Elegir el nivel según los datos y el riesgo

Cada requisito de ASVS lleva un nivel. El nivel 1 reúne cerca del 20 % de los requisitos: las defensas de primera línea contra ataques comunes que no necesitan otra debilidad previa. Es el punto de partida, no una meta para aplicaciones con datos personales. El nivel 2 añade cerca del 50 %: defensas contra ataques menos comunes y protecciones más elaboradas, y es al que apunta la mayoría de las aplicaciones. El nivel 3 reúne el resto, cerca del 30 %: defensa en profundidad y controles difíciles de implementar, para lo que exige la máxima garantía.

En la versión 4.0 el primer nivel se presentaba como lo que se puede comprobar desde fuera, sin acceso al código. La 5.0 dejó ese criterio: los niveles se ordenan por reducción de riesgo y por esfuerzo, y el nivel 1 puede necesitar leer documentación o código para verificarse.

El estándar da ejemplos (una empresa que empieza puede apuntar al nivel 1; un banco puede necesitar el 3), pero no impone el nivel: cada organización analiza su riesgo, lo sensible de la aplicación y lo que esperan sus usuarios. Lo sano es que ese análisis quede en un criterio aprobado, para que el nivel no dependa de quién escribe el documento ni de cuánto tiempo queda en el proyecto.

Abre el laboratorio: criterio-de-niveles.txt y aplicaciones.txt. Fíjate en las funciones sensibles, no solo en los datos.

En la reunión de arranque, el jefe de proyecto propone que el portal de arrendatarios apunte al nivel 1 «para salir rápido» y subir después. El portal guarda cédulas, certificados laborales y extractos bancarios de unas 4.200 personas y recibe pagos.

Bajar el nivel no quita el riesgo: solo deja sin requisito, y por tanto sin prueba, lo que protege esos datos.

Elegir un nivel no impide tomar requisitos del siguiente: el estándar contempla que la organización adelante los que su propio riesgo exige. Un portal de nivel 2 que guarda fotos de documentos de identidad puede necesitar algo que ASVS deja para el nivel 3, porque esas fotos suelen llevar dentro datos que nadie pidió (dónde se tomó, con qué teléfono).

El criterio de Chirimoyo describe un adelanto con palabras, sin dar el número. Encuéntralo en extracto-requisitos-l3.txt.

Los niveles son acumulativos. Una aplicación de nivel 2 no cumple solo los requisitos marcados con un 2: cumple todos los del nivel 1 y además los del 2. Con los porcentajes de la tarea 1, eso es cerca del 70 % del estándar después de los recortes que correspondan.