Antes de comenzar
Sigue las instrucciones que se enviaron por correo electrónico para crear una cuenta (si es tu primera cuenta de CASA) y acceder a ella.
Qué necesitarás para enviar tu CASA:
-
Correo electrónico de notificación de nivel 2 de CASA
-
Certificaciones del sector (si las hay)
-
Los archivos de configuración de AST pueden ser una exportación de la política de análisis, capturas de pantalla de las CWE analizadas o cualquier evidencia que muestre lo que analizaste.
-
Resultados del análisis de AST en formato de texto sin formato (.txt).
Si usaste herramientas personalizadas:
-
Resultados de las comparativas de OWASP (más información)
Cómo comenzar a usar el portal de CASA
Para los usuarios del portal que accedan por primera vez, se generará automáticamente una CASA de nivel 2.Se pueden crear evaluaciones nuevas en cualquier momento desde la página principal del portal.
Cuando se abre un caso, se abre la página de introducción en la que se solicita lo siguiente:
-
Nombre de contacto del proyecto (nombre y apellido)
-
Correo electrónico de contacto del proyecto
-
Teléfono de contacto del proyecto
-
Nombre de la entidad legal
-
Sitio web
-
Tipo de evaluación ("Nueva" o "Reevaluación")
-
Alcance de la aplicación
-
ID del proyecto de Google
Esta información se usa para identificar qué requisitos de la CASA están dentro del alcance de tu solicitud y recopilar los metadatos necesarios de la app para emitir una Carta de Verificación.
NOTA: Se debe enviar una CASA para la revisión de verificación en un plazo de 30 días a partir de la iniciación. Las solicitudes de extensión de la fecha límite se evalúan caso por caso.
Cargas de nivel 2 del portal de CASA
Sube toda la evidencia recopilada en los pasos 1 y 2. Esto incluye lo siguiente:
-
Frameworks de seguridad existentes aceptados por CASA
-
Archivos de configuración de AST
-
Resultados del análisis de AST en formato xlsx, csv, xml o pdf
-
Resultados de la comparativa de OWASP (*solo para análisis de AST personalizados o alternativos)
NOTA: Los frameworks de seguridad son opcionales para acelerar tu CASA y no son obligatorios para la verificación. Revisa el paso 1 para obtener más detalles.
¿Necesita ayuda? Usa la función integrada "Mensajes" dentro del portal para comunicarte directamente con un especialista en CASA. Las notificaciones por correo electrónico de las respuestas se envían a la dirección de correo electrónico que se usó para acceder al portal.
RECORDATORIO: El análisis de código es obligatorio para la verificación del nivel 2. No se comparte ni divulga ningún código de aplicación, resultado de análisis ni hallazgo de vulnerabilidad a Google como parte de la verificación.
Encuesta de autocertificación del portal de CASA
El portal validará las entradas proporcionadas y proporcionará el conjunto de requisitos restantes para la autocertificación, organizados por capítulos de CASA. Es posible que no se requiera la autocertificación para los usuarios que aceleren CASA con una gran cantidad de frameworks de seguridad. En estos casos, no aparecerá la parte de la encuesta de autocertificación del portal.
En la mayoría de los casos, habrá una pequeña cantidad de requisitos que requieran la autocertificación. Para estos requisitos, el desarrollador externo que responda deberá autocertificar una serie de preguntas de "Sí, No, N/A" vinculadas a los requisitos de la CASA.
Hay un campo de comentarios disponible para que el desarrollador justifique cada respuesta con la forma en que la aplicación satisface o no un requisito determinado. Los criterios de aceptación de CASA proporcionan un conjunto no exhaustivo de ejemplos como referencia.
NOTA: No modifiques las preguntas que se propagan automáticamente como "Se completó según el requisito previo". El portal de CASA selecciona automáticamente estas opciones en función de las respuestas de la sección de cargas de nivel 2.
Para calificar para la verificación de nivel 2, debes cumplir con los siguientes requisitos:
-
Soluciona los CWE que no se pudieron corregir y que están asignados a los requisitos de CASA.
-
Autocertificación para requisitos de la CASA que no se pueden escanear
Una vez que se hayan completado correctamente todos los requisitos previos de la evaluación, el Portal para CASA le pedirá a un desarrollador que la envíe para la verificación.
Finalizar