2024년 전망: 보안, AI, 개발자 유지 및 앞으로의 과제

한 해를 마무리하며 지난 시간을 되돌아볼 시기가 왔습니다. 예상했던 일과 그렇지 않았던 일, 배운 교훈, 그리고 앞으로 12개월 동안의 의사결정과 행동, 성과를 좌우할 요소들을 정리해 보았습니다.

어려운 경제 상황, 새로운 사이버 보안 위협, 그리고 대중에게 가장 친숙하게 다가온 AI의 등장은 2023년 DevSecOps 분야를 흥미롭게 만들었습니다. 더욱 흥미로운 점은 2024년을 맞이하는 지금도 이러한 요소들이 여전히 중요한 과제로 남아 있다는 것입니다. 이는 기업과 개발자, 보안 팀, 그리고 정부 규제 기관 모두에게 최우선 순위가 되었습니다.

우선순위가 빠르게 변화하는 가운데, Secure Code Warrior가 예측하는 향후 12개월의 주요 전망은 다음과 같습니다.

기업들은 개발자 유지에 사활을 걸 것입니다

개발자는 기업과 고객에게 엄청난 가치를 제공합니다. 이제 기업은 개발자의 가치를 인정하고 그들이 수익 창출에 기여하는 바를 높이 평가해야 합니다. 개발자가 현재 직장을 장기적인 커리어의 종착지로 삼을 수 있도록 지원하는 전략과 프로그램, 그리고 다양한 노력에 더 많은 투자가 이루어질 것입니다. 교육과 개발 지원은 기업의 핵심적인 차별화 요소가 될 것입니다.

개발자에게 요구되는 사항이 늘어남에 따라 콘텐츠와 통합 기능이 핵심으로 떠오를 것입니다.

기업들이 더 많은 소프트웨어를 더 빠르게 고객에게 전달하고 지속적인 디지털 전환을 이루고자 함에 따라 개발자가 받는 압박은 당분간 줄어들지 않을 것입니다. 개발자가 역량을 유지하고, 소프트웨어 개발 수명 주기(SDLC)의 잠재적 장애물을 예측하며, 혁신을 가속화할 리소스를 확보하기 위해서는 더 많은 학습 콘텐츠와 타사 통합 기능이 무엇보다 중요해질 것입니다.

AI 도구가 새로운 Stack Overflow가 될 것입니다

개발자들이 도움을 얻기 위해 Stack Overflow나 오픈 소스 포럼을 찾던 것처럼, 이제는 AI 도구를 활용하기 시작할 것입니다. 하지만 이는 잘못된 보안 의식을 심어줄 수 있습니다. 개발자들은 AI를 '도움 채널'로 사용하겠지만, 기업들은 이러한 접근 방식만으로는 충분하지 않다는 사실을 깨닫게 될 것입니다.

AI를 활용한 취약점 수정은 이제 일상이 될 것입니다

AI가 당장 개발자를 대체하지는 않겠지만, 소프트웨어 개발 수명 주기(SDLC)에 더욱 깊숙이 자리 잡으며 취약점 발생을 방지하거나 적절한 수정 방안을 찾는 과정을 더욱 확실하게 만들 것입니다. 올해는 다양한 실험이 이어질 것이며, 이는 필연적으로 개발자의 행동 변화, 기업의 투자 방향, 인력 재배치, 그리고 사이버 보안 위험 관리에 대한 새로운 접근 방식을 가져올 것입니다.

AI 의존도 심화와 API의 폭발적 증가가 규제 조치로 이어질 것입니다

API의 신속한 생성과 활성화를 통해 비즈니스를 확장하는 기업이 늘어나면서 API 위협 벡터도 크게 확대되었습니다. AI 사용으로 API 생성 및 출시 속도가 기하급수적으로 빨라짐에 따라 API 보안에 대한 거버넌스 강화가 필수적인 과제가 될 것이며, 새로운 규제 조치 도입이 확실시됩니다.

보안 코드를 제공하지 않는 소프트웨어 공급업체에 대한 책임이 강화될 것입니다

Jen Easterly CISA 국장은 소프트웨어 공급업체가 자사 제품의 보안 문제에 대해 책임을 회피해서는 안 된다는 점을 분명히 했습니다. CISA의 권한은 연방 기관에 소프트웨어를 판매하는 공급업체의 '설계 단계부터 보안(Secure-by-Design)' 관행을 강제하는 수준에 국한되지만, 올해 초 발생한 MOVEit 사건은 대형 소프트웨어 공급업체가 새로운 기준을 충족하고 이를 넘어서야 함을 재확인시켜 주었습니다. 보안이 취약한 코드를 반복적으로 제공하는 업체에 대해서는 더 큰 책임과 강력한 제재가 필요합니다.

2024년 OWASP Top 10은 설계 결함에 대한 새로운 초점을 보여줄 것입니다

Secure-by-Design과 관련하여, 2021년 OWASP는 아키텍처 보안 문제와 결함으로의 전환에 초점을 맞춘 'Insecure Design(보안이 취약한 설계)' 범주를 도입했습니다. 곧 발표될 Top 10 목록(2024년 예상)을 앞두고, 보안이 취약한 설계와 구현의 차이에 대한 경영진 차원의 논의가 더욱 활발해질 것입니다. 특히 중요한 인증 및 액세스 제어 구성을 지원하는 완전한 위협 모델링 절차를 포함하여, 안전한 소프트웨어 개발 수명 주기(SSDLC)를 구축하는 팀에 대한 강조가 커질 것입니다.

DevSecOps 벤더는 다양한 경영진 구매자를 공략하기 위해 구체적인 투자 수익률(ROI)을 입증해야 할 것입니다.

경쟁이 치열한 영업 환경에서 여러 그룹을 대상으로 판매하려면 벤더는 비즈니스의 각 영역에 맞춰 대화를 조정해야 합니다. 전통적으로 보안 벤더는 주로 CISO나 보안 리더십을 대상으로 영업해 왔습니다. 2024년에는 보안/CISO뿐만 아니라 L&D 및 DevOps/AppSec 분야의 경영진을 위해 점점 더 구체적인 맥락에서 위험 감소를 입증할 수 있는 역량이 더욱 중요해질 것입니다.

'게이트키핑'이 소프트웨어 개발 보안 성숙도를 높이는 핵심이 될 것입니다.

CISO는 사이버 보안 노력의 비즈니스 가치와 프로그램의 장기적인 효과를 입증해야 한다는 압박을 계속 받고 있습니다. 개발자들은 민감한 저장소를 다루는 프로젝트를 맡기 전에 보안 인식을 갖추었음을 증명해야 하는 상황이 늘어날 것입니다. '게이트키핑' 표준을 도입하고 소프트웨어 개발 초기부터 안전한 코딩을 우선시하는 CISO가 보안 우수성을 달성하는 팀을 만드는 데 유리할 것입니다.

사후 대응식 보안은 구식으로 간주될 것입니다.

사이버 회복탄력성 강화가 여러 산업 분야에서 사이버 전략의 핵심 목표로 자리 잡으면서, 대응과 사고 처리에만 의존하는 계획은 용납할 수 없는 노출과 위험을 초래할 것입니다. '시프트 레프트(Shift left)'는 단순히 유행어에 그쳐서는 안 됩니다. 코드 수준의 보안을 우선시하고, 우리가 당연하게 여기는 소프트웨어와 핵심 디지털 인프라를 다루는 개발자의 역량을 교육하고 검증해야 합니다. 이제 정부와 기업 모두 모든 직원이 책임을 공유할 수 있는 예방적이고 높은 수준의 보안 프로그램을 구축하는 데 전념해야 합니다.

안전한 코딩 교육 및 구현 분야의 리더로서, 저희는 다가오는 한 해 동안 600개 이상의 고객사와 협력하여 이러한 변화하는 역학 관계에 앞서 나갈 수 있기를 기대합니다. 여러분의 2024년은 어떤 모습인가요? Secure Code Warrior가 어떻게 도움을 드릴 수 있을까요?

더 자세히 알고 싶으신가요? X와 LinkedIn에서 저희를 팔로우하고 최신 소식을 확인하세요.