Phần mềm doanh nghiệp cần qua những cửa kiểm tra bảo mật nào trước khi nghiệm thu

1OWASP công bố những danh sách nào và mỗi danh sách dùng để làm gì

OWASP là tổ chức phi lợi nhuận công bố các danh sách rủi ro và bộ yêu cầu bảo mật cho phần mềm. Bảng dưới là năm tài liệu liên quan tới một dự án phần mềm doanh nghiệp, kèm bản hiện hành tra ngày 05/10/2026.

Top 10 là danh sách nâng cao nhận thức. Mỗi nhóm là một loại lỗi chung, và danh sách không kèm bộ yêu cầu để nói một phần mềm cụ thể đạt hay chưa. Việc đo nằm ở ASVS. Vì vậy, khi ghi vào hợp đồng, MONA đọc ra rằng nên nêu ASVS và mức cần đạt, còn Top 10 dùng để chọn chỗ cần nhìn kỹ.

2Mười nhóm rủi ro của OWASP Top 10:2025 và câu hỏi nên hỏi

Bản 2025 xếp lại mười nhóm. Ba thay đổi đáng nhìn kỹ khi nghiệm thu một phần mềm đang chạy thật.

Security Misconfiguration lên hạng 2. Trang của OWASP ghi 100% ứng dụng được kiểm có cấu hình sai ở mức nào đó, với tỉ lệ gặp trung bình 3,00%. Software Supply Chain Failures mở rộng từ nhóm thư viện lỗi thời năm 2021 sang cả quy trình dựng, phân phối và cập nhật phần mềm. Trong khảo sát cộng đồng, đúng 50% người trả lời xếp nhóm này hạng 1, và dữ liệu cho thấy tỉ lệ gặp trung bình cao nhất, 5,19%. Mishandling of Exceptional Conditions là nhóm mới, gồm 24 điểm yếu thường gặp (CWE), nói về xử lý lỗi sai, lỗi logic và hệ thống mở cửa khi gặp lỗi (failing open).

Cột cuối là cách MONA đọc tên nhóm thành một câu hỏi để chủ doanh nghiệp hỏi bên làm phần mềm. Đây không là mô tả chính thức của OWASP. SSRF, nhóm A10 năm 2021, không còn là một nhóm riêng trong danh sách 2025 đọc được.

3ASVS 5.0.0: ba mức và mười bảy chương

ASVS 5.0.0 phát hành ngày 30/05/2025, gồm 345 yêu cầu chia thành 17 chương và ba mức. Mức càng cao, phần mềm càng phải làm nhiều việc để đạt.

Bản 4.0.3 có 128 yêu cầu mức 1 trong tổng 278, tức 46%. Bản 5.0.0 chủ ý giảm mức 1 xuống 70 yêu cầu để người làm phần mềm dễ bắt đầu hơn. Số yêu cầu riêng của mức 2 và mức 3 chưa có trong tài liệu OWASP, chỉ có tỉ lệ phần trăm.

17 chương của ASVS 5.0.0 gồm: V1 Encoding and Sanitization, V2 Validation and Business Logic, V3 Web Frontend Security, V4 API and Web Service, V5 File Handling, V6 Authentication, V7 Session Management, V8 Authorization, V9 Self-contained Tokens, V10 OAuth and OIDC, V11 Cryptography, V12 Secure Communication, V13 Configuration, V14 Data Protection, V15 Secure Coding and Architecture, V16 Security Logging and Error Handling, và V17 WebRTC.

4Lời tuyên bố «đạt chuẩn OWASP» cần kèm những gì

OWASP viết rõ trong tài liệu ASVS: «OWASP, as a vendor-neutral nonprofit, does not certify any vendors, verifiers, or software.» Câu tiếp theo nói mọi lời đảm bảo, dấu hiệu tin cậy hay chứng nhận tuyên bố đạt ASVS đều không được OWASP xác nhận chính thức.

Vì vậy một dòng «đạt chuẩn OWASP» trong báo giá hay biên bản chưa nói được gì. Bảng dưới là những điều MONA đề nghị chủ doanh nghiệp hỏi để lời tuyên bố đó có nội dung kiểm được.

5Phần mềm có AI hoặc API: thêm hai danh sách

Phần mềm có chatbot hay AI Agent chịu thêm rủi ro riêng, và phần mềm có API chịu rủi ro của API. OWASP có danh sách riêng cho cả hai. Bảng dưới là tên chính thức của Top 10 for LLM Applications 2025 và API Security Top 10 phiên bản 2023, mỗi danh sách mười nhóm.

OWASP còn công bố Top 10 for Agentic Applications ngày 09/12/2025 cho hệ thống AI Agent tự thực hiện việc, gồm các nhóm bắt đầu bằng ASI01 Agent Goal Hijack và ASI02 Tool Misuse. Bài chưa liệt kê đủ danh sách này vì một tên nhóm chưa đọc được từ trang gốc.

Với AI Agent có quyền thao tác trên hệ thống thật, MONA đọc nhóm LLM06 Excessive Agency là nhóm cần hỏi trước: AI Agent được quyền làm những việc gì, và việc nào cần người duyệt.

6Chín cửa kiểm tra MONA đề nghị ghi vào biên bản nghiệm thu

Bảng dưới gom các danh sách trên thành chín cửa kiểm tra mà chủ doanh nghiệp có thể ghi vào hợp đồng và biên bản nghiệm thu. Cột «Tham chiếu» ghép theo tên nhóm và tên chương, là cách đọc của MONA.

7Giới hạn của bài tổng hợp này

• Tài liệu OWASP đọc ngày 05/10/2026, từ trang top10.owasp.org, owasp.org, genai.owasp.org và kho github.com/OWASP. Ngày phát hành chính xác của Top 10:2025 bản chính thức không có trên trang đã đọc, nên bài chỉ ghi là đã có bản chính thức.
• Mô tả chính thức chỉ đọc đầy đủ cho các nhóm A02, A03, A09 và A10. Câu hỏi nghiệm thu của mười nhóm, cột tham chiếu của chín cửa kiểm tra và cách đọc ASVS thành hợp đồng là cách đọc của MONA, chưa là hướng dẫn của OWASP.
• Tên mười bảy chương ASVS lấy từ tên tệp trong kho OWASP bản v5.0.0_release. Số yêu cầu riêng của mức 2 và mức 3 chưa có, OWASP chỉ công bố tỉ lệ khoảng 50% và 30%. Tên tiếng Việt của nhóm rủi ro không có bản dịch chính thức, bài giữ tên tiếng Anh.
• Danh sách Top 10 for Agentic Applications chưa liệt kê đủ, vì một tên nhóm chưa đọc được từ trang gốc. API Security Top 10 là bản 2023, trang dự án chưa nêu bản mới hơn, nhưng chưa kiểm kho mã.
• Đây là tổng hợp của một công ty phần mềm. MONA không kiểm thử thay doanh nghiệp bên thứ ba và không cấp chứng nhận. Một cuộc kiểm thử bảo mật cụ thể cần đơn vị kiểm thử độc lập.

8Nguồn và trích dẫn

• OWASP Top 10:2025 · danh sách và thay đổi so với 2021, tra 05/10/2026
• OWASP Top 10:2025, A02 Security Misconfiguration · mô tả nhóm
• OWASP Top 10:2025, A03 Software Supply Chain Failures · mô tả nhóm
• OWASP Top 10:2025, A10 Mishandling of Exceptional Conditions · mô tả nhóm
• OWASP ASVS 5.0, mức và yêu cầu · ba mức, tỉ lệ yêu cầu
• OWASP ASVS 5.0, đánh giá và chứng nhận · OWASP không chứng nhận
• OWASP ASVS, bản phát hành · ASVS 5.0.0 ngày 30/05/2025
• OWASP Top 10 for LLM Applications 2025 · mười nhóm LLM01 đến LLM10
• OWASP Top 10 for Agentic Applications · công bố 09/12/2025
• OWASP API Security Top 10 · bản 2023

@techreport{mona_nc23_2026,
  author = {{Nhóm kỹ thuật MONA Software}},
  title = {Phần mềm doanh nghiệp cần qua những cửa kiểm tra bảo mật nào trước khi nghiệm thu},
  institution = {Công ty TNHH Phần mềm MONA},
  number = {NC-23, bản 1.0},
  year = {2026},
  month = oct,
  url = {https://mona.software/nghien-cuu/kiem-tra-bao-mat-truoc-nghiem-thu-owasp/},
  note = {Bài tổng hợp, tra văn bản 05/10/2026}
}