25장. ASVS 요구 추적표 만들기

열은 ASVS version-ID, 적용 근거, 구현 위치, automated evidence, manual evidence, 상태, owner, 검토일이다. ASVS 5.0 identifier에는 version을 붙여 문서 변화로 의미가 섞이지 않게 한다. 비적용은 architecture와 위험 근거를 쓴다.

scanner report를 그대로 증거로 붙이지 않는다. 설정·범위·version과 false positive 판단자를 남긴다. 업무 인가, account recovery, audit integrity는 수동 설계 리뷰와 negative test를 연결한다. 표는 감사용 종이보다 변경 PR에서 영향 요구를 찾는 index다.