Aller au contenu

Comment utiliser le Top 10 OWASP en tant que standard

Le Top 10 OWASP est avant tout un document informatif. Cependant, cela n'a pas empêché un bon nombre d'organisations de l'utiliser en tant que standard de facto dans l'industrie de la sécurité des applications depuis son lancement en 2003. Si vous souhaitez utiliser le TOP 10 OWASP en tant que standard de développement ou de réalisation de tests, sachez qu'il doit être considéré comme point de départ et qu'il ne couvre que le strict minimum.

Une des difficultés a utiliser le TOP 10 OWASP en tant que standard est que nous ne documentons que les risques de sécurité des applications et que certains problèmes ne sont pas nécessairement simples à tester. Par exemple, le [A04:2021-Conception non sécurisée] va au-delà de la plupart des méthodes de tests. Un autre exemple est le test de l'efficacité des pratiques de journalisation et de surveillance en place, qui ne peut être fait que par le biais d'interviews et d'une demande d'exemples concrets de réponses à incident. Un outil d'analyse de code statique peut vérifier l'absence de journalisation, mais il lui sera sans doute incapable de déterminer si les parties de logique métier ou de contrôle d'accès journalisent les atteintes critiques à la sécurité. De même des pentesters ne pourraient qu'être capables de déterminer s'ils ont provoqué une réponse à incident dans environnement de test, qui est rarement surveillé de la même manière qu'un environnement de production.

Voici nos recommendations sur les utilisations appropriées du Top 10 OWASP:

Cas d'utilisation OWASP Top 10 2021 Standard OWASP de vérification de la sécurité applicative
Sensibilisation Oui
Entraînement Niveau débutant Global
Conception et architecture Parfois Oui
Normes de codage Strict minimum Oui
Revue de code Strict minimum Oui
Examen par des pairs (checklist) Strict minimum Oui
Tests unitaires Parfois Oui
Tests d'integration Parfois Oui
Tests d'intrusion Strict minimum Oui
Outil de support Strict minimum Oui
Chaîne logistique sécurisée Parfois Oui

Nous encourageons quiconque voulant adopter un standard de sécurité des applications à utiliser le Standard de vérification de sécurité des applications OWASP (SVSA), celui-ci est conçu pour la vérification et les tests et peut être utilisé au cours de chaque étape d'un cycle de développement sécurisé.

Le SVSA est le seul choix acceptable pour les fournisseurs de solutions. Les outils ne peuvent pas tester, détecter ou protéger de tous les risques du Top 10 OWASP en raison de la nature de plusieurs de ceux-ci (ex. A04:2021-Conception non sécurisée). L'OWASP décourage toute affirmation qu'un outil offre une couverture complète du Top 10 OWASP, car c'est simplement faux.