보안 코딩 교육 투자를 위해 상사를 설득하는 방법

개발자, QA, 엔지니어링 리드, AppSec 전문가 등 소프트웨어와 관련된 일을 한다면 보안은 업무의 일부일 것입니다. 소프트웨어 취약점을 찾아내는 것은 보안 팀의 역할이며, 애초에 결함 없는 코드를 작성하기 위해 최선을 다하는 것은 개발자의 역할입니다. 하지만 이러한 업무를 최대한 효율적이고 효과적으로 수행하려면 모든 당사자가 애플리케이션이 실행되는 코드부터 시작하여 보안 위협에 맞서 협력하는 것이 중요합니다.

보안 코딩을 효과적으로 학습하고 그 지식을 유지하는 것은 본래 어려운 일처럼 보일 수 있습니다. 하지만 올바른 도구가 있다면 꼭 그렇지만은 않습니다. 그럼에도 이해관계자와 상급자를 설득하여 적절한 교육에 투자하도록 만드는 것은 항상 쉬운 일이 아닙니다. 교육은 너무나 자주 규정 준수라는 항목을 채우기 위한 목적으로만 선택되며, 개발자의 일상 업무와는 무관한 경우가 많습니다. 하지만 개발자가 매일 사용하는 언어와 프레임워크 환경에서 실시간으로 보안을 배우고, 그 과정을 즐길 수 있다면 어떨까요? 게다가 조직이 업계 표준까지 동시에 준수할 수 있다면 금상첨화 아닐까요?

저희가 도와드리겠습니다. 개발자 중심의 보안 코딩 교육 프로그램을 도입하기 위해 동료, 리드, 그리고 최종 의사 결정권자들을 설득할 수 있는 몇 가지 전략을 소개합니다.

소프트웨어 취약점을 처음부터 방지하면 엄청난 시간과 비용을 절약할 수 있습니다

반복되는 보안 문제를 찾고, 보고하고, 수정하는 데 너무 많은 시간을 보내고 계신가요? 혼자가 아닙니다.

다음과 같은 상황을 상상해 보세요. AppSec 팀이 취약점을 발견하여 개발 팀에 보고하는 즉시, 개발자가 관련 교육 세션을 통해 해당 결함을 수정하는 방법뿐만 아니라 향후 동일한 실수를 방지하는 방법까지 배운다면 어떤 결과가 나타날까요? 해당 개발자는 교육 내용의 연관성 덕분에 그 내용을 기억할 가능성이 높으며, 같은 실수를 다시 저지를 확률도 낮아질 것입니다. 즉, 보안 팀에서 일한다면 그 개발자가 의도치 않게 다시 취약점을 만들 가능성이 줄어들고, 결과적으로 다시 수정 작업을 해야 할 번거로움도 줄어들게 됩니다.

저희 고객사인 Contrast Security가 개발 팀을 위해 실시간 교육을 어떻게 활용하고 있는지 이 영상에서 확인해 보세요.

모든 개발자가 정기적인 보안 코드 교육에 참여하고 실시간으로 보안 문제를 학습할 수 있는 도구를 갖춘다면, 훌륭한 소프트웨어를 개발하고 보안 프로그램을 개선하는 데 사용할 수 있는 시간은 엄청나게 늘어날 것입니다. 조직이 이러한 도구에 투자해야 할 충분한 이유가 되지 않을까요?

보안 역량을 강화하기 위해 사용하고 싶은 훌륭한 도구를 찾으셨다면, 예를 들어 (큼큼) Secure Code Warrior와 같은 도구를 조직의 CISO나 CTO에게 제안해 보는 것도 좋은 방법입니다.

역량을 갖춘 개발자는 더 나은 성과를 내며 더 행복합니다

경영진에게 시간과 비용은 물론 매우 중요하지만, 직원의 직무 만족도 또한 마찬가지입니다. 만족도가 높은 직원은 더 나은 성과를 내고, 더 오래 근속하며, 긍정적인 업무 환경을 조성합니다. 그렇기 때문에 경력 개발과 교육은 비용이 아니라 투자입니다. 만약 그 교육이 실제로 재미있고 업무와 관련된 내용을 가르친다면, 그것이야 말로 성공으로 가는 황금 티켓입니다.

다행인 점은 개발자들은 자신의 업무에서 보안이 얼마나 중요한지 잘 알고 있기 때문에 보안 학습에 대한 동기가 매우 높다는 것입니다. 저희가 Evans Data Corporation과 함께 전 세계 개발자들을 대상으로 설문조사를 실시한 결과, 개발자들이 보안을 배우고 싶어 하는 이유는 다음과 같았습니다.

1. 생산성과 효율성을 높여주기 때문
2. 보안에 대한 호기심과 개인적인 관심이 있기 때문
3. 보안이 취약한 코드와 관련된 문제를 피하고 싶기 때문
4. 경력 발전에 도움이 된다는 것을 이해하기 때문
5. 인적 자원을 더 효율적으로 활용할 수 있기 때문
   

(전체 백서 다운로드는 여기에서 가능합니다.)

유일한 문제는 대부분의 보안 코딩 교육이 개발자들의 기대에 미치지 못한다는 점입니다. 일상 업무와 관련이 없고, 솔직히 말해서 너무 지루합니다. 이러한 특징은 정보 유지와 실제 학습 측면에서 좋은 결과를 내기 어렵습니다. 하지만 학습 플랫폼이 개발자 중심적이고, 재미있으며, 업무와 관련이 있다면 실질적인 성과를 거둘 수 있고, 보안 코드를 작성하기를 원하는 역량 있는 인재를 양성할 수 있습니다. 개발 리드든, CISO든, CTO든, 개발자가 보안 코딩에 관심을 갖고 관련 기술을 갖추기를 원하지 않을 이유가 있을까요?

보안에 대한 이해는 더 나은 엔지니어를 만듭니다

엔지니어가 소프트웨어가 공격에 어떻게 취약해질 수 있는지 이해하면, 이를 염두에 두고 업무를 수행하게 됩니다. 무엇이 잘못될 수 있는지 더 많이 이해할수록 예방적인 접근 방식을 취하게 됩니다.

뿐만 아니라, 품질이 낮은 코드는 소프트웨어 취약점을 포함할 가능성이 높으며 개발자가 의도치 않게 취약점을 삽입하기도 더 쉽습니다. 왜 그럴까요? 개발 업무의 많은 부분이 코드를 읽고 수정하는 것이기 때문입니다. 코드가 제대로 정리되어 있지 않고 논리가 부족하면 작업을 수행하는 데 시간이 더 오래 걸리며, 무언가를 수정하다가 실수로 치명적인 보안 버그를 삽입할 가능성도 커집니다.

보안에 대한 이해와 문제 예방 방법을 익히면 코드의 전반적인 품질을 더 깊이 고민하게 되며, 실수로 버그가 발생하는 일을 방지하는 방식으로 코드를 작성하게 됩니다. 보안 교육은 모두에게 이득입니다. 개발자는 보안 코딩을 배우는 동시에 더 뛰어난 엔지니어로 성장할 수 있습니다.

함께하면 더 큰 힘을 발휘합니다

보안 코딩 학습 플랫폼 도입을 위해 경영진을 설득하는 또 다른 좋은 전략은 동료들을 먼저 설득하는 것입니다. 보안 역량 강화에 관심을 갖는 개발자가 많아질수록 경영진이나 고위 임원진의 투자를 이끌어내기가 훨씬 수월해집니다.

그렇다면 어떻게 해야 할까요? 대부분의 개발자가 보안 역량 강화의 필요성을 공감하고 배우고 싶어 한다는 점을 고려하면 그리 어렵지 않을 것입니다. 동료들에게 시큐어 코드 워리어 개발자 쇼케이스를 보여주며 제품을 미리 체험해 보고 보안 코딩 실력을 테스트해 보도록 권해보세요. 보안에 취약한 코드가 미치는 영향을 확인하고 보안 학습이 즐거울 수 있다는 것을 깨닫게 되면, 더 배우고자 하는 의욕이 생길 것입니다.

적절한 도구를 도입했다면, 건전한 경쟁을 통해 개발자들의 참여를 유도하는 것이 좋습니다. 교육 프로그램을 토너먼트로 시작해 보세요.

Nelnet이 토너먼트를 활용해 사내 보안 문화를 어떻게 창의적으로 구축했는지 확인해 보세요.

지속적인 보안 교육은 바람직한 기업 문화를 조성합니다

교육은 지루할 필요가 없으며, 실제로도 그래서는 안 됩니다. 강의식 교육은 비용이 많이 들고 특히 분산된 팀의 경우 조직하기 어려우며, 학습 효과도 크지 않다는 것을 우리는 잘 알고 있습니다. 하지만 여전히 많은 조직이 규정 준수를 위해 형식적인 보안 코딩 교육을 제공하고 있습니다. 단순히 현상 유지에 급급해서는 안 됩니다. 이제 개발 관리자와 앱 보안(AppSec) 담당자가 힘을 합쳐 지속적이고 참여를 유도하는 학습 도구를 도입해야 할 때입니다. 그리고 그 시작은 의사 결정권자를 설득하는 것부터입니다.

지속적인 실습형 교육은 여러 이유로 필수적입니다. 사이버 보안 위협은 끊임없이 진화하므로 이에 대응하는 교육 역시 지속적으로 이루어져야 합니다. 또한 앞서 언급했듯이 실시간으로 학습할 때 학습 내용을 훨씬 더 잘 기억할 수 있습니다. 보안을 고려한 코딩은 실천하기 어렵습니다. 1년 전 슬라이드 자료로 배운 내용을 개발자가 기억해 내길 바라는 것은 비현실적이기 때문입니다. 하지만 특정 소프트웨어 취약점을 보고받는 즉시 이를 방지하는 방법을 게임처럼 재미있게 배운다면, 상황은 완전히 달라질 것입니다.

실습 중심의 관련 교육이 도입되는 즉시 보안은 기업 문화의 일부가 되며 더 이상 부차적인 요소로 취급되지 않습니다. 보안은 소프트웨어 개발 수명 주기 초기부터 개발 프로세스에 자연스럽게 녹아들게 됩니다.

무엇을 망설이시나요? 조직 내 보안을 강화하고 중요한 기업 및 고객 데이터를 보호하기 위한 여정을 시작하세요. 개발자와 경영진을 설득하여 조직의 보안 코딩 수준을 한 단계 높여보세요. 보안을 처음부터 고려함으로써 반복되는 취약점 문제를 완전히 해결하시기 바랍니다.

더 많은 자료가 필요하신가요?‍

"CISO/CTO 설득 키트" 전체 다운로드