ridurre il rischio dei test intrusivi migliorando al tempo stesso la copertura di applicazioni, host e infrastruttura di rete. Negli attacchi, le stesse tecniche vengono usate in modo offensivo per trovare controlli deboli, quindi i difensori hanno bisogno di autorizzazioni solide, registrazione dei log e piani di ripristino. SP 800-115 è spesso citato insieme a framework come OWASP ASVS quando le organizzazioni vogliono una verifica continua che i controlli funzionino ancora mentre gli ambienti cambiano.