Vai al contenuto

Come usare la OWASP Top 10 come standard

La OWASP Top 10 è principalmente un documento per diffondere consapevolezza. Tuttavia, questo non ha impedito alle organizzazioni di usarlo come standard de facto per l'AppSec sin dal suo inizio nel 2003. Se volete usare la OWASP Top 10 come standard di codifica o di test, sappiate che è il minimo indispensabile e solo un punto di partenza.

Una delle difficoltà nell'usare la OWASP Top 10 come standard è che documentiamo i rischi di sicurezza delle applicazioni, e non necessariamente problematiche facilmente testabili. Per esempio, A04:2021-Insecure Design è oltre la portata della maggior parte delle forme di test. Un altro esempio è il test sul posto, in uso, ed efficace dei log e il monitoraggio degli stessi che può essere fatto solo con interviste e con la richiesta di un campione di risposte agli incidenti di sicurezza. Uno strumento di analisi statica del codice può cercare l'assenza di istruzioni di logging, ma potrebbe essere impossibile determinare se la logica di business o il controllo degli accessi sta registrando violazioni della sicurezza. I penetration tester possono essere in grado solo di determinare che hanno invocato la procedura di incident response in un ambiente di test, ambienti che sono raramente monitorati allo stesso modo dell'ambiente di produzione.

Ecco le nostre raccomandazioni per quando è appropriato usare la OWASP Top 10:

Caso d'uso OWASP Top 10 2021 OWASP Application Security Verification Standard
Awareness Si
Training Livello base Completo
Design and architecture Occasionalmente Si
Coding standard Minimo indispensabile Si
Secure Code review Minimo indispensabile Si
Peer review checklist Minimo indispensabile Si
Unit testing Occasionalmente Si
Integration testing Occasionalmente Si
Penetration testing Minimo indispensabile Si
Tool support Minimo indispensabile Si
Secure Supply Chain Occasionalmente Si

Incoraggiamo chiunque voglia adottare uno standard di sicurezza per le applicazioni ad utilizzare lo standard OWASP Application Security Verification Standard (ASVS), poiché è progettato per essere verificabile e testato, e può essere usato in tutte le parti del un ciclo di vita di sviluppo sicuro del software.

L'ASVS è l'unica scelta accettabile per chi produce strumenti di testing. Gli strumenti non possono rilevare, testare o proteggere in modo esaustivo contro la Top 10 di OWASP a causa della natura di molti dei rischi OWASP Top 10, ad esempio A04:2021-Insecure Design. OWASP scoraggia qualsiasi pretesa di copertura completa della OWASP Top 10, perché è semplicemente falso.