귀사의 개발자는 위험의 최전선에 있나요, 아니면 방어의 최전선에 있나요? 보안 코딩 체크리스트를 통해 귀사의 수준을 평가해 보세요.

공공 기관이든 민간 기업이든 모든 조직에는 확실한 두 가지 사실이 있습니다. 첫째, 제품과 서비스가 점점 더 디지털화되고 있으며, 이는 소프트웨어 개발자가 코드를 작성하고 있음을 의미합니다. 둘째, 이러한 디지털 비즈니스는 더욱 역동적이고 글로벌화된 환경에서 전통적 경쟁자 및 새로운 경쟁자들의 압박을 받고 있습니다.

이러한 환경 속에서 CIO는 새로운 혁신가로 부상하며 권한과 영향력을 갖게 되었습니다. 그러나 시장 출시 속도를 높이고 품질을 향상하며 유연성을 증대해야 한다는 강력한 압박으로 인해 복잡하고 분산된 개발 팀이 구성되었고, 이들은 자신들이 초래할 수 있는 취약점은 고려하지 않은 채 기능과 특징을 빠르게 개발하는 데만 집중하고 있습니다.

그 어느 때보다 새로운 업무 방식이 필요합니다. 최근 보안 코딩 미흡으로 인해 발생한 에퀴팩스(Equifax)의 사례를 보면 알 수 있습니다. CIO와 CISO는 개발 팀이 위험의 첫 번째 관문인지, 아니면 회사의 보안 챔피언이자 진정한 '최후의 방어선'인지 신중하게 고민해야 합니다.

저는 CIO와 CISO가 개발 팀을 더 빠르고, 더 좋고, 더 안전한 코드로 혁신을 도울 수 있는 보안 코딩 챔피언으로 육성하고 있는지 점검할 수 있도록 이 보안 코딩 체크리스트를 만들었습니다.

1. 귀사의 경영진은 기존의 네트워크 보안만으로는 충분하지 않다는 것을 인지하고 있습니까?

기존의 보안 조치를 사용하여 네트워크 계층을 보호하는 것만으로는 더 이상 충분하지 않으며, 사실 반전문가 수준의 해커를 상대로도 성공하는 경우가 거의 없었습니다. 여러 보고서 중에서도 버라이즌(Verizon)의 2017년 데이터 침해 조사 보고서에 따르면, 오늘날 데이터 침해의 35%가 웹 애플리케이션 취약점으로 인해 발생합니다. 웹 애플리케이션 보안은 네트워크 보안만큼이나 중요합니다.

2. 보안을 처음부터 고려하고 있습니까?

현재의 애플리케이션 보안 도구는 소프트웨어 개발 수명 주기(SDLC)의 오른쪽에서 왼쪽으로 이동하는 데 초점을 맞추고 있습니다. 이러한 접근 방식은 탐지 및 대응을 지원하는데, 이는 보안 팀이 작성된 코드에서 취약점을 발견하고 이를 수정하는 데 반응한다는 의미입니다. 미국 국립표준기술연구소(NIST)에 따르면, IDE에서 코드를 작성할 때 취약점을 예방하는 것보다 커밋된 코드에서 이를 탐지하고 수정하는 데 30배 더 많은 비용이 듭니다. 문제를 해결하는 데 소요되는 시간 지연은 말할 것도 없습니다. 보안 코드 챔피언은 SDLC의 가장 왼쪽 단계부터 시작하여 개발자가 조직의 첫 번째 방어선이 되어 취약점을 사전에 예방할 수 있도록 지속적으로 보안 코딩 교육을 실시합니다.

3. 단순히 지식을 전달하는 것을 넘어 실제로 보안 기술을 구축하고 있습니까?

대부분의 교육 솔루션(온라인 및 오프라인)은 기술 구축보다는 지식 전달에 치중합니다. 개발자가 안전한 코드를 작성하려면 보안 코딩 기술을 적극적으로 배우고 구축할 수 있는 실습형 학습 기회를 정기적으로 제공받아야 합니다. 개발자는 실제 코드와 자신이 사용하는 언어/프레임워크에서 최근 확인된 취약점에 대해 배워야 합니다. 이러한 학습 경험을 통해 코드 내의 알려진 취약점을 찾고, 식별하고, 수정하는 방법을 이해할 수 있어야 합니다.

4. 실시간 지표로 보안 코딩 기술을 측정하고 있습니까?

개발자와 조직에 개발자의 보안 코딩 기술이 향상되고 있음을 증명하는 근거를 마련하는 것이 중요합니다. 측정할 수 없으면 개선할 수 없습니다. 귀사의 평가는 개발 팀의 실시간 진행 상황을 파악하고 보안 코딩의 강점과 약점을 벤치마킹하는 데 도움이 되어야 합니다.

5. 외부 협력업체가 보안 코딩 기술을 적용하고 있는지 확신할 수 있습니까?

많은 조직이 국내외 대형 개발 업체에 개발 업무를 위탁하기로 결정합니다. 최선의 경우에도 조직이 보안과 관련하여 요구하는 유일한 보증은 계약서에 결과물이 "안전해야 한다"는 문구를 넣는 것뿐입니다. 실제로 이러한 개발 업체의 기술력을 사전에 검증하는 곳은 거의 없으며, 결국 보안 코딩 관행을 따르지 않는 소프트웨어를 받게 됩니다. 최악의 시나리오는 이를 인지하지 못한 채 애플리케이션을 출시하는 것입니다. 가장 흔한 시나리오는 전문 보안 업체가 취약점을 발견하고(이 비용은 귀사가 부담합니다), 출시 지연 문제와 보안 결함 수정 비용을 누가 부담할 것인지에 대한 계약 분쟁에 직면하는 것입니다. 사전에 현명하게 대처하여 다음 애플리케이션을 구축할 개발자들의 애플리케이션 보안 기술을 평가하십시오.

6. 개발자들이 가장 흔한 보안 취약점을 인지하고 있습니까?

악용되는 웹 애플리케이션 취약점의 85.5%는 10가지 알려진 취약점, 즉 OWASP Top 10에 기인합니다. 귀사의 애플리케이션 보안 교육은 최소한 이 내용들을 포함해야 하며, 더 많은 유형의 취약점을 다루어야 합니다. 개발자가 완료해야 하는 과제는 새로운 코딩 프레임워크나 새로운 취약점 유형에 맞춰 지속적으로 수정 및 업데이트되어야 합니다.

7. 사내 보안 챔피언을 보유하고 있습니까?

개발자 비중이 높은 조직이라면 개발 팀 내에서 보안을 주도할 담당자를 반드시 두어야 합니다. 이들의 역할은 보안 관련 질문이 있는 누구에게나 지원 창구가 되어줄 뿐만 아니라, 팀 내에서 안전한 코딩 및 아키텍처 관행을 장려하는 것입니다.

8. 개발자가 더 쉽게 안전한 코딩을 할 수 있도록 돕는 도구에 투자하셨나요?

애플리케이션 변경이 잦거나 애자일 개발을 수행하는 환경에서는 보안의 일부를 자동화하여 속도와 규모를 맞추는 것이 필수적입니다. 개발 수명 주기의 각 단계에는 조언자, 품질 게이트 또는 탐지 도구 역할을 하는 다양한 도구가 있습니다. 개발자가 코드를 작성하는 동안 맞춤법 검사기처럼 작동하여 특정 유형의 보안 버그를 잡아내는 IDE 플러그인을 활용해야 합니다. 또한 코드 저장소에 코드가 제출될 때 특정 취약점을 탐지하는 빌드 프로세스 통합 도구도 있습니다. 소프트웨어가 운영 환경에 배포된 후 해킹 기법을 시뮬레이션하여 자동화된 테스트를 수행하는 도구도 존재합니다. 모든 도구에는 장단점이 있으며, 그 어떤 도구도 보안 문제를 100% 보장할 수는 없습니다. 핵심 원칙은 취약점을 일찍 발견할수록 수정 속도가 빠르고 비용이 저렴하며 비즈니스에 미치는 영향도 최소화된다는 점입니다.

CIO들이 기업의 애자일 역량을 공격적으로 구축함에 따라, 안전한 코딩 기술은 혁신의 강력한 무기가 될 것이며 이를 갖추지 못하는 것은 파멸의 도구가 될 것입니다. 이 중요한 역량을 간과하기 전에 다시 한번 신중히 생각하십시오.

귀사의 조직은 이 체크리스트 항목들을 얼마나 충족하고 있나요?

CIO들이 기업의 애자일 역량을 공격적으로 구축함에 따라, 안전한 코딩 기술은 혁신의 강력한 무기가 될 것이며 이를 갖추지 못하는 것은 파멸의 도구가 될 것입니다. 이 중요한 역량을 간과하기 전에 다시 한번 신중히 생각하십시오.