OWASP ASVSベンチマーク (Open Source)

DefectDojoは、Webアプリケーションの技術的なセキュリティ管理をテストするための基準を提供するOWASPアプリケーションセキュリティ検証標準（ASVS）に対して、製品をベンチマークすることをサポートしています。

ベンチマークを使用すると、製品が組織の定めたセキュリティ要件をどの程度満たしているかを測定し、その可視性のためにスコアを製品ページに公開できます。

ベンチマークへのアクセス

ベンチマークは製品ページから利用できます。ベンチマークビューを開くには、製品ページの右上にあるドロップダウンメニューを選択し、メニューの下部にあるOWASP ASVS v.3.1を選択します。

OWASP ASVSは、検証範囲の3つのレベルを定義しています。

レベル1 – すべてのソフトウェアが対象です。最も重大なセキュリティ要件を最も低いコストで検証します。これはDefectDojoのデフォルトレベルです。
レベル2 – 機密データを含むアプリケーションが対象です。ほとんどのアプリケーションに適しています。
レベル3 – 高額な取引を扱う、または機密性の高い医療・財務・安全データを保存するなど、最も重要なアプリケーションが対象です。

ベンチマークビューの右上にあるドロップダウンを使用して、レベルを切り替えることができます。

ベンチマークビューの左側には、選択したASVSレベルにおける製品の現在のスコアが表示されます。

公開チェックボックスを有効にすると、ASVSスコアが製品ページに直接表示されます。

チームがASVSコントロールに取り組む中で、個々のベンチマークエントリを合格または不合格としてマークできます。デフォルトのASVSセット以外の追加のベンチマークエントリは、Django管理サイトを通じて追加または更新できます。