STABILNÝ PROFIL / 1.0.0

Spoločný základ bezpečnostnej auditovateľnosti

Referenčné požiadavky, metódy a dôkazy. Stabilita špecifikácie neznamená úspešný audit konkrétneho systému.

Profil ako JSON Metodika použitia

AC-C01

Predmet, účel a hranice hodnotenia

Požiadavka: Každé hodnotenie jednoznačne vymedzí objekt, jeho schopnosti, použitie, časový rozsah a výluky.
Aplikovateľnosť: Vždy.
Metóda: Porovnať plán s dostupnými funkciami a vybrať reprezentatívnu vzorku. Každú vynechanú oblasť zdôvodniť.
Dôkaz: Plán hodnotenia, verejný identifikátor snímky, zoznam schopností a výluk.
Kritérium: Rozsah je jednoznačný a žiadna deklarovaná schopnosť nezostáva bez rozhodnutia o aplikovateľnosti.
Obmedzenia: Opis rozsahu nie je test bezpečnosti. Verejná snímka nemusí umožniť nezávislé overenie interného nasadenia.

NIST AI Risk Management Framework 1.0, NIST AI 100-1, January 2023 — MAP 1.1, MAP 2.1, MAP 2.2. Vzťah: kontextová opora.

AC-C02

Identita a prístup k chráneným funkciám

Požiadavka: Chránené funkcie vyžadujú doložené overenie používateľa; alternatívne prihlasovacie a obnovovacie cesty neobídu požadované faktory.
Aplikovateľnosť: Ak systém obsahuje účty alebo obmedzené funkcie.
Metóda: V dohodnutom prostredí preveriť platné, neplatné a obnovovacie prihlásenie vrátane požadovaného MFA.
Dôkaz: Sanitizovaný testový záznam s očakávanými a skutočnými stavmi; bez hesiel, tokenov a MFA tajomstiev.
Kritérium: Všetky zahrnuté cesty dodržia zdokumentovanú autentifikačnú politiku.
Obmedzenia: Úspešné prihlásenie samo nepotvrdzuje ochranu úložiska hesiel ani odolnosť voči všetkým útokom.

OWASP Application Security Verification Standard 5.0.0 — 6.3.3, 6.3.4, 6.4.3. Vzťah: vybrané čiastočné mapovanie.

AC-C03

Životnosť a ukončenie relácie

Požiadavka: Relácie sa overujú na dôveryhodnej strane a po ukončení sa nedajú znovu používať.
Aplikovateľnosť: Ak systém používa používateľské relácie.
Metóda: Overiť zmenu relácie pri prihlásení, ukončenie a opakovanie chránenej požiadavky po odhlásení.
Dôkaz: Výsledky scenárov s anonymizovanými identifikátormi; záznam platnosti bez hodnoty tokenu.
Kritérium: Ukončená relácia nemá ďalší prístup a limity zodpovedajú deklarovanej politike.
Obmedzenia: Verejný neprihlásený test nepokrýva všetky mechanizmy správy relácií.

OWASP Application Security Verification Standard 5.0.0 — 7.2.1, 7.2.4, 7.4.1. Vzťah: vybrané čiastočné mapovanie.

AC-C04

Autorizácia funkcií, objektov a polí

Požiadavka: Oprávnenia sa vynucujú dôveryhodnou aplikačnou vrstvou pre operáciu, údaje aj sprístupnené polia.
Aplikovateľnosť: Vždy; aj verejný systém má hranicu zverejnenia.
Metóda: Zostaviť maticu rolí a operácií. Overiť povolenú aj odmietnutú operáciu v každej vybranej triede.
Dôkaz: Sanitizovaná matica a receipts negatívnych aj pozitívnych testov.
Kritérium: Vzorka zodpovedá matici a klientská manipulácia nemení oprávnenie.
Obmedzenia: Samotné HTTP 401 alebo skryté tlačidlo nepokrýva celú autorizáciu.

OWASP Application Security Verification Standard 5.0.0 — 8.2.1, 8.2.2, 8.2.3, 8.3.1. Vzťah: vybrané čiastočné mapovanie.

AC-C05

Minimalizácia a ochrana zverejnených údajov

Požiadavka: Výstup obsahuje len údaje povolené pre príslušné publikum; tajomstvá a interné prevádzkové detaily zostávajú oddelené.
Aplikovateľnosť: Vždy.
Metóda: Skontrolovať zoznam povolených polí a skúsiť negatívne vzorky s citlivými hodnotami vrátane chybovej odpovede.
Dôkaz: Verejná schéma, výsledky redakčných testov a opis hraníc zverejnenia.
Kritérium: Neznáme ani zakázané polia nepreniknú do verejného výstupu.
Obmedzenia: Redakcia môže znížiť overiteľnosť. Chýbajúci dôkaz sa prizná, nenahradí tvrdením o úspechu.

OWASP Application Security Verification Standard 5.0.0 — 14.1.1, 14.1.2, 14.2.6. Vzťah: vybrané čiastočné mapovanie.

AC-C06

Validácia vstupov a kontraktov

Požiadavka: Vstupy majú overované typy, veľkosti a logické hranice na dôveryhodnej strane.
Aplikovateľnosť: Rozhrania prijímajúce dáta.
Metóda: Predložiť povolené, chýbajúce, nadbytočné a hraničné hodnoty v schválenej testovacej vzorke.
Dôkaz: Verzovaný kontrakt a výsledky hraničných testov.
Kritérium: Platná vzorka je spracovaná, neplatná odmietnutá bez vedľajšieho účinku.
Obmedzenia: Platná syntax nepotvrdzuje pravdivosť vstupu ani bezpečný význam textu.

OWASP Application Security Verification Standard 5.0.0 — 2.1.1, 2.2.1, 2.2.2. Vzťah: vybrané čiastočné mapovanie.

AC-C07

Poradie, limity a opakovanie operácií

Požiadavka: Proces dodrží povinné brány a limity; opakovaná požiadavka nespôsobí nezamýšľaný druhý účinok.
Aplikovateľnosť: Ak systém vykonáva viacstupňové alebo nákladové operácie.
Metóda: V bezpečnom prostredí preveriť vynechanie kroku, súbeh, opakovanie a prekročenie limitu.
Dôkaz: Záznam stavu pred a po pokuse, idempotencie a uplatneného limitu bez citlivých hodnôt.
Kritérium: Brány nemožno preskočiť a účinok zodpovedá deklarovanej politike opakovania.
Obmedzenia: Toto je vlastná operacionalizácia; samotná referencia na ASVS nepredpisuje konkrétny mechanizmus idempotencie.

OWASP Application Security Verification Standard 5.0.0 — 2.3.1, 2.3.2, 2.3.3, 2.3.4. Vzťah: vybrané čiastočné mapovanie.

AC-C08

Pôvod a väzba dôkazu

Požiadavka: Dôkaz má identitu, pôvod, čas získania, väzbu na kontrolu a predmet; odvodený výstup uvedie podklad.
Aplikovateľnosť: Vždy pri prezentovaní výsledku kontroly.
Metóda: Zvoliť vzorku výsledkov a spätne sledovať väzbu od nálezu k pozorovaniu a dostupnému artefaktu.
Dôkaz: Manifest dôkazov, označenie typu pôvodcu a odkazy na sanitizované artefakty.
Kritérium: Väzby sú dohľadateľné a nevymieňajú podklad ani predmet bez priznania.
Obmedzenia: Hash potvrdzuje zhodu bajtov, nie pravdivosť, nezávislosť ani úplnosť dôkazov.

W3C PROV-O W3C Recommendation 30 April 2013 — 3.1 Starting Point Terms: Entity, Activity, Agent, wasGeneratedBy, used, wasAttributedTo. Vzťah: koncepčná inšpirácia.
NIST OSCAL Assessment Results Model Concept documentation, page updated 2025-03-03, accessed 2026-11-15 — Assessment Results Organization: Observation, Finding, Back Matter. Vzťah: koncepčná inšpirácia.

AC-C09

Uchovanie a ochrana záznamov

Požiadavka: Relevantné bezpečnostné udalosti a výsledky majú určenú retenciu, časy a ochranu pred neoprávnenou zmenou.
Aplikovateľnosť: Ak vznikajú auditné alebo bezpečnostné záznamy.
Metóda: Preskúmať vybraný životný cyklus záznamu vrátane prístupu, opravy a skončenia retencie.
Dôkaz: Politika retencie, sanitizovaná časová stopa a doloženie ochrany.
Kritérium: Záznam zostáva korelovateľný a zmeny alebo obmedzenia integrity sú vysvetlené.
Obmedzenia: Verejný súhrn bez interných dôkazov nepreukazuje nemennosť celého úložiska.

OWASP Application Security Verification Standard 5.0.0 — 16.1.1, 16.2.1, 16.2.2, 16.2.5, 16.4.2. Vzťah: vybrané čiastočné mapovanie.

AC-C10

Bezpečné zlyhanie

Požiadavka: Chyba neobíde ochrannú bránu a verejná odpoveď neodhalí interné citlivé údaje.
Aplikovateľnosť: Vždy.
Metóda: Simulovať nedostupný podklad alebo odmietnutú závislosť bez zasahovania do živej produkcie.
Dôkaz: Očakávané a pozorované chybové stavy, potvrdenie nevykonaného účinku.
Kritérium: Systém sa riadi dokumentovaným bezpečným stavom a neprezentuje nedokončenú operáciu ako úspešnú.
Obmedzenia: Jedna simulácia nepokrýva všetky možné poruchy.

OWASP Application Security Verification Standard 5.0.0 — 16.5.1, 16.5.2, 16.5.3. Vzťah: vybrané čiastočné mapovanie.

AC-C11

Interpretácia, nezávislosť a neúplnosť

Požiadavka: Výsledok rozlišuje pozorovanie, tvrdenie prevádzkovateľa a nezávislé posúdenie; uvádza neotestované oblasti.
Aplikovateľnosť: Vždy.
Metóda: Hodnotiteľ preverí vzorku záverov proti podkladom a zaznamená vlastný vzťah k prevádzkovateľovi.
Dôkaz: Rozsah vzorky, zoznam chýbajúcich dôkazov, druh hodnotiteľa a odôvodnenie výsledku.
Kritérium: Žiadny záver neprekračuje dostupné overenie a chýbajúci dôkaz nie je označený za úspech.
Obmedzenia: Zverejnenie sebaohodnotenia nevytvára nezávislý audit.

NIST AI Risk Management Framework 1.0, NIST AI 100-1, January 2023 — MEASURE 1.1, MEASURE 1.3, MEASURE 2.1. Vzťah: kontextová opora.

AC-C12

Náprava a nové overenie

Požiadavka: Nález má spôsob opravy a následného overenia; novší výsledok nevymaže staršiu stopu.
Aplikovateľnosť: Ak sú nálezy, zmeny alebo opravné hodnotenie.
Metóda: Vybrať opravený nález a porovnať pôvodný rozsah s novým overením; nevydávať plánovanú opravu za hotovú.
Dôkaz: Väzba na predchádzajúci záznam, stav nápravy a nové dôkazy.
Kritérium: Čitateľ rozlíši otvorený nález, vykonanú opravu a overenú opravu.
Obmedzenia: Toto nie je automatické potvrdenie prevádzkovej obnovy.

NIST AI Risk Management Framework 1.0, NIST AI 100-1, January 2023 — MANAGE 4.1, MANAGE 4.3. Vzťah: kontextová opora.

Texty AI CORE sú vlastné operacionalizácie vybraných požiadaviek. Čiastočné mapovanie nie je vyhlásenie úplnej ekvivalencie ani schválenia organizáciou OWASP, NIST alebo W3C.

Licencia profilov: CC BY-SA 4.0. Úpravy a metodické doplnenia: AISYSTEMS s. r. o. Atribúcie zdrojov.