맥락 중심의 실습형 학습: 보안 역량을 극대화하는 가장 강력한 방법

안타깝지만, 좋지 않은 소식을 전해야 할 것 같습니다.

전통적인 교육 방식은 이제 끝났습니다.

물론 완전히 끝난 것은 아니지만, 사실상 그래야 마땅합니다. 강의실에 사람들을 몰아넣고 새로운 것을 배우게 하거나, 규정 준수 항목을 체크하게 하거나, 재교육을 받게 하는 방식이 교육 효과 측면에서 가장 비효율적이라는 연구 결과가 반복해서 나오고 있습니다. 기업 교육의 경우에도 통계는 나아지지 않습니다. 하버드 비즈니스 리뷰(Harvard Business Review)는 연구를 발표하여 대기업 신입 사원을 대상으로 한 강의실 교육의 효과를 분석했는데, 이 학습 방식으로는 신입 사원이 업무에 적응하고 생산성을 발휘하기까지 평균 8개월에서 12개월이 걸린다는 사실을 확인했습니다. 이는 개인의 역량을 온전히 활용하기까지 너무나 긴 시간입니다(신입 사원 입장에서도 업무에 익숙해지기까지 너무 긴 시간이죠). 요즘 같은 시대에 대부분의 기업은 그런 여유가 없습니다. 결국 교육 과정을 단축하게 되고, 필요한 교육을 제대로 받지 못한 채 회사는 훨씬 빨리 얻을 수 있었던 많은 가치를 놓치게 됩니다.

여전히 많은 곳에서 회사의 모범 사례나 새로운 이니셔티브를 도입하기 위해 강의실 교육, 딱딱한 교재, 지루한 영상 교육에 의존하고 있다는 사실은 정말 이해하기 어렵습니다. 훨씬 더 효과적이고 몰입감 넘치며 가치 있는 학습 방법인 '맥락 기반 교육'이 있는데도 말이죠. 사실 인간은 새로운 아이디어와 프로세스를 직접 경험할 때 정보를 훨씬 더 잘 기억합니다.

개발자들은 조금 특별한 집단입니다. 개발자로 일해본 경험에 비추어 볼 때, 전통적인 교육 방식은 전혀 흥미를 유발하지 못합니다. 개발자들은 창의적이고 문제 해결 능력이 뛰어난 사람들입니다. 이들은 강의실에서 일방적인 설명을 듣거나, 새로운 정보를 배우려고 끝도 없이 이어지는 영상 속 강사의 얼굴을 쳐다보는 것보다 직접 도구를 다루는 것을 훨씬 선호합니다. 특히 보안 교육을 살펴보면 현재 업계에는 분명한 괴리가 존재합니다. 개발자들이 코드의 일반적인 취약점을 해결하지 못하고, 이로 인해 앱 보안(AppSec) 전문가들은 똑같은 문제를 반복해서 해결해야 하는 상황에 지쳐가고 있습니다. 두 팀 사이의 관계는 경직되어 있고, 개발자들은 보안 개발 모범 사례를 실천하는 데 필요한 올바른 도구와 교육을 제공받지 못하고 있습니다. 개발자들의 주된 목표는 기능 구현이지만, 모든 기업의 사이버 위험이 급격히 증가하는 상황에서 보안 지식을 무시하고 우선순위에서 밀어내는 것은 더 이상 감당할 수 없는 일입니다.

가장 좋은 점이 무엇인지 아시나요? 개발자들이 보안 의식을 갖추게 되면, 흔히 발생하는 취약점들이 사라지기 시작합니다. 위험이 줄어들고, 개발 후반부에 버그를 수정하는 비용도 절감됩니다(앱 보안 팀도 머리를 쥐어뜯는 일이 줄어들겠죠).

그렇다면 개발자들에게 맥락 기반 교육을 제공한다는 것은 정확히 어떤 모습일까요?

실제 사례를 활용하는 것은 엄청난 힘을 발휘합니다.

우리 모두가 유튜브 영상을 보고 운전을 배워야 한다고 상상해 보세요. 자동차가 어떻게 작동하는지, 도로를 달리기 위해 어떤 순서로 조작해야 하는지에 대한 일반적인 개념은 얻을 수 있겠지만, 실제로 차에 올라타 직접 운전해 보기 전까지는 제대로 운전하는 법을 배우기가 거의 불가능할 것입니다.

맥락 기반 교육이 가치 있는 이유는 학습자가 배우는 내용의 운전석에 직접 앉게 하기 때문입니다. 실제 상황이라는 맥락이 주어지면 학습은 훨씬 더 몰입감 있고 의미 있게 변합니다.

보안 코딩을 예로 들면, 누구나 영상을 보며 SQL 인젝션의 기초를 이해할 수는 있지만, 마감 기한이 다가오고 기능 구현이 우선시되는 상황에서는 문제를 해결하는 구체적인 방법은 쉽게 잊히기 마련입니다. 하지만 실제 코드 예제를 검토하고, 인젝션을 식별하여 교육의 일환으로 직접 수정해 볼 수 있다면, 이는 일방적인 정보를 기억하려 애쓰는 것보다 개발자의 실무에 훨씬 더 유용합니다. 또한 개발자에게 익숙한 코드와 유사한 예제를 보여주면 훨씬 더 공감대를 형성할 수 있고, 자연스럽게 집중하게 됩니다.

우리는 Secure Code Warrior 플랫폼을 통해 보안 코드 교육을 게임화하여 다양한 언어와 프레임워크에서 활용할 수 있는 폭넓은 챌린지를 제공합니다. 이 시스템은 반복적인 학습을 장려하며, 무엇보다 즉각적인 맞춤 설정이 가능하여 진정한 맥락 기반 학습을 위한 최적의 환경을 제공합니다.

가장 필요할 때 지식을 제공하세요

맥락 학습 이론에 따르면, 효과적인 학습은 학습자가 새로운 정보나 지식을 자신의 개별적인 참조 틀 안에서 이해할 수 있는 방식으로 처리할 때만 일어납니다.

개발자가 버그 바운티 프로그램, SAST 도구 또는 버그 추적 소프트웨어로부터 보안 취약점 목록을 전달받는 상황을 상상해 보세요. 만약 이 취약점들을 처음 접한다면 당황하거나 압도될 수 있습니다. 더 큰 문제는 대부분의 보고서가 개발자가 아닌 앱 보안 전문가를 위해 작성되었다는 점입니다. 보고서의 정보는 해석하기 어렵고, 개발자에게 직접적으로 적용하기 힘든 일반적인 조언만 담겨 있는 경우가 많습니다.

최근 우리는 버그 바운티 프로그램, SAST 도구, 버그 추적 소프트웨어 및 모의 해킹 보고서에서 취약점에 대한 실습 교육으로 바로 연결되는 딥링크 기능을 추가했습니다. 이제 개발자들은 즉시 기초를 이해하고 자신이 사용하는 프레임워크에 맞는 올바른 코딩 방법을 배울 수 있습니다.

이러한 방식의 학습은 개발자가 가장 관련성 높은 시점에 지식과 교육을 받을 수 있도록 보장하며, 장기적으로 정보를 기억할 가능성을 훨씬 높여줍니다.

더 빠른 성과, 최소한의 업무 지장, 모두가 만족하는 교육.

어떤 교육이든 일상적인 업무와 즉각적으로 연결될 때 일반적인 이론을 배우는 것보다 훨씬 강력한 효과를 발휘합니다. '학습 모드'에 머무는 시간을 줄일 수 있으며, 무엇보다 실무에서 답을 찾기 위해 이미 '배웠던' 내용을 다시 뒤져봐야 하는 비효율을 방지할 수 있습니다.

맥락 중심 교육의 원칙 중 하나는 지식을 단계적으로 쌓아 올리는 것입니다. 교육의 각 구성 요소가 이전 단계와 연결되어 참가자가 숙련도를 높일 수 있는 경로를 제공합니다. 저희 플랫폼은 가라테 도장의 승급 시스템과 유사한 벨트 시스템을 통해 이를 지원합니다. 모든 참가자는 화이트 벨트로 시작하여, 필요한 교육 시간과 실전 참여를 거쳐 '보안 챔피언'인 블랙 벨트 단계에 도달하게 됩니다. 이는 실질적인 가치와 현장 적용 능력을 갖춘 재미있는 접근 방식입니다.

최고의 인재를 유지하고 보안 의식을 높이고 싶으신가요? 그들이 성공할 수 있는 도구를 제공하세요.

안타깝게도 현재 보안 의식을 갖춘 개발자와 앱 보안(AppSec) 전문가는 매우 귀하면서도 필수적인 인력입니다. 또한 이들을 붙잡아 두기란 매우 어려운 일입니다.

Cybrary가 2018년 3,100명의 IT 및 보안 전문가를 대상으로 실시한 설문조사에 따르면, 핵심 인재를 유지하는 비결은 교육에 대한 투자였습니다. 조사 결과, 사내 보안 역량을 키우기 위한 도구와 교육을 제공하는 기업은 그렇지 않은 기업보다 보안 전문가 유지율이 60% 더 높았으며, 응답자의 65%는 실습 위주의 교육을 선호했습니다. 꽤 흥미롭지 않나요?

하지만 설문조사 결과에는 다소 충격적인 사실도 포함되어 있었습니다. 응답자의 80%가 조직을 사이버 위협으로부터 방어할 준비가 충분히 되어 있지 않다고 느낀다는 점입니다. 위협은 사라지지 않으며, 데이터 유출과 공격으로 인한 막대한 피해를 막기 위해 그 어느 때보다 적절한 교육이 필요합니다. 다소 편향된 의견일 수 있지만, Secure Code Warrior 플랫폼은 긍정적인 보안 문화를 조성하고, 개발자가 선호하는 맥락 중심 교육으로 역량을 강화하며, 조직을 위협으로부터 보호하는 데 필요한 도구가 될 것입니다.데모를 요청하시면 더 자세히 보여드리겠습니다.