TL;DR: Benchmarking av AppSec-programmet ditt mot OWASP ASVS
OWASP ASVS er en målestokk, ikke et sertifikat. Verdien avhenger av hva du måler med den, og av bevisene du kan vise når noen spør hvilket nivå søknaden din oppfyller.
- Det finnes ingen offisiell OWASP ASVS-sertifisering. En påstand om nivå er bare så sterk som bekreftelsen bak den, og det er derfor kjøpere og revisorer i økende grad spør hvordan den ble bekreftet.
- Organisasjoner bruker det på fire hovedmåter: som en sikker utviklingsbaseline, et penetrasjonstestomfang, et anskaffelseskrav og en gap-drevet veikart.
- Adopsjon bryter med omfang og eierskap, ikke med sikkerhetskunnskap. Mange krav viser seg å ikke være aktuelle, eller eies av et annet team.
- Versjon er viktig. ASVS 5.0 omstokket nivåene i 2025, så alle krav og alle kontrakter bør feste versjonen, for eksempel
v5.0.0. - Automatiser det du kan, bekreft resten. Skannerfunn som er tilordnet OWASP ASVS-krav-ID-er, holder deler av referanseindeksen oppdatert; designgjennomganger og testing dekker resten.
Nesten alle AppSec-team har hørt om OWASP Application Security Verification Standard, bedre kjent som OWASP ASVS. Langt færre kan si hvilket nivå applikasjonene deres faktisk oppfyller, eller bevise det for en revisor eller en kunde. Det er i dette gapet at OWASP ASVS tjener sin verdi, eller mister den.
Dette innlegget oppsummerer ikke standard, fordi standard gjør det bra. Den ser på hvordan organisasjoner faktisk bruker OWASP ASVS, hvor adopsjon skaper friksjon, hvordan standard har modnet på 18 år, og hvordan du kan sammenligne ditt eget program mot det.
Hva OWASP ASVS er, i ett avsnitt
OWASP ASVS ble lansert i 2008 og er en katalog over sikkerhetskrav for webapplikasjoner og API-er, som alle er skrevet slik at de kan verifiseres objektivt. Kravene er gruppert i tre kumulative nivåer, slik at innsatsen skaleres med en applikasjons risiko. I motsetning til rammeverk på organisasjonsnivå som ISO 27001, fungerer OWASP ASVS på nivå med konkrete krav som utviklere, testere og kjøpere alle kan bruke. Den nåværende versjonen, ASVS 5.0, ble utgitt live på Global AppSec EU i Barcelona i mai 2025.
18 år på modenhetsstigen
OWASP ASVS har endret seg mye siden 2008. Versjon 4.0 (2019) omstrukturerte standard rundt den nivådelte modellen, og 4.0.3 (2021) ble versjonen anskaffelsesteamene siterte i årevis. ASVS 5.0 moderniserte det: rundt 350 krav fordelt på 17 kapitler, et strømlinjeformet nivå 1 designet for å senke inngangsbarrieren, nye kapitler om web-frontend-sikkerhet og selvstendige tokens, og et dedikert nettsted.
Mønsteret gjennom disse 18 årene er tydelig: de standard modnet raskere enn adopsjonen. Mange organisasjoner refererer fortsatt til 4.x-krav i kontrakter og revisjoner, mens selve kravene har blitt endret.
Hvem bruker OWASP ASVS, og til hva?
Fem virkelige bruksområder, hva hver enkelt leverer, og hvor den har en tendens til å gå i stykker.
| Bruk | Hvem bruker det | Hva den leverer | Der den går i stykker |
|---|---|---|---|
| Sikker utviklingsgrunnlinje | Utviklere og arkitekter | En konkret definisjon av «sikker nok», brukbar som akseptkriterier | Hundrevis av krav, mange ikke relevante eller eies av et annet team |
| Penetrasjonstest og revisjonsomfang | Testere og revisorer | Rapporter som knytter funn til krav-ID-er og viser dekning, ikke bare en liste over feil | Resultatene kan ikke sammenlignes med mindre omfanget fester både nivået og versjonen. |
| Innkjøp og kontrakter | Risikoteam for kjøpere og leverandører | En tydelig grense i anbudsinnbydelser og kontrakter: «det leverte systemet skal oppfylle ASVS nivå 2» | Ingen offisiell sertifisering, så kjøperen må definere hvilke bevis de vil godta |
| GRC og samsvarsdokumentasjon | Compliance-team | Tilordninger til rammeverk som ISO 27001 og PCI DSS for revisjonsforberedelse | Forblir ofte teknisk standard som GRC-verktøy ikke sporer |
| Gapanalyse og veikart | AppSec-ledere | En nivåbasert gapliste som kan lukkes i faser | Blir fort gammelt med mindre det bekreftes på nytt som koden og standard endring |
Der adopsjonen skaper friksjon
De mest nyttige beretningene om OWASP ASVS-adopsjon kommer fra team som har gått gjennom det. Et detaljert eksempel er SoftwareMills rapport om implementering av ASVS nivå 2 i et eksisterende system, en moden mikrotjenesteplattform på Kubernetes. Fire lærdommer skiller seg ut, og de samsvarer med det vi ser på tvers av bransjen.
Det er ikke noe sertifikat på slutten. OWASP sertifiserer ikke ASVS-nivåer. I det prosjektet kombinerte verifiseringen penetrasjonstesting med en intern revisjon basert på et selvvurderingsskjema, gjentatt hvert år. Enhver påstand om «OWASP ASVS nivå 2» er en uttalelse om en verifiseringsprosess, og kjøpere lærer å spørre om prosessen.
Omfang krever mer arbeid enn sikkerhet. Av de 267 nivå 2-kravene teamet gjennomgikk, var mer enn halvparten allerede oppfylt, og 80 var ikke aktuelle. Noen krav tilhørte ikke teamet i det hele tatt: identiteten ble administrert av et annet internt team, som måtte bestå sin egen ASVS-sjekk. Et ASVS-nivå tilhører et system, og systemer krysser teamgrenser.
Versjoner driver. Mellom 4.0.3 og 5.0 ble noen krav flyttet mellom nivåer. Ett JSON-valideringskrav teamet hadde flagget ble flyttet fra nivå 1 til nivå 3 i den nye versjonen. En referanseindeks som ikke fester versjonsmålene sine mot et bevegelig mål.
GRC-spørsmålet er fortsatt åpent. OWASP ASVS ble utviklet for å fungere i kontrakter: kjøperen setter et kravnivå, og selgeren beviser at programvaren oppfyller det. I praksis bruker mange organisasjoner fortsatt OWASP ASVS hovedsakelig som et ingeniør- og testverktøy. Compliance-team kobler det til bredere rammeverk, men koblingen mellom en krav-ID og bevisene som beviser det er ofte manuell, noe som gjør kontinuerlig rapportering vanskelig.
Slik sammenligner du AppSec-programmet ditt mot OWASP ASVS
En praktisk referanseverdi starter ikke med krav 1.1.1. Den starter med decisjoner om omfang.
- Lagdel applikasjonene dine og tildel et målnivå. Nivå 1 som grunnlinje for alt, nivå 2 for applikasjoner som håndterer sensitive data, nivå 3 kun for kritiske systemer.
- Fest versjonen. Benchmark mot v5.0.0 og oppgi krav-ID-er sammen med den, slik at resultatene forblir sammenlignbare over tid.
- Omfang før du scorer. Merk krav som ikke aktuelt med en skriftlig begrunnelse, og navngi en eier for hvert krav som krysser teamgrenser.
- Automatiser det verifiserbare laget. Funn av kartskanner (kode, infrastruktur som kode, pipelines) til OWASP ASVS-krav-ID-er, slik at en del av referanseindeksen oppdateres med hver skanning i stedet for én gang i året.
- Bekreft resten for hånd. Arkitektur, forretningslogikk og prosesskrav trenger designgjennomganger, trusselmodellering og testing.
- Gjør hull om til en faseinndelt veikart. Lukk hull på nivå 1 i hele porteføljen før du flytter individuelle applikasjoner til nivå 2.
- Bekreft på nytt etter en tidsplan og etter større endringer. Årlig verifisering er et vanlig minimum. Kontinuerlig dokumentasjon fra verktøyene dine gjør den årlige gjennomgangen mye kortere.
Utover applikasjonen: ASVS og SPVS
OWASP ASVS dekker søknaden. Den dekker ikke pipeline som bygger og sender den, og det er der mange av de mest skadelige angrepene i forsyningskjeden nå havner. Det gapet er det OWASP Sikker Pipeline Verifisering Standard (SPVS) adresserer: et modenhetsbasert sett med kontroller på tvers av Planlegg, Utvikle, Integrer, Utgi og Drift, som nådde versjon 1.0 i oktober 2025.
De to standards jobber som et par: ASVS for hva du bygger, SPVS for hvordan du bygger det.
Hvordan Xygeni tilordner funn til OWASP ASVS
OWASP ASVS er en av standardXygeni fokuserer på de fleste, i tillegg til SPVS. Xygenis SAST, IaC og CI/CD Detektorer er merket med ASVS-kravet hver enkelt er knyttet til. Det endrer hva et funn betyr: det er ikke lenger bare «et problem i denne filen», det er bevis for eller imot et spesifikt krav i referanseindeksen din.
Disse funnene går over i Xygeni ASPM, hvor de prioriteres sammen med funn fra resten av stakken din. Pipeline funn fra Xygeni CI/CD Trygghet og IaC sjekker Utvid den samme logikken utover koden. Å vite hvilke krav verktøyene dine allerede oppfyller, lar deg fokusere manuell gjennomgang på de som virkelig trenger et menneske.
Se funnene dine tilordnet OWASP ASVS-kravene
En referanseverdi som oppdateres én gang i året beskriver fjorårets applikasjon. Kontakt for å se Xygeni-kartet SAST, IaCog CI/CD funn i henhold til OWASP ASVS-krav, eller start gratis og skann dine første arkiver i dag.
FAQ
Finnes det en offisiell OWASP ASVS-sertifisering?
Nei. OWASP sertifiserer ikke ASVS-nivåer. Organisasjoner verifiserer dem gjennom penetrasjonstesting, revisjoner og selvvurdering, så bevisene bak en påstand om et nivå er like viktige som påstanden.
Hva endret seg i ASVS 5.0?
Versjon 5.0, utgitt i mai 2025, har omtrent 350 krav fordelt på 17 kapitler, et strømlinjeformet nivå 1, nye kapitler som web-frontend-sikkerhet og oppdatert veiledning om kryptografi og autentisering.
Hvilket OWASP ASVS-nivå bør applikasjonen min sikte seg inn på?
Nivå 1 er grunnlinjen for enhver applikasjon, nivå 2 passer for de fleste forretningsapplikasjoner som håndterer sensitive data, og nivå 3 er for kritiske systemer der et brudd ville ha alvorlige konsekvenser.
Hva er forskjellen mellom OWASP, ASVS og SPVS?
OWASP ASVS definerer sikkerhetskrav for selve applikasjonen. SPVS definerer verifiserbare kontroller for pipeline som bygger, tester og leverer den.
