Lista dobrych praktyk bezpieczeństwa dla programistów? OWASP Top Ten Proactive Controls Project.

Mamy OWASP Top Ten, mamy OWASP ASVS (również w wersji mobilnej) – ale to dokumenty albo dla zupełnie początkujących (Top Ten), albo dla zaawansowanych i to z nastawieniem na testy (ASVS).

Projekt OWASP udostępnia jednak mniej znany OWASP Top Ten Proactive Controls Project – czyli zestaw zaleceń dla programistów, dotyczący bezpiecznego tworzenia oprogramowania:

The goal of the OWASP Top 10 Proactive Controls project (OPC) is to raise awareness about application security by describing the most important areas of concern that software developers must be aware of. We encourage you to use the OWASP Proactive Controls to get your developers started with application security. Developers can learn from the mistakes of other organizations.

Dokument jest całkiem rozbudowany (około 30 stron „czystych” zaleceń) i znajdziemy w nim też takie elementy jak: wskazanie benefitów wdrożenia danego punktu, masa zewnętrznych linków, czy odnośniki do przydatnych narzędzi. Listę wszystkich zaleceń z Top Ten znajdziecie poniżej:

C1: Define Security Requirements
C2: Leverage Security Frameworks and Libraries
C3: Secure Database Access
C4: Encode and Escape Data
C5: Validate All Inputs
C6: Implement Digital Identity
C7: Enforce Access Controls
C8: Protect Data Everywhere
C9: Implement Security Logging and Monitoring
C10: Handle All Errors and Exceptions

–ms