Anforderungen und Fähigkeit nicht verwechseln
Software Security braucht sowohl prüfbare Anforderungen an Anwendungen als auch wiederholbare organisatorische Fähigkeiten.
„Die Anwendung wurde getestet“ – aber gegen welche Anforderungen?
Ein Testbericht ist nur dann aussagekräftig, wenn klar ist, welche Sicherheitsanforderungen geprüft wurden und welches Niveau erwartet war. Für Software Security helfen Referenzmodelle, diese Fragen systematisch zu strukturieren.
OWASP Application Security Verification Standard (ASVS)
Prüfbare Anforderungen: Der Standard strukturiert Anforderungen zur Verifikation von Anwendungssicherheit. Er kann als Referenz für Sicherheitsanforderungen, Architekturprüfung und Tests dienen.
OWASP Software Assurance Maturity Model (SAMM)
Organisatorische Reife: Das Modell betrachtet die organisatorische Fähigkeit, Software Security systematisch aufzubauen und weiterzuentwickeln. Es ist damit keine Prüfliste für eine einzelne Anwendung.
Anwendung prüfen und Entwicklungsfähigkeit bewerten sind zwei verschiedene Fragen
ASVS hilft bei der Frage „Welche Sicherheitsanforderungen soll diese Anwendung erfüllen und wie prüfen wir sie?“. SAMM hilft bei der Frage „Wie reif und wiederholbar ist unser Software-Security-Programm?“. Beide können zusammenpassen, erfüllen aber unterschiedliche Aufgaben.
Worauf diese Seite gestützt ist
OWASP Application Security Verification Standard (ASVS)
OWASP Application Security Verification Standard.
OWASP Software Assurance Maturity Model (SAMM)
Open Software Assurance Maturity Model für Software-Security-Praktiken.