Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
OWASP ASVS
О документе
Что это OWASP ASVS (Application Security Verification Standard) — открытый каталог проверяемых требований к безопасности приложения, сгруппированных по разделам (аутентификация, сессии, контроль доступа, валидация ввода, криптография и т.д.) с тремя уровнями строгости (L1–L3). ASVS — про безопасность самого приложения, поэтому к SCA он относится по касательной: компонентный анализ закрывает лишь узкий срез его требований.
В курсе ASVS важен как граница: он показывает, где заканчивается зона ответственности SCA/OSA (управление зависимостями) и начинается AppSec (логика приложения, которую SBOM не видит). Прямую опору на SCA даёт прежде всего раздел зависимостей и безопасной конфигурации.
Ключевые требования
- Управляемые зависимости. Раздел про зависимости требует, чтобы все используемые компоненты были инвентаризированы, актуальны и проверены на известные уязвимости — это точка стыка с SCA.
- Уровневость (L1–L3). Глубина проверки выбирается по критичности приложения; для каждого требования фиксируется применимый уровень.
- Проверяемость. Каждое требование сформулировано как verifiable: его можно подтвердить тестом, ревью или артефактом, а не декларацией.
- Безопасная конфигурация и сборка. Требования к управлению секретами, конфигурацией и зависимостями, которые частично подтверждаются артефактами цепочки поставки.
- Большинство разделов вне SCA. Контроль доступа, валидация, криптография в коде приложения — это AppSec-зона; SBOM/VDR их не доказывают.
Что считать evidence
Артефакты соответствия (по разделу зависимостей — пересечение с SCA) - Отчёт SCA-сканера + SBOM как доказательство «зависимости инвентаризированы и проверены». - CI-gate, проверяющий устаревшие/уязвимые компоненты перед сборкой. - Для остальных разделов ASVS evidence — это результаты AppSec-проверок (DAST/SAST/ручной аудит), которые SCA не заменяет и не порождает.
Граница зон ответственности (что доказывает SCA, а что — нет):
| Раздел ASVS | Доказывается ли через SCA? | Артефакт |
|---|---|---|
| Управление зависимостями | Да | SBOM + отчёт SCA-сканера, CI-gate |
| Аутентификация, доступ, валидация | Нет | Результаты DAST/SAST/ручного аудита |
| Криптография в коде приложения | Нет | AppSec-проверки, ревью кода |
Маппинг на практики и шаблоны
- Пересечение с SCA реализуется в CI-гейте: П16. GitLab CI security gate и Требования к CI security gate.
- Непрерывный контроль зависимостей: П08. Dependency-Track как портфель SBOM.
- Трассировка требований к артефактам: Матрица соответствия требованиям.
- Контекст: ASVS задаёт рамку AppSec, в которую SCA встроен как часть — см. М01. Границы SCA/OSA.
Ограничение
Это учебная карточка Карточка показывает только стык ASVS с SCA и сознательно не пересказывает остальные разделы. Полный перечень требований и привязку уровней L1–L3 для аудита сверять с актуальной редакцией OWASP ASVS и регламентами Организации.