Além disso, os requisitos de segurança serão diferentes. ASVS ou outras listas de requisitos de segurança devem ser trocadas por listas destinadas ao cenário de aplicações mobile, que contemplem requisitos específicos das principais plataformas mobile e requisitos de resiliência contra engenharia reversa, como o MASVS por exemplo.
Quanto às etapas de design, revisão de arquitetura e modelagem de ameaças, pouco irá mudar nas atividades em si. Mas vale ressaltar que, para uma modelagem de ameaças a uma aplicação mobile, é especialmente interessante que participem tanto os membros do time que desenvolve o aplicativo quanto os que trabalham no desenvolvimento da API, a fim de se tornar mais fácil e assertivo identificar cenários de ameaças envolvendo a relação entre estes dois componentes.
Nas etapas de codificação e testes, o que irá mudar serão as ferramentas que serão utilizadas. Note que ainda devem ser realizados tanto testes estáticos quanto dinâmicos no cenário mobile. Porém as ferramentas de testes para o cenário de mobile tendem a variar bastante seu modo de trabalho.
Tem-se visto no mercado o termo MAST, ou Mobile Application Security Testing. Ou seja, ferramentas de análises de segurança automatizadas que atuam especificamente no cenário de mobile. Muitos fornecedores do mercado de ferramentas de segurança em aplicações começaram a utilizar esta expressão. Porém algumas ferramentas chamadas de “MAST” atuam mais próximas de uma análise estática (SAST), enquanto outras atuam mais próximas do que seria uma análise dinâmica (DAST). Portanto, deve-se tomar cuidado ao selecionar a ferramenta.
Conforme já explicamos em nosso artigo sobre testes de segurança aplicados ao pipeline, é ideal que sejam realizadas tanto análises estáticas quanto dinâmicas, portanto, caso selecione uma ferramenta de MAST que atue como um SAST, busque ainda integrar outro recurso, automatizado ou não, para realizar análises dinâmicas e assim contemplar ambos os tipos de teste.
Em se falando do processo de desenvolvimento seguro de software, pouco irá mudar entre o desenvolvimento de aplicações web e mobile. O que irá se diferenciar mais serão as ferramentas utilizadas para um e para outro.