CASA abschließen

Hinweis

Folgen Sie der Anleitung in der E-Mail, um ein Konto zu erstellen (sofern es sich um Ihr erstes CASA handelt) und sich anzumelden.

Das brauchst du zum Einreichen deiner CASA:

• E-Mail-Benachrichtigung zu Tier 2 von CASA

• Branchenzertifizierungen (sofern vorhanden)

• AST-Konfigurationsdatei(en). Dies kann ein Export der Scanrichtlinie, Screenshots der gescannten CWEs oder beliebige Nachweise sein, aus denen hervorgeht, was Sie gescannt haben. 

• AST-Scanergebnisse im Nur-Text-Format (.txt)

Wenn Sie benutzerdefinierte Tools verwendet haben:

• OWASP-Benchmark-Ergebnisse (weitere Informationen)

CASA-Portal: Erste Schritte

Für Nutzer, die zum ersten Mal ein Portal verwenden, wird automatisch ein CASA der Ebene 2 generiert.Neue Bewertungen können jederzeit über die Startseite des Portals erstellt werden.

Wenn Sie einen Fall öffnen, wird die Seite Erste Schritte  geöffnet, auf der Sie Folgendes anfordern können: 

• Name des Projektkontakts (Vor- und Nachname)

• E-Mail-Adresse des Projektkontakts

• Telefonnummer des Projektkontakts

• Name der juristischen Person

• Website

• Prüfungstyp („Neu“ oder „Neubewertung“)

• Anwendungsbereich

• Google-Projekt-ID

Anhand dieser Informationen können Sie feststellen, welche CASA-Anforderungen für Ihre Anwendung relevant sind, und die erforderlichen App-Metadaten erfasst, um ein Bestätigungsschreiben auszustellen.

HINWEIS : Eine CASA muss innerhalb von 30 Tagen nach dem Start zur Überprüfung eingereicht werden. Anfragen für Fristverlängerungen werden von Fall zu Fall beurteilt.

Uploads des CASA-Portals auf Ebene 2

Laden Sie alle in Schritt 1 und Schritt 2 erhobenen Beweise hoch. Dazu zählen:

• Von der CASA akzeptierte Sicherheits-Frameworks

• AST-Konfigurationsdatei(en)

• AST-Scanergebnis(se) im XLSX-, CSV-, XML- oder PDF-Format

• OWASP-Benchmark-Ergebnisse (*nur für benutzerdefinierte oder alternative AST-Scans)

HINWEIS:Sicherheits-Frameworks sind optional, um das CASA zu beschleunigen. Sie sind nicht für die Überprüfung erforderlich. Weitere Informationen finden Sie in Schritt 1.

Benötigst du Hilfe? Sie können die integrierte Funktion „Nachrichten“ im Portal nutzen, um direkt mit einem CASA-Experten zu kommunizieren. E-Mail-Benachrichtigungen für Antworten werden an die E-Mail-Adresse gesendet, mit der Sie sich im Portal anmelden. 

ERINNERUNG: Das Scannen von Code ist für die Bestätigung von Tier 2 erforderlich. Im Rahmen der Überprüfung werden keine Anwendungscodes, Scanergebnisse oder Ergebnisse zu Sicherheitslücken an Google weitergegeben.

Umfrage zur Selbstzertifizierung von Portalen im CASA-Portal

Das Portal prüft die bereitgestellten Eingaben und stellt die verbleibenden Anforderungen für die Selbstzertifizierung bereit, die nach CASA-Kapitel organisiert sind. Für Nutzer, die CASA mit einer großen Anzahl von Sicherheitsframeworks beschleunigen, ist möglicherweise keine Selbstzertifizierung erforderlich. In diesen Fällen wird der Teil der Umfrage zur Selbstzertifizierung nicht angezeigt.

In den meisten Fällen ist eine kleine Anzahl von Anforderungen erforderlich, die eine Selbstzertifizierung erfordern. Für diese Anforderungen muss der antwortende 3P-Entwickler eine Reihe von „Ja, Nein, N/A“-Fragen beantworten, die mit den CASA-Anforderungen zusammenhängen. 

Für Entwickler gibt es ein Kommentarfeld, in dem jede Antwort darauf begründet wird, wie die Anwendung eine bestimmte Anforderung erfüllt oder nicht erfüllt. Die CASA-Annahmekriterien stellen eine nicht vollständige Liste von Beispielen als Referenz zur Verfügung.

HINWEIS: Ändern Sie Fragen nicht automatisch so, dass sie als Voraussetzung erfüllt sind. Diese Auswahl wird vom CASA-Portal automatisch anhand der Antworten im Abschnitt „Tier 2 Uploads“ ausgewählt.

Damit Sie die Bestätigung in Ebene 2 erhalten können, müssen folgende Voraussetzungen erfüllt sein:

• Fehlgeschlagene CWEs korrigieren, die den CASA-Anforderungen entsprechen

• Selbstzertifizierung für nicht scanbare CASA-Anforderungen

Sobald alle Prüfungsvoraussetzungen ausreichend erfüllt sind, fordert das CASA-Portal einen Entwickler auf, die Überprüfung zu beantragen.