Lexique · Sécurité des données
OWASP
Fondation à but non lucratif qui publie gratuitement des référentiels de sécurité des applications, dont le Top 10 des risques les plus critiques pour les applications web, le Top 10 des API et l'ASVS, un standard d'exigences vérifiables utilisé pour les audits et les contrats.
Ce que ça change pour une organisation
L’OWASP (Open Worldwide Application Security Project, anciennement Open Web Application Security Project) rassemble une communauté de praticiens qui élabore des référentiels ouverts. Le plus connu, le Top 10, classe dix catégories de risques applicatifs. Son édition 2025 retient, dans l’ordre, le contrôle d’accès défaillant, la mauvaise configuration de sécurité, les défaillances de la chaîne d’approvisionnement logicielle, les défaillances cryptographiques, l’injection, la conception non sécurisée, les défaillances d’authentification, les défaillances d’intégrité des logiciels ou des données, les défaillances de journalisation et d’alerte, et la mauvaise gestion des conditions exceptionnelles. Huit de ces catégories sont tirées de données de tests portant sur plus de 2,8 millions d’applications, les deux autres d’une enquête auprès des praticiens.
Le Top 10 est un document de sensibilisation et ne se certifie pas. Pour fixer des exigences à une équipe ou à un prestataire, l’OWASP propose l’ASVS (version 5.0 publiée en mai 2025), qui décline la sécurité applicative en exigences vérifiables réparties sur trois niveaux, le deuxième étant celui que vise la plupart des applications. La fondation ne certifie ni logiciels ni prestataires : la preuve attendue est un rapport de vérification qui précise le périmètre, le niveau visé et les méthodes employées.
Exemple
Dans son guide de la sécurité des données personnelles, édition 2024, la CNIL consacre une fiche aux API et recommande d’en vérifier la résistance aux risques publiés par l’OWASP dans son Top 10 des API. Le référentiel sert ainsi de repère concret pour apprécier l’état de l’art auquel renvoie l’obligation de sécurité de l’article 32 du RGPD.
À ne pas confondre avec
- Une norme certifiable comme l’ISO/IEC 27001 : celle-ci porte sur le système de management de la sécurité d’une organisation et donne lieu à une certification, alors que les projets de l’OWASP sont des référentiels techniques ouverts.
- Le score CVSS : il mesure la gravité d’une vulnérabilité précise, alors que le Top 10 de l’OWASP classe des catégories de faiblesses.
