Ba cách đọc một chuẩn, và hai cách sai
ASVS có hơn 350 yêu cầu qua 17 chương. Cách bạn đọc nó quyết định nó có ích hay không.
| Cách đọc | Kết quả |
|---|---|
| Đọc từ đầu tới cuối | Bỏ ở chương 3. Không ai đọc hết một checklist 350 dòng |
| Đọc để tick ô | Một bảng toàn màu xanh không phản ánh gì. Ô nào khó thì được đọc thành "không áp dụng" |
| Đọc như một audit của chính mình | Có ích — nhưng chỉ khi bạn cho phép mình trả lời "không" |
Cách thứ ba khác cách thứ hai ở đúng một điểm, và điểm đó là toàn bộ giá trị: một ô "không đạt" là một kết quả có ích, còn một ô "không áp dụng" thường là một câu trả lời trốn tránh.
Ba cấp độ của ASVS, và chọn đúng cấp là bước đầu:
| Cấp | Cho ai | Bao nhiêu yêu cầu |
|---|---|---|
| L1 | Mọi ứng dụng. Kiểm được từ bên ngoài | ~130 |
| L2 | Ứng dụng xử lý dữ liệu thật. Mặc định đúng cho gần như mọi sản phẩm | ~270 |
| L3 | Y tế, tài chính, hạ tầng trọng yếu | ~350 |
Với một sản phẩm SaaS B2B thì L2 là câu trả lời, và tự đặt mục tiêu L3 là một cách đảm bảo không bao giờ hoàn thành gì.
Cách đọc thực dụng — không đọc theo chương, đọc theo tính năng. ASVS xếp theo chủ đề (V6 Authentication, V8 Authorization…) nhưng bạn không xây theo chủ đề. Nên cách dùng nó là: lấy một tính năng, tìm những yêu cầu áp dụng cho nó, và đi qua chúng. Một tính năng "chia sẻ báo cáo qua link" chạm vào V6, V7, V8 và V16 — bốn chương, khoảng hai mươi yêu cầu, và hai mươi yêu cầu là đọc được trong một giờ.
Và đây là điều làm báo cáo độ phủ có giá trị hơn một chứng chỉ: nó nói cả điều còn thiếu. Một dòng "V8 đạt, V5 chưa đánh giá, V11 không đạt ở ba yêu cầu" dùng được để lập kế hoạch; một dòng "đã hoàn thành đánh giá bảo mật" thì không dùng được để làm gì.
Bình luận
Bình luận cần tài khoản đã hoàn thành ít nhất một bài học. Điều kiện đó là thứ giữ cho luồng thảo luận này còn đáng đọc: mỗi ý kiến gắn với một người có thể bị hỏi lại, và reputation tích luỹ theo thời gian.
Bạn vẫn đọc được toàn bộ bình luận dưới đây mà không cần tài khoản. Đăng nhập xong bạn sẽ quay lại đúng chỗ này, không phải đầu trang.
Đang tải bình luận…