D-15 Validaties werken op de server: foute, ontbrekende, te lange en kwaadwillige invoer wordt door de server geweigerd, niet alleen in het scherm
Nieuw, voorstel voor de volgende versie van de norm
Waarom
Zonder automatische tests en beveiligingsscans in de pipeline glipt elke fout ongemerkt naar productie.
Hoe we het controleren
Methode: keurder (test) + aanvalstest
- Keurder: een erkende keurder bekijkt het bewijs of de plekken die de scan aanwijst, en legt het oordeel vast.
- Aanvalstest: een geautomatiseerde aanval op de draaiende app in een testomgeving.
Op welk niveau
| Niveau 1 · Basisscan | – niet |
|---|---|
| Niveau 2 · Gekeurd | ● verplicht |
| Niveau 3 · Gekeurd Plus | ● verplicht |
| Niveau 4 · Kritiek | ● verplicht |
Norm of wet
OWASP ASVS V5; ISO/IEC 27002 8.26
Standaardernst
Hoog Een keurder mag hiervan afwijken, met een motivatie in het rapport.