Безопасность системы - правильная обработка форм в битриксе

Коротко:

$inputVar = $_POST['name'];

$name = strip_tags($inputVar);
$name = htmlentities($inputVar, ENT_QUOTES, 'UTF-8');

Здесь удаляются html-теги с помощью strip_tags(), а htmlentities() преобразует все возможные символы в соответствующие html-сущности.
Такие данные и в базу сохранить не страшно!