OWASP ASVS: et fælles sprog for krav til applikationen

En kunde, der skriver ASVS niveau 2 i sit krav, har givet jer noget mere præcist end et ønske om en sikker applikation, men også noget, der kræver omhu at svare på. Et ja betyder, at en lang række bestemte krav er opfyldt og kan efterprøves. Svaret hviler på to ting: hvad OWASP selv siger om standarden, og hvor meget af den I faktisk har arbejdet med. Brugt rigtigt giver ASVS jer og kunden et fælles sprog; brugt løst bliver det et løfte, I ikke kan dokumentere.

Hvad ASVS er

Application Security Verification Standard udgives af OWASP, en nonprofitorganisation for applikationssikkerhed. OWASP beskriver ASVS som en ramme af sikkerhedskrav til design, udvikling og test af webapplikationer og webtjenester. Den seneste stabile udgave er version 5.0.0 fra maj 2025.

OWASP nævner tre formål: et mål for, hvor meget tillid en applikation fortjener, vejledning til dem, der bygger sikkerhedskontroller, og et grundlag for krav i kontrakter ved indkøb. Det sidste er grunden til, at kunder kan sætte ASVS ind i deres krav til jer. Hvordan kravene kan bruges i jeres egen specifikation, er beskrevet for sig. → Sikkerhedskrav i udviklingen

Niveauerne og det, kunden beder om

ASVS har tre niveauer, der bygger oven på hinanden. Ifølge OWASP indeholder niveau 1 de minimumskrav, man bør overveje, niveau 2 er det, de fleste applikationer ifølge OWASP bør stræbe efter, og niveau 3 er målet for applikationer, der skal kunne vise det højeste sikkerhedsniveau. Et højere niveau omfatter alle krav fra de lavere.

OWASP skriver også, at niveauet bør vælges ud fra organisationens egen risiko og ikke fastlægges udefra. Det er et argument, I kan bruge, hvis en kunde kræver niveau 3 af et produkt, hvor risikoen ikke står mål med det. Omvendt kan en kunde med følsomme data have gode grunde til at bede om mere end niveau 1. Har I kun brugt ASVS som inspiration, kan en egen gennemgang være et godt første skridt: et regneark med hvert krav på det niveau, kunden nævner, og jeres status ud for det. Det er ikke en uafhængig vurdering, men det viser kunden, at I ved, hvor I står, og det gør næste test lettere at afgrænse. → Forhandling af sikkerhedskrav

Version og kravnumre

Hvert krav i ASVS har et nummer opdelt i kapitel, afsnit og krav. OWASP anbefaler, at andre dokumenter og rapporter henviser med versionen foran, fx v5.0.0 efterfulgt af kravnummeret, og at et nummer uden version antages at pege på den nyeste udgave.

For et softwarehus er det en praktisk detalje med stor betydning. Har kunden skrevet kravnumre ind i et kontraktbilag uden version, kan de efter en ny udgave pege på andre krav, end da I skrev under. Bed om, at versionen står i bilaget, og angiv den selv i jeres svar. Når OWASP udgiver en ny version, kan I og kunden så aftale, om og hvornår I skal gå over til den, i stedet for at skiftet sker af sig selv.

Hvad en pentest siger om ASVS

En penetrationstest og en verifikation efter ASVS overlapper, men er ikke det samme. Testen leder efter svagheder i et aftalt omfang. En verifikation gennemgår krav for krav og noterer, hvilke der er opfyldt, hvilke der ikke er, og hvilke der ikke er relevante. OWASP anbefaler en form for test, hvor testeren har dokumentation eller kildekode til rådighed, og skriver, at test uden den nødvendige information er en ineffektiv måde at verificere på.

Hvis kunden vil have dokumentation for et ASVS-niveau, bør testen derfor bestilles med det formål: med niveau, version og en liste over de krav, der er med. En almindelig pentestrapport kan godt henvise til ASVS, men den viser ikke i sig selv, at et niveau er nået. Vær også forberedt på krav, der ikke passer til produktet. Har produktet ingen filhåndtering eller ingen login via en ekstern identitetsudbyder, er de tilhørende krav ikke relevante. OWASP forventer, at sådanne krav noteres med en begrundelse, og det samme kan kunden med rimelighed forvente af jer. → Kildekode til testeren

Ingen officiel certificering

OWASP certificerer hverken leverandører, testere eller software. Organisationer må ifølge OWASP gerne tilbyde vurderinger efter ASVS, så længe de ikke kalder det en officiel OWASP-certificering. OWASP beskriver desuden, at en rapport om en ASVS-vurdering bør angive omfang, niveau, de krav, der er efterprøvet, og begrundelse for krav, der er udeladt.

Skriv derfor aldrig, at produktet er ASVS-certificeret. Skriv i stedet, hvilket niveau og hvilken version I har vurderet jer op imod, hvem der har vurderet det, og hvornår. → Kunden henviser til en standard

Et tænkt eksempel

Et softwarehus leverer et system til patientbooking til private klinikker. En klinikkæde skriver i sit kontraktudkast, at produktet skal opfylde ASVS niveau 2. Softwarehuset har brugt ASVS som inspiration til sine krav, men aldrig gennemgået alle krav på niveau 2.

Softwarehuset svarer, at det arbejder efter udvalgte krav fra ASVS version 5.0.0, og vedlægger listen. Det foreslår, at klausulen ændres til, at en vurdering op imod niveau 2 gennemføres inden for den første kontraktperiode, og at kunden får et resumé med krav, der ikke er opfyldt, og en plan for dem. Testen af næste release bestilles med niveau 2 som udgangspunkt for omfanget.

Det skal I lade være med

Svare ja til et niveau, I ikke har gennemgået · hvert krav kan efterprøves.
Kalde produktet ASVS-certificeret · OWASP certificerer ikke.
Henvise til kravnumre uden version · numrene kan pege på andre krav i en ny udgave.
Bruge en almindelig pentestrapport som bevis for et niveau · den er ikke en gennemgang krav for krav.
Acceptere niveau 3 uden en risikovurdering · OWASP anbefaler at vælge niveau ud fra risikoen.

Hvad kan og ikke kan konkluderes

En vurdering efter ASVS kan vise, hvilke bestemte krav applikationen opfyldte i den version og det omfang, der blev vurderet. Den siger ikke, at applikationen er uden svagheder, og den dækker ikke det, der ligger uden for applikationen, som drift og organisation. En pentestrapport, der nævner ASVS, viser, hvad testen fandt, ikke at et niveau er nået.

Tjekliste, når kunden skriver ASVS

☐ Ved I, hvilket niveau og hvilken version kunden henviser til?
☐ Har I gennemgået kravene på det niveau, eller kun brugt dem som inspiration?
☐ Står versionen i kontraktbilaget?
☐ Er testen bestilt med niveau, version og kravliste, hvis den skal dokumentere et niveau?
☐ Undgår jeres tekster ordet certificeret om ASVS?
☐ Har I en plan for krav, der ikke er opfyldt?

Kilder

OWASP ASVS: version 5.0.0 fra 30. maj 2025; ramme af krav til design, udvikling og test af webapplikationer og webtjenester; formålene mål, vejledning og grundlag for krav i kontrakter.
OWASP ASVS 5.0: What is the ASVS: de tre niveauer, valg af niveau ud fra egen risiko, henvisning til krav med version foran, brug ved indkøb.
OWASP ASVS 5.0: Assessment and Certification: OWASP certificerer ikke; indholdet af en vurderingsrapport; test med adgang til dokumentation eller kildekode.

Senest gennemgået: oktober 2026.