OWASP – öppna verktyg för säker mjukvara

Open Worldwide Application Security Project (OWASP) är en ideell organisation som arbetar för säkrare mjukvara. Visionen är kort: ”No more insecure software”. Allt OWASP tar fram är gratis och öppet för alla, oavsett hur stor organisationen är.

OWASP startade 2001 och drivs sedan 2004 av en amerikansk ideell stiftelse. Arbetet görs av en global gemenskap med över 100 000 personer i fler än 250 lokala avdelningar. I Sverige finns avdelningar i Stockholm, Göteborg och Jönköping som ordnar träffar och föredrag.

Varför OWASP berör er

De flesta verksamheter bygger, köper eller driftar webbapplikationer. OWASP:s material hjälper i alla tre rollerna. Utvecklingsteam får en gemensam bild av riskerna. Inköpare får en standard att ställa krav med vid upphandling. Ledningen får ett sätt att mäta hur mogen utvecklingen är.

Kraven från lagstiftningen ökar också. NIS2 och cybersäkerhetslagen kräver säkerhet i leveranskedjan. EU:s Cyber Resilience Act kräver att tillverkare av produkter med digitala delar hanterar sårbarheter och vet vilka komponenter produkterna innehåller. OWASP:s verktyg är ett konkret sätt att leva upp till det.

OWASP Top 10:2025

OWASP Top 10 listar de tio mest kritiska säkerhetsriskerna i webbapplikationer. Listan bygger på data om verkliga sårbarheter och en enkät bland säkerhetsexperter. Den uppdateras med några års mellanrum. Tidigare versioner kom 2017 och 2021, och den aktuella är OWASP Top 10:2025.

1. A01 Bristande åtkomstkontroll. Användare kommer åt data eller funktioner de inte ska ha tillgång till.
2. A02 Felaktig säkerhetskonfiguration. Standardlösenord, onödiga tjänster eller för generösa inställningar.
3. A03 Brister i mjukvarans leveranskedja. Sårbara eller manipulerade komponenter, bibliotek och byggverktyg.
4. A04 Kryptografiska brister. Svag eller felaktigt använd kryptering av känslig data.
5. A05 Injektion. Indata som tolkas som kommandon, till exempel SQL-injektion och cross-site scripting.
6. A06 Osäker design. Brister som finns redan i arkitekturen och inte går att rätta med bättre kod.
7. A07 Brister i autentisering. Svaga inloggningar, brister i sessionshantering och avsaknad av flerfaktorsautentisering.
8. A08 Brister i mjukvaru- och dataintegritet. Uppdateringar och data som används utan att deras ursprung kontrolleras.
9. A09 Brister i säkerhetsloggning och larm. Angrepp som inte upptäcks eftersom ingen loggar eller larmar.
10. A10 Felaktig hantering av undantagsfall. System som beter sig osäkert när något oväntat händer.

Jämfört med 2021 har två saker förändrats mest. Leveranskedjan har fått en egen, bredare kategori. Den ersätter den tidigare punkten om sårbara och föråldrade komponenter. Hantering av undantagsfall är helt ny på listan.

Top 10 skapar medvetenhet, ASVS ställer kraven

Top 10 är en lista över risker, inte en standard. Den passar som utbildning och som startpunkt för utvecklingsteam. Den räcker däremot inte som kravlista mot en leverantör.

För det finns OWASP Application Security Verification Standard (ASVS). ASVS innehåller konkreta och testbara säkerhetskrav för webbapplikationer. Kraven är indelade i tre nivåer, från grundläggande skydd till system med höga krav på säkerhet. Den aktuella versionen är ASVS 5.0.

Vid en upphandling kan ni välja den ASVS-nivå som passar systemet och kräva att leverantören visar hur kraven uppfylls. Då blir säkerheten något som går att följa upp, inte bara ett löfte.

Fler projekt att känna till

OWASP:s arbete bedrivs i projekt. Nya projekt börjar som Incubator och kan sedan bli Lab och Production när de mognar. Projekt med särskilt stor betydelse får dessutom utmärkelsen Flagship.

• OWASP SAMM är en mognadsmodell för säker utveckling. Den mäter fem områden: styrning, design, implementation, verifiering och drift.
• OWASP Dependency-Track analyserar mjukvarans innehållsförteckning, en SBOM, och larmar när en komponent har en känd sårbarhet.
• OWASP CycloneDX är ett standardformat för SBOM.
• OWASP Cheat Sheet Series ger korta och praktiska råd för utvecklare, ämne för ämne.
• OWASP Web Security Testing Guide är en handbok för att testa webbapplikationer.
• OWASP Juice Shop är en medvetet sårbar webbshop att träna på.
• OWASP Top 10 for LLM Applications listar riskerna i system som bygger på stora språkmodeller.

Så kommer ni igång

1. Låt utvecklingsteamen gå igenom OWASP Top 10:2025 och jämföra med de egna systemen.
2. Välj en ASVS-nivå för era viktigaste system och använd den i kravställning och upphandling.
3. Gör en första självskattning med SAMM för att se var utvecklingsarbetet står.
4. Ta fram en SBOM för era applikationer och bevaka komponenterna, till exempel med Dependency-Track.
5. Testa applikationerna regelbundet med stöd av Web Security Testing Guide.