OWASP MASVS
Obiettivi dei controlli di sicurezza per archiviazione sui dispositivi mobili, crittografia, autenticazione, rete, piattaforma, codice e resilienza.
Test di penetrazione
Penetration test delle applicazioni mobili
Una valutazione combinata, statica e dinamica, di una build autorizzata di un'applicazione mobile e delle sue interazioni con la piattaforma del dispositivo e i servizi di backend.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Archiviazione locale e fuoriuscita di dati
Autenticazione e gestione delle sessioni
Autorizzazioni della piattaforma e comunicazione tra processi
Sicurezza del trasporto e validazione dei certificati
Controlli contro la manomissione delle applicazioni e per la resilienza
Autorizzazione delle API di backend
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
OWASP MASTG
Copertura dei test pratici per applicazioni Android e iOS.
Linee guida del fornitore per la piattaforma
Requisiti di sicurezza Apple e Android pertinenti e comportamento delle piattaforme.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Risultanze per ciascuna piattaforma
Evidenze ricavate dall'analisi statica e dinamica
Azioni correttive ordinate in base al rischio
Rapporto tecnico per gli sviluppatori
Nuovo test dei controlli corretti
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.