Qué es MASVS y qué es MASTG

El estándar de verificación (MASVS, por Mobile Application Security Verification Standard) es una lista corta de requisitos escritos en un nivel alto: «la app almacena de forma segura los datos sensibles», «la app protege todo el tráfico de red». No dice qué herramienta usar ni qué archivo abrir. Dice qué debe ser cierto de una app para que se la considere segura en ese aspecto. Por eso es el vocabulario del informe: un hallazgo se expresa como el requisito que incumple.

La guía de pruebas (MASTG, por Mobile Application Security Testing Guide) es el otro lado: para cada requisito explica cómo se comprueba en cada plataforma, con qué técnicas y qué señales buscar. Un requisito sin prueba se queda en deseo; una prueba sin requisito no sabe qué está midiendo. Se necesitan las dos.

Entre el requisito y la prueba hay una pieza intermedia: la enumeración de debilidades (MASWE, por Mobile Application Security Weakness Enumeration). Una debilidad es un fallo concreto que incumple un requisito, por ejemplo «datos sensibles guardados sin cifrar en el almacenamiento privado». Cada debilidad se numera como MASWE-nnnn, apunta al requisito del estándar que incumple y a las pruebas de la guía que sirven para detectarla.

La cadena completa se lee así: el requisito del estándar es lo más general, la debilidad describe cómo se incumple, y la prueba de la guía dice cómo comprobar si ocurre. Abre en el laboratorio la tabla componentes y fíjate en el formato de identificador de cada pieza.

MASVS agrupa sus requisitos en ocho grupos: almacenamiento, criptografía, autenticación, red, plataforma, código, resiliencia y privacidad. Cada requisito se llama «control» y su identificador sigue la forma MASVS-GRUPO-n: el prefijo del grupo y un número de orden dentro de él. Con ese identificador un hallazgo se cita sin ambigüedad: quien lea «MASVS-STORAGE-1» sabe exactamente de qué requisito se habla, sin importar el idioma del informe.

En el laboratorio, la tabla controles trae el identificador y el enunciado de cada uno. Los enunciados están traducidos libremente del original; el identificador es el oficial. Un hallazgo sobre el tráfico que la app manda a sus propios servidores no cae en el control genérico de red, sino en uno más específico del mismo grupo.

El estándar es deliberadamente corto: mantiene un nivel de abstracción alto y deja los detalles a la guía de pruebas. Cada grupo tiene entre dos y cuatro controles, y el catálogo completo se recorre en una tarde. Conocer su tamaño importa por una razón práctica: una evaluación honesta dice cuántos controles cubrió de los que tenía que cubrir, y para eso hay que saber cuál es el total de partida.

En la tabla grupos está el número de controles de cada grupo. Suma los de los ocho grupos y comprueba que coincide con las filas de controles.