Een lijst die je leverancier zou moeten kennen
De OWASP Top 10 is de bekendste lijst van beveiligingsrisico's in webapplicaties. OWASP is een open, onafhankelijke community, en de lijst wordt samengesteld uit testgegevens die bedrijven en beveiligingsonderzoekers aanleveren. Voor de editie van 2025 ging het om data van meer dan 2,8 miljoen applicaties.
Voor jou als directeur is de lijst vooral een meetlat. Laat je software bouwen, een klantportaal of een webshop, dan hoort je leverancier te kunnen uitleggen hoe die elk van deze tien risico's afdekt. Kan dat niet, dan weet je genoeg.
De tien risico's van 2025
Dit zijn de categorieën uit de officiële lijst, in volgorde, met wat ze in gewone taal betekenen:
- A01 Broken Access Control: een gebruiker ziet of wijzigt gegevens die niet voor die gebruiker bedoeld zijn;
- A02 Security Misconfiguration: een server, cloudomgeving of applicatie staat verkeerd ingesteld;
- A03 Software Supply Chain Failures: een lek komt binnen via een library, plugin of bouwstraat van een ander;
- A04 Cryptographic Failures: gegevens zijn zwak of niet versleuteld;
- A05 Injection: een aanvaller stuurt via een invoerveld eigen opdrachten naar je database of server;
- A06 Insecure Design: de fout zit in het ontwerp, niet in een regel code;
- A07 Authentication Failures: inloggen is te makkelijk te omzeilen of te raden;
- A08 Software or Data Integrity Failures: updates of gegevens worden niet gecontroleerd op echtheid;
- A09 Security Logging and Alerting Failures: een inbraak wordt niet vastgelegd of niemand krijgt een seintje;
- A10 Mishandling of Exceptional Conditions: de applicatie reageert onveilig als er iets onverwachts gebeurt.
Wat er veranderd is sinds 2021
De vorige lijst stamt uit 2021. Twee categorieën zijn nieuw. Software Supply Chain Failures op plek 3 is een uitbreiding van wat eerder alleen over verouderde onderdelen ging: het gaat nu om de hele keten van pakketten, plugins en tools waarmee je software wordt gebouwd. Mishandling of Exceptional Conditions op plek 10 gaat over foutafhandeling, zoals een applicatie die bij een fout de deur openzet in plaats van dicht.
Verkeerde configuratie steeg van plek 5 naar plek 2. Dat past bij wat we in de praktijk zien: software draait vaak in de cloud, en één verkeerd vinkje in een opslagomgeving kan een complete klantdatabase openbaar maken. Server-Side Request Forgery, in 2021 nog een eigen categorie, is opgegaan in Broken Access Control, dat net als in 2021 op nummer 1 staat.
Waarom nummer 1 en 3 voor het mkb het zwaarst wegen
Broken Access Control staat niet voor niets bovenaan. Het is de fout waarbij klant A de facturen, orders of persoonsgegevens van klant B kan inzien. Technisch werkt de applicatie gewoon, alleen controleert niemand of deze gebruiker dit record mag zien. Bij een portaal met klantgegevens is dat direct een datalek.
De supply chain-categorie raakt bijna elk mkb-bedrijf met een website of webshop. Een WordPress- of WooCommerce-installatie draait al snel op een flinke stapel plugins van verschillende makers. Elk daarvan is een leverancier die je niet kent, en een lek in één plugin is een lek in jouw site. We schreven eerder over een pluginlek in WooCommerce dat maanden na de patch nog werd misbruikt.
Voor wie met AI laat programmeren, telt deze categorie dubbel. Een AI-assistent haalt makkelijk pakketten binnen zonder dat iemand controleert wat erin zit of wie het onderhoudt.
Wat je met de lijst doet
Je hoeft de lijst niet uit je hoofd te kennen. Wel zou je drie vragen aan je softwareleverancier moeten kunnen stellen. Hoe wordt per scherm gecontroleerd wie welke gegevens mag zien? Wie houdt bij welke externe pakketten in de software zitten en wanneer die worden bijgewerkt? En wie krijgt een melding als er iemand probeert in te breken?
Krijg je op een van die vragen geen helder antwoord, dan is een controle van buitenaf de logische stap. Onze gratis Security Scan kijkt naar je code en de onderdelen die erin zitten, naar configuratie en hosting, en naar hoe gevoelige gegevens worden opgeslagen en versleuteld. Daarmee dek je categorie 2 en 4 grotendeels af, en van categorie 3 het deel over onderdelen met een bekend lek. Of een gebruiker gegevens van een ander kan inzien, of er een fout in het ontwerp zit: daarvoor heb je iemand nodig die de applicatie gebruikt zoals een aanvaller dat zou doen. Dat is het werk van een pentest.