게임화가 소프트웨어 보안 수준을 높이는 데 핵심인 이유

AppSec 관리자, CISO, CIO, 사이버 보안 전문가 등 저는 소프트웨어 개발 및 보안 분야에서 경력을 쌓으면서 전 세계 모든 종류의 회사에서 일하면서 많은 이들과 이야기를 나눴습니다.

상황이 다르든, 팀의 경험이 아무리 다르든, 끊임없이 변화하는 디지털 세상에서 시간이 얼마나 흘렀든, 항상 같은 한 가지 문제가 있습니다. 바로 보안에 대해 개발팀을 긍정적으로 참여시키는 일이 거의 없다는 것입니다.보안은 여전히 더러운 단어이자 팀 간 갈등의 근원이자 업계의 이면적인 골칫거리이기도 합니다.

하지만 소프트웨어 보안은 우리의 일반적인 사고방식으로는 이 길을 계속 이어가기에는 너무 중요합니다.우리는 대화를 바꾸고 보안을 모든 개발자의 업무 생활에서 없어서는 안 될 부분으로 만들기 위해 노력해야 합니다.이를 위한 가장 좋은 방법 중 하나는 예를 들어 게임화를 통해 개발자들의 보안 역량을 강화하고 참여를 이끌어내는 것이라고 생각합니다.

현재의 풍경

개발자들은 보안 코드 제공에 대한 실용적인 지식이 거의 없는 상태로 대학을 졸업하고 보안 교육이 거의 우선순위가 아닌 직업에서 일합니다 (그리고 우선순위가 높을 때는 보통 보건 및 안전에 관한 필수 규정 준수 비디오의 일부이기 때문에 아무도 보안 코딩에 관심을 갖지 않을 것입니다).보안에 대해 처음 접하는 것이 감사 또는 테스트 버그 보고서인 경우가 많은데, 이 경우 이후 릴리스가 갑자기 중단되어 순식간에 창의력이 흐트러집니다.이들은 보안 보고 책임자와 논쟁을 벌이기 때문에 마음 속에서 '보안'은 '비판'과 동의어로 떠오릅니다.맙소사.

소프트웨어 보안에 대한 이러한 부정적인 인식이 널리 퍼져 있다는 것은 솔직히 안타까운 일입니다.결국, 제 경력에서 가장 기억에 남는 것 중 일부는 소프트웨어 보안에 대해 배운 것과 관련이 있습니다.저는 해킹 초기 시절을 컨퍼런스에 참석하면서 보냈습니다. 컨퍼런스에서는 동료들을 상대로 제 기술을 시험해 볼 수 있을 뿐만 아니라 (솔직히 말해서 약간의 과시도 할 수 있었습니다), 저처럼 소프트웨어를 망가뜨리는 것을 즐기는 같은 생각을 가진 사람들을 만나면서 정말 즐거운 시간을 보냈습니다.

BruCon, DefCon, BlackHat... 이러한 이벤트는 저와 같은 사람들이 친선 대회에서 우리의 기술을 활용할 수 있는 기회를 제공했습니다.제가 이런 반사회적인 일에 가담한 것은 절대 인정할 수 없지만, 어떤 사람들은 다른 참석자들의 전화기에 침입해 프레젠테이션 화면에 자신의 정보를 모두가 볼 수 있게 보여줌으로써 해킹 실력을 과시하기도 했습니다.소프트웨어를 더 좋게 만들기 위해 이러한 결함을 찾아내는 것, 즉 이를 악용하고 고치는 것이 하나의 게임이 되었습니다.몇 년 전, 저는 중동에 사는 수백 명의 아이들 앞에서 사이버 보안에 대해 가르칠 수 있는 특권을 누렸습니다.제 학생들 중에 여덟 살짜리 여자아이가 아직도 기억나요. 게임을 하면서 암호 강제 적용과 Base64 인코딩에 대해 배우고 있었죠.

게임화는 코딩 기술을 가르치는 데에도 사용됩니다.전 세계 교육 기관에서는 고등학생까지 아주 어린 아이들을 대상으로 코딩을 가르치기 위해 이 접근법을 활용하고 있습니다.이제 4세 미만의 어린이들은 다음과 같은 명절 프로그램에 정기적으로 참석합니다. 코드캠프그리고 아이들에게 파이썬과 다른 언어로 코딩하는 방법을 가르치는 환상적인 온라인 프로그램이 많이 있습니다.심지어 스크린리스 코딩이라는 놀라운 도구도 샀어요. 쿠베토네 살짜리 제 딸을 위해서요

하지만 이 모든 재미와 발전에도 불구하고 격차가 있습니다.아무도 게임화를 활용하여 개발자들에게 보안 코드 작성 방법을 교육할 수 있을지에 대해 생각해 본 사람은 아무도 없었습니다.

글쎄요... 거의 아무도 없어요.몇 년 전, 저는 보안을 다시 한 번 고무적으로 만들고 개발자들이 참여하고 게임을 시작하도록 동기를 부여해야 한다는 것을 깨달았습니다.

게이미피케이션: 간단한 방법.

제 내면에는 보안 지식을 갖춘 개발자의 역량을 높이고 역량을 강화하려는 깊은 의욕이 담겨 있습니다. 제가 Secure Code Warrior를 만들게 된 것도 바로 이러한 열정 때문입니다.소프트웨어 보안은 매우 중요하고, 정말 흥미로울 수 있습니다.

제 생각은 저만 그런 게 아니에요.

게임화는 가장 일상적인 작업도 더 재미있게 만들고 사람들이 계속 플레이하고, 승리하고, 발전하고 싶어할 만큼 참여도를 높일 수 있습니다. Pokmon Go의 방식을 보세요!심지어 가장 게으른 사람도 소파에 앉아서 야외에서 상상의 생물을 찾거나 FitBit이 많은 사람들이 걸음 수를 세는 것을 매일 목표로 삼는 것처럼 말이죠... 목표가 달성되지 않거나 연속이 끝나고 배지를 받지 못하면 정말 실망감을 느끼게 됩니다.

이제 보안 교육으로 돌아가겠습니다.우리는 게임화가 조직의 보안 문화를 진정으로 변화시키고, AppSec과 개발 팀 간의 가교 역할을 할 뿐만 아니라 더 높은 수준의 소프트웨어를 구축할 수 있도록 지원하는 데 매우 중요하다는 것을 많은 고객으로부터 입증했습니다.

현재 보안은 개발자의 우선 순위가 아닙니다.트레이닝 방법에 친근하고 경쟁적이며 매력적인 요소를 추가함으로써 개발자들이 '플레이'만 하는 것이 아니라 계속 돌아와서 더 많은 점수를 얻고, 높은 점수를 받고, 정확도를 높이고, 동료 팀원들에게 도전하도록 동기를 부여할 수 있습니다.

성공적인 훈련은 다음과 같다는 것을 이미 알고 있습니다.

• 개발자는 실제 코드와 자신의 언어/프레임워크로 작업할 수 있습니다.
• 챌린지는 짧으며 일반적인 보안 취약점을 모두 다룹니다.
• 챌린지는 지속적으로 확장 및 업데이트되므로 개발자들은 시간이 지나도 계속해서 기술을 쌓을 수 있습니다.
• 과제는 복잡성이 다양하므로 상급 개발자와 경험이 적은 개발자 모두에게 매력적입니다.
• 개발자와 관리자는 완료한 과제, 강점과 약점, 교육에 소요된 시간, 전반적인 정확도 등 진행 상황을 확인할 수 있습니다.

저희 최대 고객 중 한 곳은 게임화된 플랫폼의 진정한 마법을 보여줬습니다. 개발자들에게 테마별 팀 장비를 제공하고, 게임 우승자에게 놀라운 상품을 제공하고, 토너먼트를 기억에 남는 날로 만들었죠.이후 국제 대회도 열었고, 팀 전체가 오늘날까지도 진지한 훈련 시간을 보내고 있습니다.

여러분만의 소프트웨어 혁명은 여기서 시작됩니다.호주 은행 업계는 기존의 (또는 지루한) 교육을 완전히 바꿔버리는 진정으로 혁신적인 접근 방식으로 나쁜 코드와의 싸움에 게임화된 교육을 도입하는 데 앞장서고 있습니다. 저희 고객이 어떤 일을 했는지 확인해 보세요. 넥스트 레벨 토너먼트.준비되셨나요? 팀 레벨 업 우리와 함께?

우리는 대화를 바꾸고 보안을 모든 개발자의 업무 생활에서 없어서는 안 될 부분으로 만들기 위해 노력해야 합니다.이를 위한 가장 좋은 방법 중 하나는 예를 들어 게임화를 통해 개발자들의 보안 역량을 강화하고 참여를 이끌어내는 것이라고 생각합니다.