Hallazgos mapeados a OWASP MASVS

OWASP MASVS reúne sus controles en ocho grupos: almacenamiento, criptografía, autenticación y autorización, red, interacción con la plataforma, calidad del código, resistencia y privacidad. En un informe, el grupo cumple una función práctica: clasifica el hallazgo en el área del control que se corrige, para que cada equipo reciba lo suyo.

Lo que el grupo no hace es medir. Un hallazgo de resistencia puede ser informativo y uno de autenticación, crítico, pero la severidad sale de otra parte, de la rúbrica del encargo. Mezclar las dos cosas es un error frecuente: «está en el grupo de autenticación, luego es grave».

Cada hallazgo va a un grupo principal, el del control que se corrige; si dudas entre dos, anotas el principal y mencionas el otro en el texto. Abre referencia/grupos-masvs.txt y hallazgos/borradores.txt. Para clasificar, no mires la herramienta ni la técnica de prueba: mira la causa y qué control la cierra.

Empieza por el hallazgo que cualquiera pondría primero: el de la API que devolvió movimientos de una cuenta ajena.

Agrupar sirve para ver el conjunto: cuántos hallazgos caen en cada área le dice al cliente dónde está su deuda. Para contar bien, clasifica primero los ocho y después cuenta; no sumes de memoria. Los hallazgos que dejan datos escritos en el dispositivo (archivos, copias de respaldo, registros) comparten grupo aunque se hayan encontrado con herramientas distintas.

Un hallazgo cae en un grupo y eso no lo hace grave. Pasa mucho con la resistencia a la manipulación: la app opera en un dispositivo con acceso de superusuario sin avisar, no se observó ningún dato expuesto por esa causa. Se clasifica en su grupo y se redacta con honestidad: lo que es, lo que no se demostró y que es una mejora, no un fallo con efecto observado.

Cuando ya clasificaste los ocho hallazgos, algunos grupos quedan sin ninguno. Eso no significa que el área esté bien: significa que en lo que se probó, con las cuentas y la versión de la carta, no se observó nada. La frase del informe es «sin hallazgos en el alcance probado», y la sección de limitaciones dice qué no se miró.

Cuenta cuántos de los ocho grupos del marco quedan vacíos tras tu clasificación.