SEC Consult, Berater im Bereich Information Security, hat gemeinsam mit dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Leitfaden zur Entwicklung sicherer Webanwendungen erstellt. Der BSI-Leitfaden gilt als wichtige Orientierungshilfe für das Beschaffungswesen deutscher Behörden. In diesem Kontext geben die Guidelines gleich in mehrerlei Hinsicht Hilfestellung: Einerseits unterstützt der BSI-Leitfaden deutsche Behörden dabei, sichere Software zu beschaffen. Andererseits richtet er sich an Software-Produzenten, die Behörden mit sicherer Software versorgen möchten. Der Leitfaden ist aber auch für alle anderen Unternehmen und Organisationen geeignet, unabhängig von Größe und Tätigkeitsfeld. Er beschreibt keinen detaillierten Entwicklungsprozess, sondern gibt eine Empfehlung zur Entwicklung sicherer Webanwendungen bzw. Software im Allgemeinen ab. Er darf und kann an die Anforderungen des jeweiligen Unternehmens angepasst werden.
Ziel der Initiative ist es, mögliche Gefährdungen von Software, die bereits bei der Entwicklung entstehen und oft erst sichtbar werden, wenn sie beim Anwender in Betrieb sind, zu reduzieren bzw. vollständig zu eliminieren. Vor diesem Hintergrund haben die Autoren des Leitfadens die Problemstellung bei der Entwicklung von Webanwendungen und Software sowohl aus der Perspektive des Auftragnehmers, als auch aus der Sicht des Auftraggebers beleuchtet.
Für den Auftragnehmer ist es vor allem wichtig zu wissen, worauf er im Entwicklungsprozess zu achten hat, da er sich dabei auf die Vorgaben des Auftraggebers stützen muss. Der Leitfaden definiert daher angemessene Sicherheitsanforderungen entsprechend des Schutzbedarfs der zu entwickelnden Anwendung, den sogenannten Secure Software Development Lifecycle (SSDL). Dem Auftraggeber wiederum helfen die Guidelines dabei, die Vorgaben, die der Softwareentwickler erhalten hat, auf ihre Einhaltung zu überprüfen. Somit ist der Auftraggeber in der Lage, den Auftragnehmer bzw. den gesamten Entwicklungsprozess objektiv zu bewerten.