Der ASVS formuliert eine ausführliche Liste an Anforderungen, die bei Entwicklung und Betrieb sicherer Software beachtet werden sollten. Er eignet sich besonders als Leitfaden während der Entwicklung, um im Rahmen eines Secure Software Development Lifecycle Sicherheitsanforderungen möglichst frühzeitig zu definieren und umfassend in den Prozess zu integrieren. Aber auch zur Bewertung und Verifizierung der Sicherheit einer fertigen Anwendung bietet sich eine Analyse nach den Vorgaben des ASVS an.

Der ASVS behandelt sowohl sehr technische Aspekte (z.B. „Stellen Sie sicher, dass Ihr Code konzeptionell sicher gegen SQL-Injection-Angriffe ist.“), als auch konzeptionelle Punkte (u.a. „Landen sensible Daten in Logs? Wo werden Logs abgelegt? Wer hat darauf Zugriff?“). Eine Analyse nach ASVS umfasst somit fast immer Themen, die nicht allein durch Blackbox-Tests abgedeckt werden können. Für diese Aspekte werden Maßnahmen wie Sourcecodeanalysen, Konfigurationsreviews und Audits eingesetzt.

Je nach Schutzbedarf der Anwendung teilt die OWASP Anforderungen in die Level 1 bis 3 auf:

• Die Anforderungen des Level 1 richten sich an Anwendungen mit geringem Schutzbedarf und können in Form eines Penetrationstests geprüft werden.
• Level 2 umfasst Anwendungen, die teils schützenswerte Daten verwalten. Die meisten Anwendungen im betrieblichen Umfeld fallen unter diese Kategorie. Große Teile des Level 2 stellen dabei konzeptionelle Fragen, die in Form eines Audits beantwortet werden müssen.
• Level 3 schließlich formuliert Anforderungen für Anwendungen mit besonderem Schutzbedarf, z.B. solche, die medizinische Daten verwalten.

Je nach Schutzbedarf der Anwendung teilt die OWASP Anforderungen in die Level 1 bis 3 auf:

• Die Anforderungen des Level 1 richten sich an Anwendungen mit geringem Schutzbedarf und können in Form eines Penetrationstests geprüft werden.
• Level 2 umfasst Anwendungen, die teils schützenswerte Daten verwalten. Die meisten Anwendungen im betrieblichen Umfeld fallen unter diese Kategorie. Große Teile des Level 2 stellen dabei konzeptionelle Fragen, die in Form eines Audits beantwortet werden müssen.
• Level 3 schließlich formuliert Anforderungen für Anwendungen mit besonderem Schutzbedarf, z.B. solche, die medizinische Daten verwalten.