De laatste tijd is er veel te doen geweest over "code scanning" tools waarmee software geaudit wordt. Apple zou bijvoorbeeld dit soort tools niet gebruiken, waardoor haar gebruikers een groter risico lopen dan die van Windows. Het is echter Michael Howard, de "Simple Software Security Guy van Microsoft", die op zijn blog meldt dat code scanning tools niet voor veiligere software zorgen.
Code analyse tools vinden slechts een klein gedeelte van de echte bugs. Het draaien van een tool geeft dus geen garantie dat de code schoon is. Om ontwikkelaars het niet al te lastig te maken, geven de tools weinig false positives af, waardoor echte bugs niet gevonden worden. Als derde punt noemt Howard dat je ontwerpfouten worden door het analyseren van de broncode niet kan ontdekken.
Tools zijn dan ook geen vervanging voor menselijk intellect en veilig programmeren is veel belangrijker. Toch gebruikt Microsoft de tools voor twee redenen: Het geeft inzicht in de aard en omvang van het probleem, en het helpt bij handhaving van het beleid.
Deze posting is gelocked. Reageren is niet meer mogelijk.