Mapear ASVS a los controles proactivos y a OpenCRE

Los controles proactivos de OWASP (la edición vigente es la de 2024) son diez prácticas que todo desarrollador debería aplicar al construir: van del control de acceso a la protección contra peticiones que el servidor hace en nombre del usuario. Están escritos para enseñar y para guiar el diseño, con ejemplos y recomendaciones. ASVS, en cambio, está escrito para comprobar: frases que se pueden verificar una por una.

Por eso se complementan. La formación del equipo se puede organizar por los diez controles, y el documento de requisitos y las pruebas, por ASVS. El mapa entre los dos le dice a cada desarrollador qué requisitos de su aplicación corresponden a lo que aprendió.

Ni ASVS ni los controles proactivos traen un mapa oficial del uno al otro: el que existe lo arma el equipo, y por eso hay que revisarlo como cualquier otro documento. Un requisito mal mapeado manda a quien lo construye a estudiar el tema equivocado.

Abre el laboratorio: lee controles-proactivos-2024.txt y después mapa-del-equipo.txt. Hay una nota del equipo que justifica un mapeo con un argumento de palabras, no de tema.

Un control proactivo sin ningún requisito mapeado puede ser un hueco (algo que la aplicación hace y nadie pidió verificar) o una decisión (algo que la aplicación no hace). La diferencia está escrita, o debería estarlo, en el documento de requisitos.

OpenCRE es un proyecto abierto de OWASP que funciona como un índice común de requisitos de seguridad: define temas comunes y enlaza con cada uno las secciones de muchos estándares y guías que tratan ese tema (ASVS, los controles proactivos, CWE, normas ISO y de NIST, entre otros). Desde un requisito de ASVS se llega al tema común y desde ahí a todo lo que otros documentos dicen sobre lo mismo. La edición 5.0 de ASVS quitó de su texto los mapeos directos a otros estándares, incluidos los de CWE, y anunció que los relacionará a través de este índice.

Un enlace dice que dos textos hablan del mismo tema; no que digan lo mismo, ni con la misma exigencia.

El mapa termina con un requisito marcado «no aplica» y su motivo. Un motivo así es verdad mientras la aplicación no cambie. Lee hoja-de-ruta.txt: una de las funciones previstas para el trimestre siguiente hace falso el motivo.