OWASP MASVS и MASTG

Мобильное приложение отличается тем, что целиком находится в руках у атакующего: его можно распаковать, подменить, запустить на устройстве с полными правами. Поэтому мобильный трек разделён на три документа: MASVS — что должно быть, MASTG — как это проверить, MASWE — каталог из 78 конкретных слабостей, к которым привязываются находки.

В июне 2026 года MASTG пережил крупную переработку: из монолитного руководства он стал модульным машиночитаемым графом, где тест, техника, инструмент, требование и слабость связаны ссылками. Практический смысл — прослеживаемость: от находки в отчёте можно дойти до требования, а от требования до процедуры проверки.