En este tema, exploraremos los diferentes niveles de verificación definidos por el OWASP Application Security Verification Standard (ASVS). Estos niveles ayudan a clasificar y priorizar los controles de seguridad necesarios para diferentes tipos de aplicaciones, basándose en su criticidad y el riesgo asociado.

El ASVS define tres niveles de verificación, cada uno con un conjunto específico de requisitos de seguridad. Estos niveles son:

1. Nivel 1: Verificación Oportuna
2. Nivel 2: Verificación Estándar
3. Nivel 3: Verificación Avanzada

Este nivel está diseñado para aplicaciones que requieren una verificación básica de seguridad. Es adecuado para aplicaciones con un bajo riesgo de seguridad y que no manejan información sensible.

Características del Nivel 1:

• Objetivo: Proporcionar una verificación básica de seguridad.
• Aplicaciones: Adecuado para aplicaciones con bajo riesgo y sin datos sensibles.
• Controles: Incluye controles de seguridad fundamentales que deben estar presentes en cualquier aplicación.

Ejemplos de Controles en Nivel 1:

• Validación de entrada básica.
• Autenticación y gestión de sesiones.
• Manejo de errores y excepciones.

El Nivel 2 es adecuado para la mayoría de las aplicaciones empresariales. Este nivel proporciona una verificación de seguridad más exhaustiva y cubre una amplia gama de controles de seguridad.

Características del Nivel 2:

• Objetivo: Proporcionar una verificación de seguridad completa y detallada.
• Aplicaciones: Adecuado para aplicaciones empresariales que manejan datos sensibles.
• Controles: Incluye controles de seguridad más detallados y específicos.

Ejemplos de Controles en Nivel 2:

• Validación de entrada avanzada.
• Controles de acceso detallados.
• Protección contra ataques de inyección (SQL, XSS, etc.).

El Nivel 3 está diseñado para aplicaciones de alta seguridad, como aquellas que manejan información crítica o están sujetas a regulaciones estrictas. Este nivel incluye los controles de seguridad más rigurosos y detallados.

Características del Nivel 3:

• Objetivo: Proporcionar la verificación de seguridad más exhaustiva y rigurosa.
• Aplicaciones: Adecuado para aplicaciones de alta seguridad y críticas.
• Controles: Incluye todos los controles de Nivel 1 y Nivel 2, además de controles adicionales específicos para alta seguridad.

Ejemplos de Controles en Nivel 3:

• Auditoría y monitoreo exhaustivo.
• Controles de seguridad criptográficos avanzados.
• Protección contra amenazas avanzadas y persistentes.

A continuación, se presenta una tabla comparativa de los tres niveles de verificación:

Para reforzar los conceptos aprendidos, realiza el siguiente ejercicio práctico:

Ejercicio: Clasificación de Aplicaciones

1. Clasifica las siguientes aplicaciones en uno de los tres niveles de verificación (Nivel 1, Nivel 2, Nivel 3):

   • Una aplicación de blog personal.
   • Un sistema de gestión de recursos humanos que maneja datos sensibles de empleados.
   • Una plataforma de banca en línea.

2. Justifica tu clasificación para cada aplicación.

Solución:

1. Aplicación de blog personal:

   • Nivel 1: Verificación Oportuna
   • Justificación: Esta aplicación tiene un bajo riesgo de seguridad y no maneja información sensible.

2. Sistema de gestión de recursos humanos:

   • Nivel 2: Verificación Estándar
   • Justificación: Esta aplicación maneja datos sensibles de empleados y requiere una verificación de seguridad completa.

3. Plataforma de banca en línea:

   • Nivel 3: Verificación Avanzada
   • Justificación: Esta aplicación maneja información crítica y está sujeta a regulaciones estrictas, por lo que requiere la verificación de seguridad más exhaustiva.

En esta sección, hemos explorado los tres niveles de verificación definidos por el ASVS y cómo se aplican a diferentes tipos de aplicaciones. Comprender estos niveles es crucial para implementar controles de seguridad adecuados y proteger las aplicaciones web de manera efectiva. En el próximo tema, profundizaremos en los requisitos de seguridad específicos para cada nivel de verificación.