내 워크플로우를 방해하지 마세요!적절한 시기에 적절한 보안 교육을 받을 수 있는 방법

여러분이 지난 번 일을 했을 때를 생각해 보십시오. 아마도 소프트웨어 프로젝트 팀에서 불가능할 만큼 기한을 맞추기 위해 일했던 때를 생각해 보십시오.그러자 매니저가 다가와 몇 가지 필수 보안 교육을 받아야 한다고 말하며, 무엇보다 업무 시간에 집중해야 한다고 합니다.

그들은 알고 있고 여러분도 알고 있습니다.거대한 PITA이긴 하지만 규정 준수를 위해 백그라운드에서 지루한 교육 동영상을 재생하면서 코딩을 계속하고 두 작업 모두를 조정하고 어느 쪽에도 온전히 집중하게 될 것입니다.이는 일반적인 시나리오입니다. 운영 중단이 심하고 모두의 시간을 낭비하게 됩니다.대부분의 보안 교육은 너무 일반적이어서 실제 가치도 없이 업무 시간에 들어오고 나가는 내용을 간과하기 쉽습니다.

기업으로서 우리의 목표는 고객에게 더 효과적이고 효과적인 유형의 보안 교육을 제공하는 것입니다. 이는 각 우선 순위가 일치하지 않을 때 AppSec 팀이 중요하다고 말하는 내용에서 벗어나는 것이 어떤 느낌인지 정확히 아는 데서 비롯되었습니다.하지만 흥미로운 점은 필요할 때 교육을 받는 데 방해가 되는 장벽을 줄이기 위해 무엇을 할 수 있을지 생각하기 시작했다는 것입니다. 전체 플랫폼을 사용하더라도 여전히 도움이 필요하지만 교육 세션에 집중할 수 없는 순간에 업무에서 벗어날 수 있는 몇 가지 단계가 있습니다.

워크플로우, IDE 또는 이슈 트래커에서 마이크로 러닝을 보다 원활하게 구현할 수 있는 방법을 살펴보았습니다.그리고 우리가 생각해낸 것은 다음과 같습니다.

이는 Just-In-Time (Just-In-Time) 원칙에 기반합니다. Just-in-Time (Just-In-Time) 원칙은 올바른 지식을 적시에 제공하여 즉시 효과적이고 유용하게 사용할 수 있도록 합니다.이는 만약을 대비한 학습 방식과는 정반대입니다. 정보 과부하로 인해 기능 구축에 필요한 귀중한 시간과 헤드스페이스가 낭비되는 경우가 많습니다.

품질 코드는 안전한 코드이므로 가끔 협업할 수 있는 비침습적 보안 보조 도구가 필요한 경우 테스트 드라이브로 가져가는 것이 좋습니다.

장벽을 없애고 교육을 받으십시오.

일부 사용자에게는 사이버 보안이 관심사일 수 있지만 모든 사람은 그렇지 않습니다.개발자가 보안 전문가가 될 것이라고 기대하는 사람은 아무도 없습니다. 이는 여전히 전문 AppSec 팀의 임무입니다.하지만 보안을 잘 아는 개발자들은 코드 구축 단계부터 조직에 제공할 수 있는 기술과 보호 능력으로 높이 평가받고 있습니다.수요가 많은 분야이므로 상황에 맞는 마이크로 러닝을 통해 시간이 지남에 따라 기반을 구축할 수 있습니다.

이제 Clippy와 같은 통합 교육을 생각하고 있다면 (그가 평화롭게 쉬기를), Secure Code Warrior의 통합의 경우 개발자가 개발자를 위해 구축했기 때문에 자극 요인이 고려되어 제거되었다는 점에 유의하는 것이 중요합니다.

실제로 확인해 보겠습니다.

Github용 Secure Code Warrior는 레이블, 이슈 제목, 이슈 본문의 공통 약점 열거 (CWE) 또는 OWASP 참조에 대한 코드를 검사하여 상황에 맞는 적시 교육을 표시합니다.취약점 레퍼런스가 발견되면 해당 문제에 대한 코멘트가 게시되어 취약점의 재발을 신속하게 해결하고 방지하는 데 도움이 됩니다.프로세스를 중단하거나 해결책을 찾기 위해 여러 단계를 거칠 필요 없이 문제와 통합됩니다.

Jira를 사용하는 경우 프로세스는 비슷합니다.

보안에 대해 잘 알고 있는 현직 슈퍼스타라면 마법을 부리는 것이 여러분의 몫이 아니라는 점을 기억하는 것이 중요합니다.보안을 중요하게 여기고 자체 워크플로우에 적용해야 하는 지원, 교육, 그리고 이유가 필요합니다.다행스럽게도 이 모든 것이 제대로 작동하는 DevSecOps 프로세스의 일부이며 많은 조직에서 이미 이에 주목하고 있습니다.먼저 시작해보는 건 어떨까요?

지금 다운로드하세요, 어떻게 생각하는지 알려주세요.