32장. 90분 보안 설계 시험

문제는 여러 기업이 쓰는 방문 예약에 OAuth, 사진 업로드, support impersonation, webhook을 추가하는 것이다. 15분 자산·흐름, 15분 위협, 15분 인증·인가, 15분 입력·파일·SSRF, 15분 secret·공급망, 15분 test·사고 대응을 작성한다.

답안에는 tenant negative test, 복구 경로, 최소 권한, log redaction, rate limit, SBOM, revoke와 사용자 통지가 있어야 한다. 공격 payload 묘사보다 통제와 증거가 중요하다. 위험 수용 주체와 미확인 법적 판단을 명시한다. 다른 리뷰어가 ASVS 요구에서 구현·test·artifact까지 역추적할 수 있어야 통과다.