framework: OWASP ASVS

evidence_source: github

rationale: IAM-/Zugriffskonfiguration als Nachweis der Authentisierungs-Anforderung.


evidence_source: ci

rationale: Automatisierter Zugriffstest (CI) belegt funktionierende Zugriffskontrolle.


evidence_type: pentest

freshness_requirement: annually

rationale: Jaehrlicher PenTest der Authentisierung — vertieft, aber nicht Pflicht je Release.


rationale: Rollenmodell/Auth-Architektur als Nachweis.


rationale: Krypto-Konfiguration (zugelassene Algorithmen) als Nachweis der Verschluesselung.


evidence_type: sbom

rationale: SBOM weist die eingesetzten Krypto-Bibliotheken/-Versionen nach.


evidence_type: policy

rationale: Key-Management-Policy (Rotation, Aufbewahrung) als organisatorischer Nachweis.


rationale: Konfiguration der Schluesselverwaltung als technischer Nachweis.


freshness_requirement: continuous

rationale: Security-Audit-Logs belegen, dass sicherheitsrelevante Ereignisse protokolliert werden.


rationale: Logging-Konfiguration als Nachweis der erfassten Ereignisarten.


rationale: Security-Audit-Logs.


rationale: Logging-Architektur-Konfiguration als Nachweis.