호주 정부가 사이버 보안을 국가적 차원의 핵심 위험 요소로 규정하고 적극적인 대응에 나선 것은 분명하지만, 과연 그 전략이 충분한 효과를 거둘 수 있을까요?

"시프트 레프트(Shifting Left)", 즉 개발 프로세스 초기 단계에 보안을 도입하려는 많은 노력은 실질적인 변화를 이끌어내기에 충분하지 않습니다.

미국 연방 정부의 최신 행정명령은 기능적 사이버 보안의 여러 측면을 다루고 있지만, 개발자가 미치는 영향과 그들에게 검증된 보안 기술 및 인식이 필요하다는 점을 처음으로 명확히 명시했습니다.

미국 국립표준기술연구소(NIST)는 소프트웨어 취약점과 사이버 위험을 줄이기 위한 여러 실행 계획을 상세히 담은 업데이트된 백서를 발표했습니다.

이 글을 시작하며 우리 회사가 얼마나 눈부신 초고속 성장을 이루었는지 보여주는 수치들을 나열할 수도 있었습니다. 그 성과는 분명 인상적이며 우리 회사의 성장 궤도 또한 탄탄합니다. 하지만 2019년을 돌아보며 제가 가장 자랑스럽게 여기는 것은 단순히 이러한 숫자들만이 아닙니다.

생일은 우리가 이룬 성과를 되돌아보고, 팀을 축하하며, 자신감을 가지고 다가올 한 해를 맞이할 수 있게 해주는 소중한 계기입니다. 창립 7주년을 맞이한 지금, 저는 스스로에게 묻습니다. 우리가 해낸 걸까요? 이제 정말 어엿한 기업이 된 걸까요? 물론 우리는 성숙해졌지만, 처음 시작할 때 가졌던 호기심과 열정, 그리고 괴짜 같은 면모를 결코 잃지 않기를 진심으로 바랍니다.

전문 개발자들은 DevSecOps를 도입하고 안전한 코드를 작성하기를 원하지만, 이러한 노력이 결실을 맺으려면 조직 차원의 전폭적인 지원이 뒷받침되어야 합니다.

이번 주, Secure Code Warrior가 창립 8주년을 맞이했습니다. 8년이라는 시간은 아폴로 11호 임무 기간의 350배이자, 축구 경기 45,000회, 혹은 슈퍼 마리오 오디세이를 5,696번 끝까지 플레이할 수 있는 시간입니다. 반면, 자이언트 거북이의 수명(참고로 250년입니다)에 비하면 30분의 1에 불과하죠. 급성장하는 스타트업의 세계에서 8년은 사업 계획서를 처음 작성할 당시에는 상상조차 못 했던 수많은 우여곡절과 교훈, 그리고 성취로 가득 찬 여정이었습니다.

API 보안을 운에 맡기는 것은 나중에 반드시 문제를 일으키는 지름길입니다. 최악의 경우 치명적인 결과를 초래할 수 있으며, 최선의 경우에도 번거로운 재작업과 성능 저하를 피할 수 없습니다.

접촉자 추적 앱의 취지는 타당합니다. 이 기술이 제대로 작동한다면 감염병 확산을 막는 데 필수적인 요소인 감염 확산 지역을 신속하게 파악하고 포괄적인 검사를 수행할 수 있을 것입니다.

개발자에게 보안의 중요성과 보안 취약점이 초래하는 결과, 그리고 무엇보다 각 프로그래밍 프레임워크에서 이러한 취약점이 발생하지 않도록 예방하는 방법을 가르치지 않는다면, 어떻게 안전한 코드를 작성하길 기대할 수 있을까요?

본 연구의 의의는 이전에 보고된 적 없는 다수의 심각한 보안 코딩 문제에 대한 실증적 증거를 제시했다는 점입니다.

작년 말, MITRE의 훌륭한 커뮤니티에서 2019년 전 세계에 영향을 미친 'CWE 상위 25대 가장 위험한 소프트웨어 오류' 목록을 발표했습니다. 그리고 그 내용은 대부분 예상했던 그대로였습니다.

우리의 비전은 보안을 가시화하고 개발자가 처음부터 안전한 코드를 작성할 수 있는 기술과 도구를 제공하여, 개발자가 조직의 최전선 방어선 역할을 할 수 있도록 힘을 실어주는 것입니다.

십 대 보안 연구원 빌 데미르카피(Bill Demirkapi)가 자신이 다니는 학교에서 사용하는 소프트웨어의 심각한 취약점을 폭로했다는 소식은 옛 기억을 떠올리게 했습니다. 저 역시 호기심 많은 아이였을 때 소프트웨어의 내부를 들여다보며 어떻게 작동하는지, 그리고 어떻게 하면 망가뜨릴 수 있을지 고민하곤 했으니까요.

개발자가 처음부터 안전한 코드를 작성할 수 있도록 역량을 강화하는 것은 CISO가 보안 문제에 대해 주도권을 확보할 수 있는 기회이며, 보안 팀과 개발 팀 모두에게 빠르고 쉽고 측정 가능한 개선을 가져다줄 수 있는 계기입니다.

개발자가 자바스크립트로 코딩하는 도중 크로스 사이트 스크립팅 오류를 범했을 때, 그 결함을 만든 지 몇 분 안에 감지할 수 있다면

2021년은 새로운 차원의 우주 경쟁이 주류로 떠오르는 해가 될 것입니다. 바로 사이버 위협으로부터 우리 은하계를 안전하게 지키는 일입니다.

의료 분야는 범죄자들이 진단, 치료, 생명 유지 장치를 직접 공격함에 따라 차세대 '거대' 사이버 보안 격전지가 될 수 있습니다.

사이버 보안 분야에서 우리는 종종 사냥꾼과 같습니다. 눈은 항상 지평선을 향해 고정되어 있고, 다음에 터질 취약점을 찾느라 여념이 없습니다. 하지만 이러한 미래 지향적 시각은 역설적으로 전반적인 보안 인식을 약화시키는 결과를 초래할 수 있습니다.

개발자 중심의 이러한 행사는 제가 가장 좋아하는 연례 행사 중 하나입니다. 소프트웨어 엔지니어와 전문가들이 업무 현장에서 보안을 실천할 수 있도록 교육하고 역량을 강화하기 위해 끊임없이 노력하는 커뮤니티의 모습을 보며 다시 한번 겸허한 마음을 갖게 됩니다.

우리가 직면한 진짜 싸움은 스크립트 키디나 위험한 조직적 사이버 범죄 집단과의 싸움이 아닙니다. 데이터 유출이 실제로 일어나고 있다는 사실에 더 많은 사람이 관심을 갖게 만드는 것이야말로 우리가 싸워야 할 진짜 대상입니다.

소프트웨어 보안은 항상 제 머릿속을 떠나지 않는 화두입니다. 점점 더 디지털화되고 개인 정보를 공유하며 살아가는 우리 일상이 직면한 실질적인 위험도 마찬가지죠. 결국 우리는 규제도, 감독도 없이 방치된 무법지대, 즉 서부 개척 시대와 같은 환경에 살고 있습니다.

사후 대응이 아닌 예방 중심의 접근 방식은, 특히 대규모 보안 사고가 발생하지 않은 경우 보안 팀 외부에서는 그 중요성을 충분히 이해받지 못할 수 있습니다.

올해 PCI 보안 표준 위원회(PCI Security Standards Council)는 PCI 소프트웨어 보안 프레임워크의 일환으로 완전히 새로운 소프트웨어 보안 가이드라인을 발표했습니다. 이번 업데이트는 소프트웨어 보안 모범 사례를 현대적인 소프트웨어 개발 방식에 맞추는 것을 목표로 합니다.

최근 디지털 분야의 총아로 떠오른 메타버스는 코드 수준의 취약점과 사회 공학적 해킹 모두에 있어 방대한 새로운 공격 표면을 제공합니다. 하지만 우리는 허상에 불과한 이 새로운 전장에서 싸울 준비가 전혀 되어 있지 않습니다.

CIO가 기업의 애자일 역량을 공격적으로 구축함에 따라, 보안 코딩 기술은 혁신의 강력한 무기가 될 것이며, 이를 갖추지 못하는 것은 파멸을 초래하는 요인이 될 것입니다.

영국 화웨이 사이버 보안 평가 센터(HCSEC)의 최근 보고서는 화웨이의 소프트웨어 엔지니어링 프로세스 내에 심각한 보안 문제가 있음을 지적했습니다. 하지만 이는 충분히 해결 가능한 문제입니다.

API 보안은 어렵지만, 적절한 교육과 계획, 그리고 모범 사례에 집중한다면 가장 교묘한 취약점조차 완화할 수 있습니다.

규제 관련 이니셔티브는 시간이 지남에 따라 분명 개선되고 확대되겠지만, 조직이 당황하여 서둘러 교육을 도입한다면 미래를 대비하기에는 역부족일 수 있습니다.

DevOps 도입에 진정으로 성공하는 기업은 드뭅니다. 하지만 조직 전반에 걸친 적절한 지원과 육성, 그리고 이해가 뒷받침된다면 프로세스를 완전히 탈바꿈할 수 있습니다.

최근 발생한 GitHub 저장소 공격은 보안 업계의 고질적인 문제를 여실히 보여줍니다. 대다수의 개발자가 보안 의식이 부족하며, 이로 인해 소중한 데이터가 언제든 위험에 노출될 수 있다는 사실입니다.

코드의 취약점을 찾아내는 솔루션은 많지만, 보안 분야는 개발자가 애초에 실수를 저지르지 않도록 보안 가이드라인을 준수하는 방법을 교육하는 데 더 많은 중점을 두어야 합니다.

사이버 보안이 중요하다는 것은 누구나 알지만, 공급망이라는 맥락에서 그것이 실제로 무엇을 의미할까요?

GDPR의 시행과 더불어, 다수의 유명 인사 및 독일 연방 정부 서버의 민감한 데이터를 노출시킨 다단계 공격 이후 수정된 전략을 고려할 때, DACH 지역 리더들에게 사이버 보안 인식과 대응이 최우선 과제임은 분명합니다.

보안을 기업 혁신의 걸림돌로 여기는 사고방식에서 벗어나야 합니다.

개발자는 각계각층의 다양한 배경을 가진 사람들로 구성되어 있으며, 우리가 하는 모든 일에는 항상 공동체 의식이 깃들어 있습니다.

무엇이 안전한 코딩을 구성하는지에 대한 인식은 여전히 논쟁의 대상입니다. Evans Data와 협력하여 진행한 최근 연구에 따르면 이러한 정서는 명확하게 드러났습니다. '2022년 개발자 주도 보안 현황(State of Developer-Driven Security 2022)' 설문조사는 1,200명의 현직 개발자가 가진 핵심 통찰과 경험을 깊이 있게 다루며, 보안 영역에 대한 그들의 태도와 과제를 조명합니다.

고객 성공 부문 부사장인 파테마 베이둔(Fatemah Beydoun)은 최근 "미래를 위한 멘토링: 사이버 보안 분야에서 여성 인재를 육성하기 위해 우리가 할 수 있는 일"이라는 주제로 강연을 펼쳐 큰 호응을 얻었습니다. 그녀는 사이버 보안 업계 내 긍정적인 변화를 이끄는 데 핵심적인 역할을 해왔습니다.

보안 코딩은 대학 수준의 소프트웨어 공학에서 필수 과정이 되어야 하지만, 일부 대학들은 이미 최고 수준의 교육을 제공하고 개발 초기 단계부터 보안을 최우선으로 고려하는 문화를 선도하고 있습니다.

창의적이고 영감을 주는 CISO와 CIO는 디지털 세상을 혁신하고 형성할 힘을 가지고 있으며, 조직의 보안 문화를 변화시키는 데에도 중추적인 역할을 할 수 있습니다.

VxWorks라는 이름이 일반 소비자에게는 생소할지 몰라도, 이 소프트웨어는 매일 우리 모두의 삶에 유익한 역할을 하고 있습니다. 그런데 지금, VxWorks 기반의 수억 대 기기가 해킹 위험에 노출되었다는 사실이 밝혀졌습니다.

우리는 보안을 모든 개발자의 업무 생활에 필수적인 부분으로 만들기 위해 대화의 방식을 바꿔야 합니다. 이를 위한 가장 좋은 방법 중 하나는 게임화와 같은 방식을 통해 개발자들에게 보안에 대한 권한을 부여하고 적극적으로 참여하도록 유도하는 것이라고 생각합니다.

어느덧 한 해를 마무리하며 지난 365일 동안 우리가 성장을 위해 무엇을 준비했고, 어떤 교훈을 얻었으며, 또 앞으로 마주할 예측 불가능한 미래를 어떻게 대비해 왔는지 되돌아보는 특별한 시간이 찾아왔습니다.

이제 공식적으로 발표합니다. 저희는 Bugcrowd와 손잡고 개발자들에게 안전한 코딩 교육을 제공하며, 그들의 역량을 강화하고 인식을 개선하는 데 앞장서기로 했습니다.

이제 보안에도 변화가 필요한 시점이 아닐까요? 보안에 대한 대화 방식을 바꾸고, 개발팀을 비롯한 모두에게 조금 더 긍정적이고 재미있는 경험을 제공하는 것만으로도 충분히 가능합니다.

경영진을 대상으로 사이버 보안 교육을 하든, 개발자들에게 JAVA나 C# 보안 코딩 기술을 가르치든, 창의성과 게임화, 그리고 재미를 더할 여지는 언제나 있습니다.

6월 23일은 '세계 여성 엔지니어의 날'로, 기술 분야 종사자들에게는 특별한 날입니다. 소프트웨어 개발 분야에서 여성들이 기여한 바를 조명할 수 있는 좋은 기회이기도 합니다.

소프트웨어 보안 업계는 따뜻한 감성이나 엉뚱한 관찰, 인생에 대한 성찰과는 거리가 먼 곳으로 알려져 있습니다. 하지만 나이가 들면서 우리 모두가 세상에 어떤 영향을 미칠 수 있는지에 대해 다시금 생각하게 됩니다.

모든 산업 분야의 모든 조직에 영향을 미치는 사이버 공격이 증가함에 따라, 막대한 비용과 이미지 실추, 수익성 악화를 초래하는 데이터 유출의 위협은 매우 현실적인 문제가 되었습니다. 이 문제는 줄어들기는커녕 종양처럼 커지고 있습니다.

업계의 많은 보안 전문가들이 올해의 주요 이슈를 예측하기 시작했습니다. 하지만 2019년에만 50억 건 이상의 민감한 데이터 기록이 유출된 상황을 고려할 때, 가까운 미래의 사이버 보안 분야에서 일어나지 않을 일을 예측하는 것이 더 정확할 것이라고 판단했습니다.

효과적인 개발자 보안 교육을 도입하기 위한 5가지 핵심 교훈

앱과 소프트웨어의 책임을 엄격한 계층 구조 내에서 정의하고 최소 권한 원칙을 적용함으로써, 우리는 위협적인 환경 속에서도 앱과 소프트웨어가 안전하게 생존하고 성장할 수 있도록 보장할 수 있습니다.

오픈소스 소프트웨어 보안 동원 계획(Open Source Software Security Mobilization Plan)은 개발자 주도 보안을 위한 긍정적인 발걸음입니다. 하지만 우리 모두는 잠시 멈춰 서서, 과연 우리 조직이 최신 방어 전략을 구현할 만큼 충분히 성숙한지, 그리고 우리 개발 팀이 그에 걸맞은 보안 인식과 기술을 갖추고 있는지 솔직하게 평가해 보아야 합니다.

조직의 앱 보안(AppSec) 예산을 최대한 활용하는 방법과 같은 뜨거운 감자부터 청중의 까다로운 질문까지, '앱 보안 리더(Leaders in AppSec)' 패널 토론은 보안 전문가들이 조직 내에서 실행 가능한 프로그램을 구축하는 데 실질적인 도움을 주는 유익한 시간이었습니다.

딸이 성장하고 회사가 커갈수록 스타트업의 여정과 초보 부모의 여정 사이에 정말 많은 공통점이 있다는 것을 깨닫습니다. 저는 이제 두 여정 모두 4년 차를 맞이했습니다.

신입 개발자든 베테랑 개발자든 모든 개발자가 반드시 던져야 할 질문이 있습니다. 그리고 그 질문에 대한 답은 매우 중요합니다.

현대 사이버 보안의 끊임없는 공세에 맞서기 위해 우리는 현실적인 조언이나 가장 빠른 해결책을 얻지 못하고 있습니다. 물론 각 침해 사고는 저마다의 특성이 있고, 취약한 소프트웨어에는 악용될 수 있는 수많은 공격 벡터가 존재합니다. 범용적인 조언에는 한계가 있겠지만, 현재의 모범 사례 접근 방식은 시간이 갈수록 결함이 드러나고 있습니다.

레거시 COBOL은 오래된 컴퓨터 언어이지만 오늘날까지도 여전히 효과적입니다. Secure Code Warrior에서 COBOL 보안 애플리케이션 개발에 대해 자세히 알아보세요.

API 보안은 대부분의 보안 전문가들이 항상 염두에 두고 있는 문제이며, 우리는 이에 대응할 지식을 갖춰야 합니다.

올해 초, PCI 보안 표준 위원회(PCI Security Standards Council)는 지불 카드 산업 데이터 보안 표준(PCI DSS) 버전 4.0을 발표했습니다. 조직이 4.0 버전을 완전히 준수해야 하는 시점은 2025년 3월까지이지만, 이번 업데이트는 역대 가장 혁신적인 변화를 담고 있어 대부분의 기업이 복잡한 보안 프로세스와 기술 스택의 요소들을 평가하고 업그레이드해야 할 것입니다. 이는 역할 기반의 보안 인식 교육과 개발자를 위한 정기적인 보안 코딩 교육을 시행하는 것 외에도 추가로 요구되는 사항입니다.

Secure Code Warrior의 CEO이자 공동 창립자인 Pieter Danhieux와의 CyberNews Q&A.

CISA의 국가 사이버 보안 전략은 전반적인 소프트웨어 표준을 높이고, 마침내 보안 역량을 갖춘 개발자들의 새로운 시대를 열 수 있는 최고의 기회입니다.

LLM 기반 AI 기술이 소프트웨어 개발뿐만 아니라 업무의 여러 측면에 접근하는 방식을 변화시킬 것이라는 점은 이제 피할 수 없는 흐름으로 보입니다. 하지만 우리는 잠시 멈춰 서서 헤드라인 너머에 숨겨진 위험을 고려해야 합니다. 코딩 동반자로서 AI가 가진 결함은 어쩌면 가장 "인간적인" 특성일지도 모릅니다.

당사는 시리즈 C 투자 유치를 완료하여 5,000만 달러를 확보했습니다. 이 자금은 더 많은 선도적 기업들이 개발자 역량을 활용하여 일반적인 취약점을 효과적으로 방어할 수 있도록 돕는다는 당사의 다음 단계 미션을 수행하는 데 사용될 예정입니다.

시리즈 C 투자 유치 소식을 전해드린 데 이어, 우리 회사의 여정에 또 다른 중요한 발걸음을 내딛게 되어 매우 기쁩니다. 보안 업계의 선두 주자인 시놉시스(Synopsys)가 자사 제품군에 Secure Code Warrior 기반의 '시놉시스 개발자 보안 교육(Synopsys Developer Security Training)'을 새롭게 추가했습니다.

사이버 보안 전략 계획은 대부분의 조직이 사이버 보안에 접근하는 방식에 큰 변화를 요구하고 있으며, 개발자들은 이러한 새로운 목표를 달성하는 데 핵심적인 역할을 할 수 있는 위치에 있습니다.

오늘은 창립 9주년입니다. 급변하는 사이버 보안 환경 속에서 우리가 이룬 성과와 확고한 입지를 되돌아보니, 그 어느 때보다 큰 자부심과 감사함을 느낍니다.

주요 리눅스 배포판에서 사용되는 XZ Utils 데이터 압축 라이브러리에서 위협 행위자가 백도어를 삽입하여 발생한 치명적인 취약점 CVE-2024-3094가 발견되었습니다. 이 심각한 취약점은 원격 코드 실행 가능성을 열어두어 소프트웨어 빌드 프로세스에 중대한 위험을 초래합니다. Fedora Rawhide의 초기 버전(5.6.0 및 5.6.1)이 영향을 받으며, 조직은 즉시 패치를 적용해야 합니다. 이번 사건은 오픈소스 소프트웨어 유지보수에서 커뮤니티 자원봉사자의 중요한 역할을 재확인시켜 주었으며, 소프트웨어 개발 수명 주기 내 보안 관행 및 접근 제어 강화의 필요성을 강조합니다.

Secure Code Warrior의 창립 팀은 10년이라는 긴 시간 동안 모든 교훈과 성공, 그리고 좌절을 함께하며 회사를 이끌어 왔습니다. 이제 우리는 개발자 리스크 관리 분야의 리더로서 다음 단계인 SCW 2.0을 향해 도약할 준비를 마쳤습니다.

바이브 코딩은 대학생들의 파티와 같습니다. AI는 그 파티의 중심인 맥주통과 같죠. 마음껏 즐기며 창의력을 발휘해 상상력을 펼치는 것은 즐거운 일이지만, 파티가 지나치면 탈이 나듯 AI 활용도 적당히 조절하는 것이 장기적으로 훨씬 안전한 방법입니다.

사이버 보안 업계는 에이전트형 AI를 향해 너무 빠르게 달려가고 있는 걸까요? AI 보안의 미래는 이미 우리 곁에 와 있으며, 이제 전문가들은 고민을 넘어 실질적인 대응에 나서야 할 때입니다.

2025년은 AI와 사이버 보안, 그리고 SCW에게 매우 중요한 한 해였습니다. 저는 2026년을 차분한 자신감으로 맞이하고 있으며, 노력의 결실이 가져다주는 낙관적인 기대를 품고 있습니다.

Secure Code Warrior와 KnowBe4의 전략적 파트너십을 발표하게 되어 매우 기쁩니다. KnowBe4는 인간 및 에이전트형 AI 리스크 관리 분야의 세계적인 선두 기업으로, 전 세계 조직에 필수적인 보안 인식을 확산하는 데 있어 완벽한 파트너입니다.

KnowBe4에서 제공되는 Secure Code Warrior 콘텐츠는 기술 팀이 OWASP Top 10 위험, AI 지원 개발, 최신 보안 코딩 관행을 다루는 체계적인 학습을 통해 보안 코딩 및 AI 거버넌스 인식을 높일 수 있도록 지원합니다.

Adaptive Learning은 SCW Trust Agent와 당사의 전체 학습 플랫폼을 연결하여, 개발자의 실시간 활동에 완벽하게 맞춘 교육을 제공합니다.

Secure Code Warrior는 오늘 보안 리더들이 조직 내 AI 도입 단계를 파악하고 AI 보안 위험을 효과적으로 통제할 수 있도록 돕는 지침 중심의 새로운 AI 도입 모델 백서를 발표했습니다.

AI 자동 완성부터 자율형 에이전트까지, 소프트웨어 개발의 진화 과정과 이것이 보안, 거버넌스, 그리고 팀에 미치는 영향을 살펴보세요.