Microsoft zal vanaf november drie programma's uitbrengen waarmee ontwikkelaars het aantal beveiligingslekken in hun software kunnen terugdringen en veiligere producten kunnen ontwerpen. Het Secure Development Lifecycle (SDL) Optimization Model laat ondernemingen de "volwassenheid" van hun eigen software ontwikkeling bepalen. De softwaregigant zal daarnaast een proef starten met haar SDL Pro Network, dat consultants certificeert voor hun kennis en implementatie van SDL concepten. Als laatste zal Microsoft een op de Secure Development Lifecycle gebaseerde "threat modeling tool" publiceren.

De threat modeling tool biedt een aantal nieuwe features, zoals tips en feedback voor het tekenen van data flow diagrams die de basis van threat models vormen, analyses van gevonden dreigingen en problemen, een integraal bug-tracking systeem en aanbevelingen voor 'fuzz testing' in de verificatie fase. "We willen ondernemingen in staat stellen om veiligere en privacy-verbeterende software te maken. We vonden dat het belangrijk was om ondernemingen een manier te bieden om hun eigen software ontwikkeling en security practices te laten beoordelen en een strategie voor verbetering mogelijk te maken," zegt security engineering directeur Steve Lipner.

Niet perfect
Door bedrijven veilige software te laten ontwikkelen, met name bedrijven die voor Microsoft's eigen platform ontwikkelen, wordt het internet betrouwbaarder. "Dat is goed voor ons," gaat Lipner verder. Sinds Microsoft SDL toepast is het niet meer het bedrijf met de meeste beveiligingslekken, maar staat het op de derde plek. Microsoft ziet zich echter niet als beveiligingsconsultant: "We beweren niet dat we perfect zijn, maar we hebben veel ervaring op dit gebied."

Lipner wordt aangevuld door collega Michael Howard. "We verwachten geen perfectie, maar als meer mensen de principes die we in SDL definiëren omarmen, en onze partners meehelpen, zal de IT-wereld een veiligere plek worden." De drie programma's zijn gebaseerd op lessen die Microsoft sinds het begin van haar eigen Secure Development Lifecycle geleerd heeft. Het SDL Optimization Model en de SDL Threat Modeling Tool zijn gratis verkrijgbaar. Het SDL Pro Network zal voor slechts een aantal deelnemers toegankelijk zijn.