(テクノロジー、新手法など)どのようなセキュリティホールを空けた可能性があるか。ページはシステムの攻撃対象領域を大幅に広げ、あらゆる種類の新しいリスクを招き入れます。このページや、これと同様の他のページに別のフィールドを追加すると、理論的には攻撃対象領域を拡大させることになりますが、実際にはそれほどアプリケーションのリスクプロファイルを増やしてはいません。このような増分的な変更は、新しい設計に従っていたり、新しいフレームワークを使用したりしていない限り、どれもほとんど同じようなものです。ページを追加する場合は、これにどれくらいのセキュリティテストとレビューが必要かは簡単にわかります。インターネットからアップロードできるファイルを追加する場合には、変更するたびに異なるリスクプロファイルをもう一度持つことになり、その変更が既存バケットに収まるかどうかを確認し、既存のコントロールと保護を適用できるかどうかを確認しなくてはなりません。既存バケットに当てはまらないものを追加している場合は、どのようなセキュリティホールを導入したのか、どのような保護策を実施する必要があるのかを理解するために、徹底したリスク評価を実施する必要があります。セッション管理、認証およびパスワード管理に対する変更は、攻撃対象領域に直接的な影響を与え、レビューが必要になります。そのため、特にロール定義に追加や変更を行った場合や、高い権限を持つ管理ユーザーや管理機能を追加した場合は、認可とアクセス制御のロジックに変更を加えます。暗号化やシークレットを処理するコードに変更を加えた場合も同様です。データ検証の方法に根本的な変更を加えます。新しいユーザーの種類やロール、または特権レベルを追加するときには、同様の分析とリスク評価を実行します。データと機能全体をアクセスの種類で覆って、問題点と矛盾点を調べます。あるかを理解することが重要です。ポジティブなアクセスモデルでは、新しいユーザーの種類やロールに許可するデータや機能の定義に含まれる間違いが簡単にわかります。ネガティブなアクセスモデルでは、ユーザーが許可されていないデータや機能にアクセスしないように、十分な注意を払う必要があります。反復型開発で継続的および増分的に行います。通常、アプリケーションの攻撃対象領域は、新しいインターフェイスやユーザーの種類を追加したり、他のシステムと統合したりするにつれて拡大します。OWASPDisclaimers。