브런치 최고의 순간: 앱 보안 리더들이 전하는 지혜

앱 보안 전문가로 일하며 업계 최고의 인재들을 만나고 교류할 수 있었던 것은 큰 행운이었습니다. 그들은 전 세계적으로 방대해지는 코드망을 보호하고 강화하는 데 큰 족적을 남겼죠. 이제는 저도 경력이 쌓여(머리숱은 좀 줄었지만요!) 소프트웨어 보안의 미래를 이끌 인재들에게 조언을 건네는 역할을 자주 맡게 되었는데, 저는 이 일을 정말 좋아합니다. 하지만 리더이자 멘토로서 자신의 역할을 다하고 성장하려는 이들에게 가시적인 본보기가 되는 것 또한 얼마나 중요한지 잘 알고 있습니다.

최근 저는 Secure Code Warrior 팀과 함께 런던에서 브런치 행사를 열었습니다. 앱 보안 분야의 슈퍼스타들을 모아 네트워킹과 인사이트를 나누고 맛있는 간식도 즐기기 위해서였죠. 60명이 넘는 참석자 앞에서 전문가 패널들은 풍부한 경험과 지식을 공유하며 앱 보안의 미래에 대한 기대감을 한껏 높여주었습니다.

조직의 앱 보안 예산을 최대한 활용하는 방법과 같은 뜨거운 감자부터 청중의 까다로운 질문까지, 패널들은 보안 관리자와 전문가, 그리고 개발자들이 조직 내에서 실행 가능한 프로그램을 구축하는 데 실질적인 도움을 주는 유익한 시간을 선사했습니다.

이번 패널 토론에는 다음과 같은 리더들을 모셨습니다. 주제는 도구 대 사람: 앱 보안 예산은 양쪽 모두를 충분히 지원하고 있는가?

• 빈센트 길버트(Vincent Gilbert), CISO, 소시에테 제네랄(Societe Generale)
• 세드릭 레비-벤체톤(C̩dric Levy-B̩ncheton), CEO, 세톰(Cetome)
• 리나 샤(Reena Shah), 보안 및 개인정보 보호 문화/인식 책임자, M&G 프루덴셜(M&G Prudential)
• 리 썰로우(Lee Thurlow), 글로벌 앱 보안 이사, 피어슨(Pearson)
• 루이스 브램핏(Lewis Bramfitt), 전무이사, 브램핏 랩(Bramfitt Lab).

각 연사는 앱 보안 도구 환경에 대한 생각을 공유했습니다(스포일러: 오늘날 많은 조직이 엄청난 양의 소프트웨어를 생산하고 있어, 필요한 모든 기능을 수행하는 도구를 선택하는 것은 지뢰밭을 걷는 것과 같습니다. 결국 모든 것을 해결해 주는 단 하나의 도구란 없으니까요).

리나 샤(Reena Shah)는 흥미로운 지적을 했습니다. 불과 몇 년 사이에 대기업 내에서 앱 보안에 대한 인식이 긍정적으로 변화했으며, 덕분에 보안 모범 사례와 문화를 유지하기 위한 '사람에 대한 투자'라는 핵심 요소가 자리를 잡기 시작했다는 것입니다.

"변화하고 있다고 생각합니다. 4년 전 제가 이 일을 시작했을 때만 해도 보안 문화와 인식 제고를 위한 예산과 팀을 확보하기가 정말 어려웠습니다. 하지만 지금은 그런 어려움이 사라졌죠. '위험을 줄이기 위해 이 정도 예산과 인력이 필요합니다'라고 말하기가 매우 쉬워졌습니다. 엄청난 변화를 체감하고 있는데, 이는 경영진과 C-레벨 임원들이 보안 사고를 줄이기 위한 지원에 예산을 투입하는 것이 얼마나 중요한지 이해하기 시작했기 때문이라고 봅니다."라고 그녀는 말했습니다.

지금 바로 전체 패널 토론 영상을 시청하실 수 있습니다:

앱 보안의 미래가 최전선에 있는 개발자들에게 올바른 교육과 지식을 제공하는 데 중점을 두고 있다는 점은 매우 고무적입니다. 이를 통해 개발자들은 여전히 골칫거리인 고질적인 취약점에 맞서 탄탄한 방어 체계를 구축할 수 있게 될 것입니다.

도구는 하나의 지원 수단일 뿐입니다. 이제는 현실을 직시해야 합니다. 우리는 똑같은 실수를 반복하는 것을 멈춰야 합니다.

앱 보안 오류의 악순환 끊기

저는 '앱 보안 리더' 브런치 행사의 일환으로, 동일한 보안 취약점이 반복해서 발생하는 비용 많이 드는 고질적인 문제를 어떻게 해결할 것인지에 대해 발표했습니다. 도구는 취약점을 찾아낼 수는 있지만, 예방하는 데는 큰 도움이 되지 않습니다. 개발자들이 취약점을 처음부터 만들지 않도록 올바른 교육을 제공해야 합니다.

사실 개발자들은 참 독특한 집단입니다. 교육 방식에 따라 참여도와 습득력에 큰 차이가 나죠. 제 발표 전체 영상은 여기에서 확인하실 수 있습니다:

An emphasis on security training, as well as general awareness and a positive culture between developers and AppSec is like kryptonite to an attacker. Those little back-door openings shut, those easy ways to our data dry up, and security superheroes are working together to make security synonymous with software quality.

느리지만 확실하게, 우리는 목표를 향해 나아가고 있습니다.