신뢰 구축: 앱 보안 팀과 개발자 간의 진정한 보안 시너지를 위한 길

이 글은 Cyber Defense Magazine에 게재되었던 내용을 업데이트하여 이곳에 다시 발행한 것입니다.

불신이라는 위태로운 기반 위에 세워진 관계라면, 기대치를 낮추는 것이 좋습니다. 안타깝게도 조직 내 개발자와 앱 보안(AppSec) 팀의 업무 관계가 바로 이런 상태인 경우가 많습니다. 대체로 냉랭하고 서로의 업무를 방해하는 경향이 있어 상황이 이상적이지 않으며, 기술 의존도가 높은 오늘날의 환경에서 좋지 못한 결과를 초래합니다.

개발자는 문제 해결과 기능 구현, 그리고 창의적인 업무 수행에서 보람을 느낍니다. 반면 앱 보안 팀은 코드에서 보안 취약점을 찾아내 수정하도록 되돌려 보내고, 엔지니어가 공들인 프로젝트의 빛을 바래게 하는 감사 보고서를 작성해야 하는 난처한 입장에 처해 있습니다. 개발자에게만 책임을 묻는 것은 공평하지 않습니다. 보안은 그들의 우선순위나 핵심성과지표(KPI)에 포함되지 않기 때문입니다. 그렇다고 과중한 업무에 시달리는 앱 보안 팀이 본연의 업무를 수행한다는 이유로 비난받을 수도 없습니다. 하지만 사이버 보안 모범 사례를 정착시키고 조직 차원에서 더 나은 보안 성과를 내려면, 이제는 서로 협력하는 자세가 필요합니다.

그리고 그 시작은 바로 신뢰입니다.

앱 보안 팀을 '악당'으로 보는 시선이 데브섹옵스(DevSecOps)의 조화를 가로막고 있습니다.

누군가와 대화할 때마다 잘못된 점만 지적받는다면, 그 사람의 의견을 좋게 받아들이기는 어려울 것입니다.

보안 팀은 문제가 생겼을 때만 나타나는 존재로 인식되어 부정적인 인상을 주기 쉽습니다. 개발자는 앱 보안 팀을 창의성과 프로세스, 기능의 적시 배포를 가로막는 방해꾼으로 여기고, 앱 보안 팀은 수십 년간 반복되어 온 흔한 보안 취약점을 계속해서 지적하는 데 지쳐가면서 두 집단 간의 관계는 오랫동안 단절되어 왔습니다.

점점 더 촉박해지는 마감 기한과 부족한 인력, 그리고 재작업을 피하려는 강한 열망 때문에 개발자들은 코드를 배포하기 직전까지 보안 검토를 미루는 경우가 많습니다. 이는 앱 보안 팀이 개입할 수 있는 기회를 최소화하며, 결과적으로 조직의 사이버 보안 위험을 높이는 용납할 수 없는 결과를 초래합니다.

보안 전문가 입장에서는 '메신저를 탓하지 말라'는 심정일 것입니다. 취약점을 찾아 보고하여 수정하게 하는 것이 그들의 본연의 업무이기 때문입니다. 문제는 그들이 제시하는 권장 사항이 회사의 기술 스택과 맞지 않아, 사내 소프트웨어 개발이라는 큰 그림에서 볼 때 별로 도움이 되지 않는다고 여겨질 때가 많다는 점입니다.

앱 보안 팀을 악당으로 보는 시각은 대부분의 개발 방법론과 상충하며, 데브섹옵스(DevSecOps) 환경에서는 재앙과도 같습니다. 오늘날의 표준은 워터폴(Waterfall), 애자일(Agile), 데브옵스(DevOps)를 넘어, 소프트웨어 개발 생명주기(SDLC) 초기부터 보안을 공동의 책임으로 인식하는 단계로 나아가고 있습니다.

데브섹옵스가 성공하려면 소프트웨어 엔지니어들이 보안에 관심을 가져야 하며, 이를 위해서는 전 세계 소프트웨어 보안을 위해 자신의 역할을 다하는 것이 왜 중요한지 이해해야 합니다. 먼저 손을 내밀고 개발 관리자와 협력하여 팀의 요구사항을 충족하며, 보안 인식을 높이는 멘토 역할을 자처하는 보안 전문가들은 장기적으로 긍정적인 성과를 거두게 됩니다. 또한, 반복되는 XSS 오류 때문에 골머리를 앓는 시간도 줄어들 것입니다.

개발자가 더 안전한 코드를 작성할 수 있도록 환경을 조성해야 합니다.

많은 엔지니어에게 대학 교육 과정 중 보안 코딩을 배울 기회는 거의 없습니다. 학생들이 공부를 안 해서가 아니라, 대부분의 컴퓨터 공학 및 IT 학위 과정에 보안 코딩이 포함되어 있지 않기 때문입니다.

결국 개발자가 소프트웨어 보안을 처음 접하는 것은 실무 교육을 통해서인데, 이마저도 효과가 미미한 경우가 많습니다. 지루한 동영상을 몇 시간씩 시청하거나 형식적인 규정 준수 교육을 받는 방식은 개발자가 안전하게 코딩하는 법을 배우거나 조직 내 흔한 취약점을 줄이는 데 실질적인 도움이 되지 않습니다.

앱 보안 팀과 개발 팀 모두 매우 바쁘기 때문에, 교육은 의미 있고 참여를 유도하며 실습 위주로 진행되어야 합니다. 개발자 출신으로서 말하자면, 우리는 문제를 해결하고 직접 도구를 다루는 것을 좋아합니다. 따라서 정적인 교육은 집중력을 떨어뜨리고, 더 시급하거나 흥미로운 업무에 관심을 뺏기게 만듭니다.

앱 보안 전문가는 영향력을 발휘할 수 있는 위치에 있으며, 개발자의 이익을 대변함으로써 장기적인 상생 관계를 구축할 수 있습니다. 개발자가 사용하는 언어와 프레임워크에 맞춘 실무 중심의 교육을 제공하는 것은 조직 내에 긍정적인 보안 문화를 뿌리내리게 하는 큰 발걸음이 될 것입니다. 수십 년간 시도해 온 '일률적인' 교육 방식은 효과가 없다는 것이 증명되었습니다. 개발자에게 올바른 도구와 지식을 제공함으로써 그들이 보안 코딩 역량을 키우고, 보안 의식을 높여 더 높은 수준의 코드를 작성하도록 도울 수 있습니다.

서로 같은 목표를 향해 나아가려는 노력은 양측 모두에게서 시작되어야 합니다.

서로 다른 목표를 가진 사람들끼리는 오해하기 쉽고, 최악의 경우 서로 불신하게 될 수도 있습니다. 앱 보안(AppSec) 팀은 쏟아지는 코드의 속도를 따라잡고, 데이터 유출이나 무단 액세스, 그리고 고객의 신뢰를 장기간 무너뜨릴 수 있는 악의적인 공격으로 이어질 보안 취약점을 찾아내는 것을 목표로 합니다.

Developers, among other things, build features to deadline. They are tasked with making software functional and beautiful, and being the creators of unique digital experiences that keep customers loyal. They’ve already got a lot to juggle, and pitching them a curveball in the shape of responsibility for security is a daunting prospect. It’s seen as AppSec’s problem to secure the code, and while that was somewhat achievable in the 90s (you know, before our cars could be hacked, and our entire lives could be carried around in a pocket supercomputer called a smartphone) there is simply too much code and not enough people to run it through the security gauntlet.

With a healthy dose of empathy, plus the enablement to make security a priority from the very beginning of the software creation process, AppSec and developers can see ways to align their goals. After all, a positive security culture depends on it, and security-aware developers are the secret ingredient to stopping common vulnerabilities, even with an ever-widening cybersecurity skills shortage.

서로의 시간을 존중하는 것은 엄청난 이점을 가져옵니다.

앞서 언급했듯이, 모두가 마법 같은 소프트웨어를 만들기 위해 매우 바쁘게 움직이고 있습니다. 개발자가 실질적인 보안 코딩 기술을 쌓을 수 있도록 업무 시간 내에 교육을 할당해야 하며, 모든 교육 프로그램은 철저히 실무와 밀접하게 설계되어야 합니다.

AppSec has their time wasted by fixing the same OWASP Top 10 vulnerabilities over and over again, and developers have theirs whittled away with low-engagement exercises that reinforce the idea in their minds that security is a chore.

Curated learning experiences are vital, and they help to cut to the chase through contextual, bite-sized delivery of relevant training, right at the moment it is needed.

원하는 성과와 사내 학습 경로에 맞춘 맞춤형 보안 코딩 과정을 구성하면 개발자의 시간과 워크플로우를 존중하면서도 비즈니스의 취약점과 사이버 보안 위험을 측정 가능한 수준으로 줄일 수 있습니다. 이는 불필요한 갈등을 끝내고 사이버 보안이라는 거친 환경에서 하나의 팀으로 나아가기 위한 빠른 성공 전략입니다.

Secure Code Warrior의 최신 맥락 기반 학습 기능인 Courses를 지금 바로 이용해 보세요.

‍