Анализ уровня защищенности программных продуктов, проведенный Veracode, провайдером сервисов защиты, показал, что более половины всех обследованных компанией программных продуктов изначально содержат ошибки и бреши, которые не позволяют обеспечить достаточный уровень безопасности. Специалисты Veracode исследовали 4835 приложений, предоставленных им для оценки в течение 18 месяцев, и выявили, что из всех впервые представленных Veracode программ 58% «не обладают достаточной защищенностью». Среди той группы ПО, которую составили продукты профессиональных разработчиков программ, оценку «недостаточной защищенности» получили 66% продуктов, а в группе ПО, которое собственно и предназначено для обеспечения безопасности, эту негативную оценку заслужили (что самое удивительное!) — 72% продуктов.

Исследование выявило, что больше всего о формальном подтверждении безопасности используемого ПО беспокоятся компании финансового сегмента рынка и производители программных продуктов, они наиболее активны в запросах на тестирование продуктов от независимых (third party) разработчиков приложений. Оба этих вертикальных рынка составляют 75% от всех фирм, которые прислали запрос Veracode на оценку защищенности продукта. Кроме того, отмечается повышение требований к безопасности программ предприятий аэрокосмической и оборонной отраслей.

Исследование также показало, что для компаний, работающих с платежными картами и, соответственно, обеспечивающих соответствие своей ИТ-системы стандарту PSI DSS (Payment Card Industry Data Security Standard), требования к защищенности их клиентского ПО сильно ужесточаются. Эти приложения, обеспечивающие обработку, хранение или передачу данных кредитных карт, в соответствии с определением Open Web Application Security Project (OWASP), должны быть протестированы на предмет обнаружения 10 основных дефектов ПО, набором, более известным, как OWASP Top 10. Исследование Veracode показало, что 8 из 10 приложений не смогут успешно пройти проверку на OWASP Top 10.

Утешает лишь один вывод этого исследования: на устранение дефектов защищенности не потребовалось много времени, у 80% приложений восстановление защиты до приемлемого уровня заняло не больше месяца.

Основные выводы данного исследования опубликованы в интернет-журнале www.csoonline.com