OpenCRE y mapeo entre catálogos

OpenCRE (Open Common Requirement Enumeration) es un proyecto de OWASP que enlaza estándares y guías de seguridad entre sí mediante requisitos comunes, con una plataforma web y una interfaz de programación abiertas. En lugar de mapear cada catálogo contra todos los demás, cada uno se enlaza al requisito común que trata su mismo tema, y los demás se alcanzan a través de él. Con N catálogos hacen falta N enlaces por tema, no N por N.

En esta sala los identificadores del mapa son inventados, con una forma parecida a la del catálogo real: lo que se practica es el método.

Ejecuta SELECT * FROM enlaces y, si hace falta, SELECT * FROM requisitos_comunes. Quieres saber por qué requisito común pasan, a la vez, el requisito 8.2.2 de ASVS y la política interna POL-ACC-04.

La política interna tiene ocho documentos (SELECT * FROM politicas). Una política sin enlace a ASVS no tiene detrás ningún requisito verificable de ese catálogo: puede ser legítima, pero exige decidir con qué se comprobará. Cuenta cuántas de las ocho no aparecen en ningún enlace con ASVS.

El hospital cliente envió un cuestionario con referencias que empiezan por CLI. Cuando una pregunta del cuestionario responde al mismo requisito común que una política tuya, ya sabes con qué evidencia contestarla. Busca la referencia del cuestionario que trata la eliminación de datos al cumplirse su plazo.

Un enlace entre ASVS 8.2.2 y la política POL-ACC-04 dice que tratan el mismo tema. No dice que la política exija lo mismo que ASVS, ni que tu aplicación lo cumpla. Las redacciones, los niveles y el alcance pueden diferir.