Los tres niveles de ASVS y cuál toca a cada aplicación

ASVS 5.0.0 (publicada por OWASP en 2025) reúne unos 350 requisitos en 17 capítulos y los reparte en tres niveles: L1, L2 y L3. El estándar los describe por prioridad, comparando cuánto riesgo reduce cada requisito con lo que cuesta cumplirlo. L1 es el mínimo y el punto de partida; L2 es el nivel al que deberían aspirar la mayoría de las aplicaciones; L3 recoge sobre todo defensas en profundidad y controles difíciles de implementar.

Los niveles se acumulan: para cumplir L2 se cumplen los requisitos de L1 y los de L2. El propio estándar no impone un nivel a cada aplicación: dice que cada organización debe analizar sus riesgos y decidir cuál le corresponde según la sensibilidad de la aplicación y lo que esperan sus usuarios.

Níspero Salud Digital tiene un criterio interno aprobado por su comité: qué datos y qué usuarios llevan a cada nivel. Abre el inventario de aplicaciones y el criterio con cat y cruza lo que trata cada aplicación con las reglas. Fíjate en las que parecen menos delicadas: el criterio habla también de las aplicaciones internas.

Cumplir un nivel es cumplir todos sus requisitos y los de los niveles inferiores. El archivo asvs/extracto-asvs.txt es una muestra de 14 requisitos reales de la versión 5.0.0, parafraseados, con su nivel. Cuenta cuántos de esos 14 debería cumplir una aplicación cuyo nivel objetivo es L2.

Cada requisito se cita con su número de capítulo, sección y requisito, y con la versión para evitar ambigüedades (por ejemplo, v5.0.0 seguida del número). Un requisito que no se puede localizar por su número no se puede enlazar a una prueba, que es de lo que trata esta ruta. En el extracto hay uno de L3 sobre eliminar los datos sensibles según un plazo.

ASVS está dividido en capítulos para poder filtrar los que no aplican: una API que solo habla con otras máquinas no tiene interfaz web, y los requisitos del capítulo de interfaz web no le sirven. Aun así, nadie debería quitar un capítulo en silencio, porque más adelante una auditoría preguntará por qué falta.