Requisitos de verificación: ASVS por nivel

OWASP ASVS (Application Security Verification Standard) es una lista de requisitos de seguridad verificables para aplicaciones. Su versión 5.0.0, publicada en 2025, los reparte en tres niveles: el 1 es la base mínima, el 2 cubre las prácticas habituales de una aplicación con datos de clientes y el 3 es para las de alto valor, donde un fallo cuesta mucho.

El nivel no se elige por el tamaño de la empresa ni por lo que cueste: se elige por lo que hay en juego en esa aplicación. Un mismo equipo puede tener un sitio público verificado al nivel 1 y una pasarela de cobro al nivel 3.

La política de Ceibalito fija un nivel por clase de aplicación. El auditor compara dos columnas: el nivel que la política exige para la clase y el nivel que el equipo asignó. Si el asignado es menor, la aplicación se verifica con menos rigor del que su riesgo pide.

Abre politica_de_nivel y aplicaciones y cruza por la clase.

Una cifra de cobertura honesta cuenta solo lo verificado. Un requisito puede estar en tres estados: verificado, no verificado o no aplica. Lo no verificado es trabajo pendiente; lo que no aplica necesita una justificación que otra persona pueda leer.

En requisitos_de_caja_y_pagos aparecen los requisitos de los tres niveles, porque el nivel 3 incluye lo del 1 y el 2. La aplicación necesita el nivel 3.

Declarar que un requisito no aplica es legítimo: la aplicación puede no tener esa función. Pero sin una razón escrita es indistinguible de un requisito que alguien no quiso mirar. La evidencia de un «no aplica» es su justificación: qué hay en el diseño que lo hace innecesario y dónde se comprueba.

Revisa la columna justificacion de los requisitos con estado No aplica.

El informe de verificación de una aplicación debe poder leerlo alguien que no estuvo. Lo mínimo: la versión de la norma usada, el nivel objetivo, los requisitos que aplican, los verificados con su evidencia y los pendientes con responsable y fecha.