챔피언과 코치: 모든 개발팀에 두 역할이 모두 필요한 이유

“챔피언”과 “코치”라는 단어는 스포츠 분야를 넘어 점점 더 폭넓게 사용되고 있으며, 대부분의 상황에서 강력한 영향력을 발휘합니다. 라이프 코치, 웰니스 코치, 공감 코치가 있는 것처럼, 많은 조직에서 “안전 챔피언”이나 “분위기 메이커 챔피언”과 같은 직함이 주어지며 기업의 정신과 문화에 자연스럽게 녹아들고 있습니다. 힘든 상황이 닥쳤을 때, 든든한 코치나 챔피언이 곁에 있다면 얼마나 큰 힘이 될까요?

사이버 보안 업계의 기관들은 개발 단계에서 보안의 중요성을 알리고 소프트웨어 보안 표준을 높이기 위해 오랫동안 챔피언을 활용해 왔습니다. BSIMM은 이들을 위성 그룹(Satellite group)이라 부르며, OpenSAMM과 Axway는 보안 챔피언을 개념이자 공식 프로그램으로 지원하는 선구적인 그룹입니다. 이러한 이니셔티브는 소프트웨어 개발 초기 단계부터 팀과 부서 간에 보안 책임을 공유하겠다는 DevSecOps 운동의 핵심 목표와 맞닿아 있으며 이를 뒷받침합니다.

사이버 보안 전략에서 뛰어난 성과를 거두고 있는 많은 기업은 공식적인 '보안 챔피언' 프로그램을 도입했습니다. 이 프로그램은 팀 간의 가교 역할, 사기 진작, 모범 사례 감독 등 핵심적인 보안 책임을 해당 분야에 적성과 열정을 가진 직원들에게 부여합니다.

하지만 “보안 챔피언”의 역할이 변화하고 있다는 점은 분명합니다. 앞서 나가는 기업이라면 확장된 팀을 통해 보안 모범 사례를 더 넓게 적용할 수 있으며, 각기 다르지만 중요한 기능을 수행하는 열정적인 인재들을 통해 새로운 차원의 보안을 달성할 수 있습니다.

우리는 미래 지향적인 보안 프로그램을 구축하기 위해 보안 챔피언의 역할을 재정의하고 확장하고 있습니다. 당신의 다음 '드림팀'을 구성할 준비가 되셨나요?

위대한 팀 뒤에는 항상 영감을 주는 코치가 있습니다.

리오넬 메시, 마이클 조던, 세레나 윌리엄스를 떠올릴 때, 열성적인 팬이 아니라면 그들의 코치 이름까지 기억하기는 쉽지 않습니다. 하지만 그들의 타고난 기술과 재능, 목표를 향한 열정을 다듬어주고 곁에서 든든하게 지원해 주는 코치가 있었기에 우리가 보는 눈부신 성공이 가능했습니다.

개발자가 그랜드 슬램을 달성하거나 골을 넣기를 기대하는 사람은 없습니다. 사실 개발자에게 보안 전문가가 되기를 기대해서도 안 됩니다(그들은 멋진 기능을 만들기 위해 일하는 것이지, 보안의 깊은 곳까지 파고들기 위해 일하는 것은 아니니까요). 하지만 훌륭한 보안 “코치”는 팀 내에서 그들의 진정한 챔피언이 되어줄 수 있습니다.

개발자 측의 보안 챔피언은 우리가 흔히 생각하는 코치의 기본 역할에 훨씬 더 가깝습니다. 그들은 보안에 열정적이고 전문 지식을 갖추고 있으며, 개발자가 보안 문제를 해결해야 할 때 가장 먼저 찾는 핵심 연락책입니다. 그들은 실무적인 노하우로 문제를 해결하고 실수로부터 배우도록 도우며, 팀이 핵심 보안 모범 사례와 가치를 준수하도록 이끕니다.

AppSec 챔피언이여, 이제 일어설 시간입니다.

AppSec(애플리케이션 보안) 측의 챔피언은 보안 프로그램이라는 퍼즐에서 종종 빠져 있는 조각입니다. 그들은 개발 팀의 성공을 위해 절대적으로 중요하며, 경영진과 개발자 사이의 가교 역할을 합니다. 또한 개발자를 적극적으로 대변하고, 취약점 감소, 소프트웨어 안전성, 고객 신뢰 및 만족도를 높이는 데 필요한 도구를 제공하여 그들이 긍정적인 변화를 만들 수 있도록 돕습니다.

훌륭한 AppSec 챔피언은 비즈니스 내에서 보안 리더로 인정받으며, 보안 코치를 직접 교육하는 데 큰 역할을 해야 합니다. 그 최종 목표는 팀 간의 관계와 성과를 개선하여, 모두가 공통의 목표인 '완벽하고 강력한 보안 코드'를 만드는 것입니다.

슈퍼 코치를 소환하세요.

챔피언과 훌륭한 코치는 떼려야 뗄 수 없는 관계이며, 함께할 때 마법을 만들어냅니다. 기존의 보안 챔피언 프로그램은 개발자에게 집중하는 경향이 있지만, 우리가 확인했듯이 진정한 챔피언십은 AppSec 측에서 이루어져야 합니다. 가장 열정적이고 보안 의식이 높은 개발자들이 팀의 나머지 구성원들을 이끌며 안전한 코딩의 위대함을 달성할 수 있도록 지원해야 합니다.

이상적인 코치를 찾는 과정은 기존의 챔피언을 찾는 과정과 비슷합니다. 최고의 코치는 단순히 보안을 “가장 잘하는” 사람이 아닙니다. 안전한 코딩을 잘하고 고품질의 견고한 코드를 만들어내는 데 뛰어난 사람이라도, 부가적인 역할을 맡는 데 전혀 관심이 없거나 적성에는 맞지만 보안 자체에 흥미를 느끼지 못할 수도 있기 때문입니다.

대신, 다음과 같은 사람을 찾는다면 당신의 코치를 발견할 수 있을 것입니다:

• 실무 코딩부터 최신 보안 사고, 도구, 흥미로운 기술 동향 파악까지 사이버 보안에 깊은 관심을 가진 사람
• 대인 관계 능력이 뛰어나고, 다른 사람을 돕는 것을 즐기며, 팀의 해결사(또는 상주 전문가) 역할을 자처하고 다가가기 쉬운 팀 플레이어
• 개발자 측의 입장을 적극적으로 대변할 수 있는 사람. 팀에 무엇이 필요한지 파악하고, AppSec 담당자(챔피언)와 협력하여 상호 보안 성과를 달성할 수 있는 사람.

코치 직책에 대한 보상을 마련하세요. 당신이 누구를 선택하든 그들은 더 많은 책임을 져야 하므로 업무량에 대한 적절한 평가가 필요합니다. 개인적인 관심과 경력 개발이 코치의 동기 부여에 중요한 요소가 되겠지만, 목표를 달성했을 때 추가적인 보상을 제공하는 것이 좋습니다. 멋진 컨퍼런스에 보내주거나, 추가 휴가를 주거나, 교육 및 자격증 취득 비용을 지원할 수 있을까요? SDLC 초기부터 보안에 투자하는 시간과 비용은 나중에 발생할 수 있는 문제나 라이브 환경에서 취약점이 발견되는 최악의 상황을 방지하는 데 훨씬 큰 도움이 됩니다. 훌륭한 코치는 보안 인식을 높게 유지해 줄 것입니다. 의미 있는 보상을 제공할 방법을 찾아보세요.

차세대 보안 챔피언 프로그램.

결국 업계 차원에서 개발자를 더 적극적으로 지원하고, 품질 높은 코드가 곧 안전한 코드라는 점을 깨닫게 하여 그들을 보안의 세계로 이끌어야 합니다. 교육과 성공을 위한 지원이 뒷받침되지 않으면 관심을 갖기 어려운 법인데, 안타깝게도 보안 코딩 교육의 현실이 그렇습니다. 실무 중심의 역량 강화 교육을 동료 코치 및 앱 보안 전문가와 병행하는 것이야말로 개발팀의 방어 역량을 극대화할 수 있는 확실한 방법입니다.