창의적인 CISO와 CIO가 보안 프로그램을 혁신하고 변화시키는 방법

이 글은 DevOps.com에 게재되었던 내용을 바탕으로, 새로운 정보를 추가하고 제목을 수정하여 재구성했습니다.

CISO와 CIO는 특히 기업의 데이터 유출 사고와 같은 당혹스러운 상황에서 소프트웨어 보안에 대한 막중한 책임을 져야 하는 어려운 위치에 있지만, 동시에 영향력을 확대할 수 있는 특별한 기회를 가지고 있습니다. 이들은 새로운 혁신가이며, 올바른 접근 방식을 취한다면 매우 큰 영향력을 발휘할 수 있습니다. 공공 및 민간 부문을 막론하고 전 세계의 모든 조직은 급변하는 디지털 환경에서 시장 점유율을 유지하고 확보하기 위해 사투를 벌이고 있습니다. 고객은 과거와 미래의 모든 제품에서 원활한 온라인 경험을 기대하며, '디지털 우선' 비즈니스 접근 방식은 이제 필수가 되었습니다. 이러한 기대를 충족하지 못하면 경쟁사가 그 기회를 가로챌 것이 분명하기 때문입니다.

그렇다면 현대의 CISO나 CIO에게 이는 무엇을 의미할까요? 당연히 그들은 디지털 제품이나 서비스를 구성하는 수많은 코드 라인을 작성하는 개발자 팀을 운영하고 있다는 뜻입니다. 사이버 보안은 오랫동안 주요 고려 사항이었지만, 비즈니스 운영이 온라인에서 이루어지고 공격자의 표적이 되는 경우가 많아지면서 위험 요소는 더욱 커지고 있습니다. 보안 사고가 미치는 영향은 막대하지만, 디지털화를 포기하는 것은 선택지에 없습니다.

창의적인 CISO와 CIO는 AppSec 및 개발 팀과 함께 디지털 미래의 길을 계속해서 개척할 수 있는 최적의 위치에 있습니다. 그들은 의심할 여지 없이 비즈니스, 정부 및 공공 서비스의 장기적인 온라인 혁신을 주도할 것이지만, 빠른 시장 출시 목표와 높은 소프트웨어 품질, 그리고 보안 위험 완화 사이에서 균형을 잡아야 하는 막중한 책임을 지고 있습니다.

지금까지 이러한 균형을 맞추기는 매우 어려웠습니다. 그 결과 개발 팀은 종종 파편화되었고, 빠르게 쏟아내는 코드에서 발생할 수 있는 취약점은 고려하지 않은 채 기능 구현에만 급급하게 되었습니다. AppSec 전문가들은 끊임없이 같은 실수를 수정해야 했고, 방치된 간단한 백도어로 인한 보안 사고의 위협은 항상 도사리고 있었습니다.

If our data is to remain safe, CISOs and CIOs need to get creative with the way their teams work together, and forge a culture of positive security and shared responsibility from the top down. Just look at the catastrophic consequences faced by Marriott as a result of their 2018 breach: A GDPR fine of over USD $123 million, more than 500 million records stolen and a security reputation in tatters. This disaster occurred in major part as a direct result of insecure coding practices, with SQL injection vulnerabilities uncovered as early as 2014 on Starwoods servers, a company acquired by Marriott in 2016. Their subsequent use of the software clearly went unchecked from an application security perspective. This gave malicious attackers multiple years to access and acquire data, while other vulnerabilities, like weak passwords, left more holes to exploit over time.

CIO와 CISO는 자사의 소프트웨어 보안 환경을 매우 신중하게 검토해야 합니다. 일반 개발자의 보안 인식 수준은 어느 정도입니까? AppSec 팀과 개발 팀은 얼마나 잘 협력하고 있습니까? '마술 지팡이' 같은 해결책은 없지만, 문화와 교육, 지원은 개선할 수 있습니다. 개발 팀은 충분히 조직 내 데이터 유출 위험의 최전선에서, 나쁜 코드가 운영 환경에 배포되기 전에 차단하는 보안 슈퍼히어로로 거듭날 수 있습니다.

보안 코딩 상태 점검: 귀사의 보안은 안녕하십니까?

귀사의 개발 팀은 어디에 해당합니까? 저는 CIO와 CISO가 개발 팀이 진정한 보안 코딩 챔피언이 될 준비가 되어 있는지, 더 빠르고 더 나은 안전한 코드로 혁신을 도울 수 있는지(또는 보안 프로그램의 전면적인 개편이 필요한지) 파악할 수 있도록 이 보안 코딩 체크리스트를 만들었습니다.

1. 경영진의 지원은 어느 정도입니까? 그들은 기존의 네트워크 보안만으로는 더 이상 충분하지 않다는 것을 이해하고 있습니까?

소프트웨어의 미래에 있어 구식 보안 조치를 사용하여 네트워크 계층을 보호하는 것은 결코 충분하지 않으며(솔직히 말해 성공하는 경우도 거의 없습니다), 준전문가 수준의 해커조차 막기 어렵습니다. 일관된 여러 보고서 중에서도 버라이즌의 "2017 데이터 유출 조사 보고서"는 오늘날 발생하는 데이터 유출 사고의 무려 35%가 웹 애플리케이션 취약점으로 인해 발생한다고 지적합니다.

웹 애플리케이션 보안은 네트워크 보안만큼이나 중요합니다. 이를 무시하고 AppSec의 기본적이고 필수적인 보호 계층을 구축하기 위한 예산을 편성하지 않는다면, 보안 사고에 완전히 무방비로 노출될 수 있습니다.

2. 충분히 '왼쪽으로 이동(Shift Left)'하고 있으며, 적절한 시기에 수행하고 있습니까?

The current approach to application security is quite tool-heavy, focusing on moving from right to left in the software development life cycle (SDLC). This, by definition and design, acknowledges the process is flawed and supports a detection and reaction outcome. Security teams are searching for and detecting vulnerabilities in code that is already written, reacting to fix committed code instead of ensuring it is bug-free as it crafted. According to the National Institute of Standards and Technology (NIST), it is 30 times more expensive to detect and fix vulnerabilities in committed code than it is to prevent them as they are written in the IDE. This doesn't even take into account the production delays, double-handling and time spent in remedying the same well-known security issues over and over.

진정으로 강력한 보안 문화는 왼쪽에서 시작하여 개발자 그룹 내에서 보안 챔피언에게 영감을 주고, 개발 팀이 보안 코딩 마인드셋을 가지고 성장하고 행동할 수 있도록 올바른 도구와 교육을 제공하는 것을 고집합니다. 지속적인 자기 계발에 집중하고 문제 해결 능력을 키워 조직의 첫 번째 방어선이 되어 일반적인 취약점이 애초에 발생하지 않도록 예방하는 데 중점을 둡니다.

3. 실질적인 보안 기술을 구축하기 위해 노력하고 있습니까, 아니면 일방적인 지식만 전달하고 있습니까?

대부분의 보안 교육 솔루션(온라인 및 CBT)은 업무와 직접적으로 관련된 실무 기술보다는 지식을 쌓는 데 집중합니다. 개발자가 안전한 코드를 작성하고 몰입하려면, 실제 환경에서 지속적으로 교육하고 기술을 개발하도록 장려하는 맥락 중심의 실습형 학습에 정기적으로 접근할 수 있어야 합니다. 그들은 실제 코드 예제를 통해 최근 식별된 취약점에 대해 배우고, 선호하는 언어와 프레임워크로 작업할 수 있어야 합니다. 이러한 학습 경험은 업무 과정에서 실제로 다루는 코드 내의 알려진 취약점을 찾고, 식별하고, 수정하는 방법을 이해하는 데 효과적입니다.

훌륭한 강사들과 보안 취약점 해결에 관한 많은 정보가 있지만, 교과서를 뒤적이거나 몇 시간씩 영상을 보는 것만으로는 창의적이고 문제 해결을 즐기는 많은 개발자의 관심을 끌기 어렵습니다. 끊임없이 발생하는 데이터 유출 사고가 증명하듯, 이러한 방식은 코드에 취약점이 유입되는 것을 막는 데 여전히 크게 효과적이지 않습니다.

4. 실시간 지표로 보안 코딩 기술을 측정하고 있습니까?

개발 팀 내에 보안 우선 사고방식을 구축하는 데 있어 중요한 단계는 증거를 수집하고 검토하는 것입니다. 이는 추측이나 짐작으로 이루어져서는 안 됩니다. 개발자는 보안 의식을 갖추고 있거나, 그렇지 않거나 둘 중 하나입니다.

지표는 개발자와 조직에게 그들의 노력이 성과를 거두고 있으며, 개별적인 보안 코딩 기술이 향상되고 있음을 증명합니다. 측정할 수 없는 것은 개선할 수 없습니다. 적절한 평가가 이루어져야 하며, 이러한 평가는 개발 팀의 진행 상황을 실시간으로 파악하고 지속적인 개선을 위해 보안 코딩의 강점과 약점을 벤치마킹하는 데 도움이 되어야 합니다.

너무나 자주 보안 교육은 조직의 '형식적인 절차'로 전락하며, 교육이 효과적이었는지, 참여가 이루어졌는지, 혹은 지식이 유지되고 있는지에 대한 강조가 전혀 없습니다.

5. 외부 위탁 업체가 강력한 보안 코딩 기술을 사용하고 있습니까?

많은 조직이 제3자 에이전시에 개발 업무를 위탁하기로 결정합니다. 국내외 어디에 있든, 그들의 전반적인 보안 코딩 능력과 관행은 고객에게는 다소 미지의 영역입니다. 최선의 경우라도 조직이 보안과 관련하여 받는 유일한 보증은 결과물이 '안전'해야 한다는 계약서상의 문구뿐입니다. 이러한 개발 업체의 기술을 사전에 검증하는 조치를 취하는 기업은 거의 없으며, 그 결과 지시대로 작동하지만 건전한 보안 코딩 관행을 따르지 않고 구축된 소프트웨어를 인도받을 위험을 감수하게 됩니다. 더 나쁜 것은, 구매 기업이 애플리케이션 내의 내재된 보안 결함을 인지하지 못할 경우 취약한 소프트웨어를 그대로 배포할 위험이 있다는 점입니다.

가장 흔한 시나리오는 전문 보안 전문가(구하기 어렵고 비용이 많이 드는 인력)가 취약점을 발견하게 되어 출시일이 지연되고, 보안 결함 수정 비용을 누가 부담할지를 두고 계약상 논쟁이 벌어지는 상황입니다. 하지만 사전에 현명하게 대처하여 다음 애플리케이션을 구축할 개발자들의 애플리케이션 보안 기술을 평가한다면, 잠재적인 지연과 좌절, 그리고 비용을 크게 절감할 수 있습니다.

6. 개발자들이 가장 흔히 악용되는 보안 취약점을 인지하고 있습니까?

악용되는 웹 애플리케이션 취약점의 85% 이상이 10가지 알려진 취약점인 OWASP Top 10에 기인합니다. 최소한 귀사의 애플리케이션 보안 교육은 이러한 취약점들을 포함하여 더 많은 유형의 취약점을 다루어야 합니다. 개발자가 직면하는 교육 과제는 정기적으로 수정 및 업데이트되어야 하며, 새로운 코딩 프레임워크나 새로운 취약점 유형에 대한 새로운 과제가 포함되어야 합니다.

실제 보안 코딩 시나리오를 활용한 정밀 교육이 표준이 되어야 합니다. 모호한 일반 지식은 효과가 없습니다. (이러한 보안 코딩 시나리오가 어떤 모습일지 궁금하신가요? 저희의 Coders Conquer Security 블로그 시리즈를 확인해 보세요. 각 게시물마다 직접 플레이할 수 있는 과제가 있습니다.)

7. 사내 보안 챔피언을 보유하고 있습니까?

개발자 중심의 모든 조직은 보안 챔피언, 즉 개발 팀 내에서 높은 보안 표준을 유지할 책임을 질 사람에게 투자해야 합니다. 이들의 목적은 보안 관련 질문이 있는 사람들을 위한 지원 창구가 되는 것이며, 보안 모범 사례를 따르도록 독려하는 최고 옹호자가 되는 것입니다.

그들은 보안 문화라는 퍼즐의 핵심 조각입니다. 훌륭한 보안 챔피언은 집중 교육의 추진력을 유지하고, 팀의 모든 구성원이 필요한 것을 갖추도록 하며, 지속적으로 지원을 요청하는 역할을 합니다.

8. 개발자가 더 쉽게 안전한 코딩을 할 수 있도록 돕는 도구에 투자하셨나요?

귀사가 애자일 개발을 실천하고 있거나, 사내 구축 애플리케이션에 대한 잦은 업데이트가 필요한 상황이라면, 보안의 일부를 자동화하는 것이 급박한 업무 속도와 양을 따라잡을 수 있는 유일한 방법 중 하나입니다.

SDLC의 각 단계에는 조언자, 품질 관리자 또는 탐지 도구 역할을 할 수 있는 도구들이 있습니다. 또한 일부 도구는 코드를 대상으로 자동화된 테스트를 실행하여 소프트웨어가 프로덕션 환경에 있을 때 해킹 시도를 시뮬레이션합니다. 모든 도구에는 고유한 장점과 과제가 있으며, 애플리케이션 내에 보안 위협이 전혀 없음을 100% 보장하는 만능 도구는 없습니다. 귀사가 취할 수 있는 가장 중요한 예방 조치는 결함을 일찍 발견할수록 비즈니스에 미치는 영향을 최소화하면서 더 빠르고 저렴하게 수정할 수 있다는 점을 기억하는 것입니다.

미래를 내다보는 CISO를 위한 다음 단계

자, 귀사의 조직은 위의 체크리스트에 비추어 볼 때 어떤 상태인가요?

CISO와 CIO는 기업의 DevOps 및 DevSecOps 역량을 공격적으로 구축해야 하는 상황이지만, 그렇다고 해서 팀 전반에 걸쳐 올바른 도구와 교육을 고려하고 구현할 시간이 없는 것은 아닙니다. 보안 코딩 기술은 혁신을 방해하는 요소가 아니라 강력한 무기가 될 것이며, 이를 소홀히 하는 것은 기업의 평판과 데이터에 치명적인 결과를 초래할 수 있습니다. 이러한 기술은 취약점을 줄이고 위험을 완화하기 위한 장기적이고 비용 효율적인 핵심 역량입니다.

뛰어난 혁신적 CISO는 위에서 아래로 건강한 보안 문화를 조성할 힘이 있습니다. 직원들이 보안 모범 사례를 효과적으로 실행하는 데 필요한 것을 갖추도록 하십시오.

Pieter Danhieux는 보안 전문가이자 Secure Code Warrior의 공동 창립자입니다.