5)BSI系列

BSI認為軟件安全有三根支柱：風險管理、軟件安全接觸點和安全知識，其強調了在軟件的整個生命周期中風險管理的重要性，并要求風險管理框架貫穿整個開發過程。BSI明確了安全知識在軟件安全中的重要性，但是沒有強調要把安全培訓作為軟件安全開發的先決條件。

軟件安全接觸點針對軟件安全開發中可能出現的問題，通過從“白帽子”和“黑i舊子” 兩個角度出發，提出了七個工作接觸點（實踐方法），以在軟件開發生命周期的每一個階段盡可能地避免和？肖除漏洞。同時，軟件安全接觸點具有較好的通用性，能夠和不同的軟件開發模型相結合。軟件安全接觸點從頂層給出安全實踐要求，但是對于執行安全實踐的具體節描述不多。

BSIMM收集了很多軟件企業在軟件安全開發方面的措施和方法，并按照軟件安全開發框架進行描述，找出這些軟件企業的共同點和不同點，從而給其他企業提供實踐參考。因此， 盡管BSIMM本身不提出任何建議，軟件企業還是可以根據BSIMM的數據了解常用的軟件安全開發措施，同時可以用來和自己開發方法進行比較。

在軟件的生命周期中，需求分析和軟件設計都是應該在軟件編碼之前開始的工作，而所有的軟件安全開發模型，也都為安全需求分析和軟件安全設計的有關活動預留了位置。需求分析和軟件設計階段一旦出現失誤，在軟件生命周期的后期再挽回，其代價將是非常昂貴的。因此，軟件開發企業一定要重視軟件安全需求分析和軟件安全設計過程。這兩項工作做得好，可以為開發出安全的軟件奠定良好的基礎。

安全需求分析應當以風險管理為基礎，建立“危險…分析計劃，建立軟件安全需求定義，以確保軟件安全需求定義的正確性，并完成相關文檔的撰寫。對于軟件系統的每一項需求，都應該在軟件安全設計階段認真考慮。安全專家Gary McGrawjfl士認為，有50010的安全問題由設計瑕疵引起。換句話說，在軟件需求和設計階段充分做好安全工作，不僅可以極大地提高軟件的安全性，而且還可以以極低的成本來獲得更高的軟件安全性。

軟件設計階段要明確軟件安全目標以及采取的有效措施，相關的安全設計內容一般包括：系統安全框架、訪問控制機制、主體權利和權限、加密方法和算法、數據完整性機制、 敏感數據處理機制、內部通信機制等。