Qué se deberá testear, los positivos o los negativos o ambos.

Hola, me gustaría saber qué se deberá testear, los positivos o los negativos o ambos casos. 
por ejemplo tengo una regla en la que los usuarios con role admin pueden modificar los registros que les pertenencen en este caso "lugares" (se llama la tabla)
mi duda es como escribir el test
1.- debería testear que un usuario admin no debe modificar un registro que no le pertenece y esperar un estatus 403
o 2.- debería testear que un usuario admin puede editar su registros 
3.- o debería de escribir los 2 test para asegurar que puede modificar sus registros y no puede modificar los registros que no le pertenecen.

Saludos