Unverzichtbar ist eine technische Überprüfung der Software (und auch Hardware!) wie sie z.B. die ISO 27034 vorgibt mit (1) Security Requirements Analyse, (2) Threat Modeling der Sicherheitsarchitektur, (3) Static Source Code Analysis des Quellcodes, (4) Penetration Testing und Dynamic Analysis – Fuzzing des ausführbaren Codes sowie insbesondere eine Konformitätsprüfung (!) auf Übereinstimmung von Code und Dokumentation:

Leistet das Produkt vielleicht mehr als dokumentiert ist? Und auch die Behauptung der Hersteller, ‚meine Entwickler tun das nicht‘ ist wirkungslos, wenn z.B. Open Source Suiten ungeprüft eingesetzt werden!

Insgesamt aber schon eine gute Marketingaktion und fachlich ein allererster Schritt in die richtige Richtung.