공인 보안 인식: 개발자 역량 강화를 위한 행정명령

절묘한 타이밍이라는 것이 존재한다면, 바이든 행정부가 행정명령(EO)을 발표하며 연방 네트워크를 강화하고 국가 전반의 사이버 보안 표준 및 모범 사례를 개선하겠다는 계획을 밝힌 것이 바로 그 예일 것입니다. 이 전략은 최근 발생한 솔라윈즈(SolarWinds)의 공급망 침해 사고와 콜로니얼 파이프라인(Colonial Pipeline) 가스 인프라 공격이라는 두 가지 치명적인 사이버 공격 이후에 나온 것입니다.

이러한 사건들이 정부의 모든 단계에 큰 파장을 일으킨 것은 분명하지만, 이번 지침은 사이버 보안의 미래에 있어 매우 고무적인 시기를 예고합니다. 이제야 비로소 정부 차원에서 디지털 환경 보호를 진지하게 다루기 시작한 것으로 보이며, 더 나은 표준과 고품질 소프트웨어를 추진하기에 지금보다 더 좋은 시기는 없습니다.

이번 행정명령은 기능적 사이버 보안의 여러 측면을 다루고 있지만, 개발자가 미치는 영향과 그들에게 검증된 보안 기술 및 인식이 필요하다는 점을 처음으로 명확히 명시했습니다. 우리는 수년간 흔히 발생하는 취약점을 해결하기 위해 이것이 나아갈 길이라고 강조해 왔으며, 정부 지침이 이러한 접근 방식과 일치하는 것은 사이버 방어 분야에서 광범위한 성공을 거두기 위한 올바른 방향입니다.

조직과 연방 부처는 이러한 명령에 어떻게 대응해야 할까요? 주요 범주별로 살펴보겠습니다.

‘형식적인 교육’은 이제 통하지 않습니다.

우리는 그동안 개발자를 대상으로 한 대부분의 사이버 보안 교육이 비효율적이라는 점을 지적해 왔습니다. 교육 내용이 너무 일반적이고, 원하는 결과(더 안전한 코드 작성)를 이끌어낼 만큼 흥미롭거나 영감을 주지 못하며, 교육 빈도 또한 너무 낮습니다. 더 심각한 것은 많은 기업이 운영상의 요건을 충족하고 개발자 명단에 체크 표시를 하기 위해 최소한의 ‘일회성’ 교육으로 만족한다는 점입니다. 이러한 교육 전략은 모든 CISO를 불안에 떨게 하며, 회사가 다음 제로데이 공격의 희생양이 되지 않기를 바랄 뿐입니다. 이런 방식으로는 취약점을 줄이고 더 높은 품질의 코드를 만드는 데 전혀 도움이 되지 않습니다.

바이든 행정명령의 4절에서는 조직이 개발자의 문서화되고 검증된 보안 준수 여부를 입증해야 할 필요성을 명확히 하고 있습니다.

‍

“지침에는 소프트웨어 보안을 평가하는 데 사용할 수 있는 기준, 개발자와 공급업체 자체의 보안 관행을 평가하는 기준, 그리고 보안 관행 준수 여부를 입증하기 위한 혁신적인 도구나 방법을 식별하는 내용이 포함되어야 한다.”

여기에는 한 가지 문제가 있습니다. 현재 개발자에게 특화된 업계 표준 인증이 존재하지 않는다는 점입니다. 개발자의 안전한 코딩 기술 수준을 벤치마킹하고, 교육 과정과 평가를 통해 해당 기술을 향상시키는 것은 기업이 목표를 설정하고 규정을 준수하는 데 필수적입니다. 개발자가 실무 중심의 환경에서 핵심 역량을 입증할 수 있다면, 이를 의미 있고 신뢰할 수 있는 방식으로 평가하고 인증할 수 있습니다. 이는 Secure Code Warrior가 제공하는 핵심 서비스이며, 우리는 기술 스택과 조직의 요구 사항에 맞춰 커스터마이징할 수 있는 신뢰성 있는 인증 시스템을 구축하기 위해 노력해 왔습니다.

이러한 기술은 매우 가치 있으며 자동화할 수 없습니다. 인증을 통해 개발자는 코드베이스를 교묘한 위협으로부터 방어할 수 있는 보안 인식 역량을 갖춘 인력으로 거듭날 수 있습니다.

‍

개발자 도구(및 일반적인 도구)에 대한 집중.

이번 행정명령은 안전한 코딩 관행 검증에 관한 지침 외에도 보안 자동화 및 도구 측면을 깊이 있게 다루고 있습니다.

보안 관점에서 인간이 혼자 감당하기에는 너무 많은 코드가 생산되고 있으며, 광범위한 기술 스택의 일부로서 자동화는 모든 보안 프로그램의 핵심 요소가 되어야 합니다. 하지만 모든 도구가 동일하게 만들어진 것은 아니며, 모든 프로그래밍 언어에서 모든 취약점을 찾아낼 수 있는 ‘만능 도구’는 존재하지 않습니다. 훌륭한 보안 프로그램은 특히 개발자 대상 도구와 서비스에 관해서는 세심한 접근 방식을 취합니다.

행정명령 3절에서는 연방 정부가 사용할 소프트웨어를 개발하는 공급업체에 대한 기대치와 개발 과정에서의 도구 사용에 관한 지침을 다음과 같이 명시하고 있습니다.

‍

“ (iii) 자동화된 도구 또는 유사한 프로세스를 사용하여 신뢰할 수 있는 소스 코드 공급망을 유지함으로써 코드의 무결성을 보장할 것;
(iv) 알려진 취약점 및 잠재적 취약점을 확인하고 수정하는 자동화된 도구 또는 유사한 프로세스를 정기적으로, 최소한 제품, 버전 또는 업데이트 출시 전에 운영할 것.”

개발자 기술 스택 내의 보안 도구는 보안 모범 사례를 빠르게 개선하여 릴리스가 마감 기한을 맞추고 보안 버그나 기타 장애 요인으로 인해 지연되지 않도록 돕는 방법 중 하나입니다. 하지만 개발자가 가장 강력한 도구를 최대한 활용하려면 여전히 맥락에 맞는 학습이 필요합니다. 무엇이 플래그 지정되었는지, 왜 위험한지, 어떻게 수정해야 하는지를 이해하는 것은 매우 중요하며, 이는 애초에 도구가 식별해야 할 실수를 줄이는 결과로 이어질 것입니다.

최고의 도구는 개발자의 환경과 통합되어 더 높은 품질의(그리고 더 안전한) 코드를 작성하도록 지원하며, 보안을 항상 최우선으로 고려하게 합니다.

‍

공급망 보안 강화.

이번 행정명령에서 제가 가장 인상 깊게 본 부분은 소프트웨어 공급망을 보호하기 위한 포괄적인 계획입니다. 솔라윈즈(SolarWinds) 사태를 고려하면 놀라운 일은 아니지만, 다음과 같은 핵심 내용을 주목할 필요가 있습니다.

“연방 정부가 사용하는 소프트웨어의 보안은 정부의 핵심 기능을 수행하는 데 필수적입니다. 상용 소프트웨어 개발 과정은 종종 투명성이 부족하고, 공격에 대한 저항력이나 악의적인 행위자의 변조를 방지하기 위한 적절한 통제 수단이 미흡합니다. 제품이 안전하고 의도한 대로 작동하도록 보장하기 위해 더욱 엄격하고 예측 가능한 메커니즘을 도입해야 할 시급한 필요성이 있습니다. 연방 정부는 핵심 소프트웨어 해결을 우선순위로 삼아 소프트웨어 공급망의 보안과 무결성을 신속하게 개선하기 위한 조치를 취해야 합니다.”

이번 결정은 미국 정부와 거래하려는 모든 소프트웨어 기업에 영향을 미치겠지만, 이는 어디에서나 적용되어야 할 표준이기도 합니다. 서드파티 공급업체(서드파티 구성 요소를 사용하는 개발자는 말할 것도 없고)의 보안 조치에 대한 투명성 부족은 사이버 보안 모범 사례가 준수되고 있는지 평가하고 검증하며 선언하는 것을 매우 어렵게 만듭니다. 우리는 우리가 사용하는 공급업체와 그들이 작성하는 소프트웨어를 분석해야 합니다. 이러한 조치가 '추가적인 노력'으로 보일 수 있지만, 이는 사이버 보안 모범 사례의 골드 스탠다드에 내재되어야 합니다.

안전한 코드를 자신 있게 배포하는 것은 오랫동안 업계의 고질적인 문제였지만, 지금이 바로 현재 프로세스를 평가하고 보안이 강화된 소프트웨어와 클라우드 인프라를 구축하여 앞서 나갈 수 있는 완벽한 기회입니다. 지금 바로 문의하여 교육 과정, 평가, 그리고 개발자 도구를 활용해 보안 의식을 갖춘 차세대 개발자 팀을 양성하는 방법을 알아보세요.

‍