개발자 토너먼트: 보안 문화와 참여도를 높이는 앱 보안의 비밀 병기

무언가를 처음부터 직접 만들어 세상에 작지만 특별한 흔적을 남기는 과정을 상상해 보세요. 혼자든 팀의 일원이든, 여러분은 열정과 정성을 다해 무에서 유를 창조합니다. 수백, 어쩌면 수천 시간을 쏟아부으며 자신의 결과물을 최고로 만들기 위해 노력하죠. 마침내 완성했을 때 느끼는 성취감은 그 자체로 큰 보상이 됩니다.

그런데 누군가 나타나 찬물을 끼얹으며 결과물이 별로라고 말한다면 어떨까요? 더 나아가 여러분이 쏟은 시간과 노력, 애정에도 불구하고 그 결과물이 쓸모없거나 결함이 있다고 비난한다면요? 본질적으로 그들은 여러분의 노력을 깎아내리는 것과 다름없습니다.

위와 같은 상황은 갈등을 유발할 수밖에 없습니다. 누가 자신의 노력이 부정당하고 부족하다는 평가를 받고 싶겠습니까? 안타깝게도 많은 개발자에게 이것은 AppSec(애플리케이션 보안) 팀과의 관계에서 겪는 현실입니다. 개발자의 주된 책임은 기능이 풍부하고 완성도 높은 소프트웨어를 정해진 기한 내에 전달하는 것입니다. 보안은 우선순위에서 밀리기 일쑤이며, 오히려 빠른 배포와 혁신을 가로막는 장애물로 여겨지기도 합니다. AppSec 팀은 코드를 꼼꼼히 검토하고 모의 해킹을 수행한 뒤, 이미 커밋된 코드에서 보안 취약점을 발견했다는 나쁜 소식을 전해야 하는 어려운 임무를 맡고 있습니다. 자원과 시간이 부족한 환경에서 이는 비용이 많이 드는 과정이며, 같은 목표를 가지고도 서로 다른 언어를 사용하는 두 팀 사이에 깊은 골을 만드는 원인이 되기도 합니다.

이제 보안에도 변화가 필요한 시점이 아닐까요? 보안에 대한 대화 방식을 바꾸고, 개발팀을 비롯한 모두에게 조금 더 긍정적이고 재미있는 경험을 제공하는 것만으로도 충분히 가능합니다.

교실을 벗어나 게임의 장으로

많은 개발자가 직업 교육 과정에서 안전한 코딩에 대해 충분히 배우지 못한 채 현장에 투입됩니다. 그래서 보안 교육을 처음 접하는 시점이 실무에 배치된 이후인 경우가 많습니다. 교실 기반의 교육은 흔히 사용되는 해결책이지만, 기능 개발에 필요한 소중한 시간을 뺏곤 합니다. (솔직히 말해, 강사와 콘텐츠가 흥미롭지 않다면 모두에게 시간 낭비가 되기 쉽습니다.) 비디오 강의, 서면 시험, 일반적인 회사 보안 정책 교육 등도 있지만, 이들은 너무 포괄적이어서 개발자의 일상 업무에는 별 도움이 되지 않는 경우가 많습니다.

보안 교육은 너무 자주 형식적인 '체크리스트 채우기'식의 규정 준수 활동으로 취급되며, 오히려 AppSec 팀과 개발팀 사이의 간극을 넓히는 역효과를 낳기도 합니다. 결국 기존의 교육 방식은 우리가 업계에서 그토록 갈망하는 보안 문화와 규정 준수 측면에서 긍정적인 효과를 거두지 못하고 있는 것으로 보입니다.우리는 같은 실수를 반복하고 있습니다.

CWE(Common Weakness Enumeration) 커뮤니티에 따르면, 우리가 대응해야 할 일반적인 소프트웨어 보안 취약점은 700개가 넘습니다. SQL 인젝션과 같은 일부 취약점은 20년 넘게 존재해 왔음에도 마치 사라지지 않는 바퀴벌레처럼 끈질기게 남아 있습니다. 우리는 이미 해결 방법을 알고 있고, 개발자가 이를 방지할 수 있도록 돕는 교육도 존재합니다. 하지만 모의 해킹과 수동 코드 검토 과정에서는 여전히 이러한 취약점들이 계속해서 발견되고 있습니다.

어쩌면 우리가 지금까지 잘못된 방식으로 접근해 온 것일지도 모릅니다. 업계 차원에서 개발자들이 가진 뛰어난 역량을 활용하는 새로운 교육 방식을 고민해야 합니다. 개발자들은 창의적이고 호기심 많은 문제 해결사들이며 도전을 즐깁니다. 보안 교육을 게임화한다는 것은 그들의 언어로 소통하고, 직접 실습하며 배우게 한다는 의미입니다. 어쩌면 그 과정에서 보안의 매력에 푹 빠지게 될지도 모릅니다.

건전한 경쟁의 힘

(부정확한) 도구에 대한 과도한 의존, 값비싼 모의 해킹, 그리고 부족한 AppSec 전문가에만 매달리는 것은 우리를 보안의 블랙홀로 더 깊이 빠뜨릴 뿐입니다. 우리의 삶과 개인정보가 온라인에 너무 많이 노출된 지금, 기업들이 데이터를 보호하는 가상 요새를 방치해서는 안 됩니다. 디지털 전환으로 소프트웨어 의존도가 높아지는 만큼, 우리는 사무실에 늘 함께 있었던 슈퍼히어로, 즉 개발팀에 주목해야 합니다.

관련 언어와 프레임워크를 활용한 게임화된 교육은 AppSec 관리자가 조직 내 보안 문화를 변화시키기 시작할 수 있는 강력한 도구입니다. 교육을 마친 개발자들은 재미있는 토너먼트 환경에서 새로 익힌 보안 역량을 마음껏 발휘할 수 있습니다. 상상력을 발휘해 보세요. IAG의 "Game of Codes"가 어떻게 모든 구성원이 보안에 대해 이야기하게 만들었는지 확인해 보십시오.

Secure Code Warrior의 토너먼트 모듈은 단순히 교육 과정을 마무리하는 수단을 넘어, 각 개발자가 자신의 기술을 검증하고 교육 시작 이후 얼마나 성장했는지 확인하며, 보완이 필요한 부분을 파악할 수 있는 플랫폼을 제공합니다. 경쟁 요소는 보안에 긍정적으로 참여하도록 하는 강력한 동기부여가 되며, 보상과 인정을 통해 팀과 조직 전체에 탄탄한 보안 문화를 구축하는 데 기여합니다.

지루하고 벅차게 느껴질 수 있는 작업에 약간의 재미를 더하는 것만으로도 부정적인 인식을 바꾸고 지속적인 참여를 끌어내는 데 큰 도움이 됩니다. 건전한 경쟁 환경에서 동료보다 더 높은 점수를 얻는 성취감을 싫어할 사람이 어디 있을까요?

당신 곁에 숨은 챔피언들

게임화된 교육과 토너먼트는 긍정적인 보안 문화를 조성하는 데 큰 도움이 되며, AppSec 팀과 개발팀이 서로의 일상 업무를 더 깊이 이해하게 해줍니다. 보안 역량을 갖춘 개발자는 일반적인 취약점을 스스로 해결함으로써 AppSec 전문가들이 더 복잡한 문제에 집중할 수 있게 돕는 소중한 자산입니다. 두 팀의 관계는 더욱 발전하고, 같은 실수를 반복하는 '데자뷔' 같은 상황을 해결하느라 소중한 보안 예산을 낭비하는 일도 줄어들 것입니다.

또 다른 강력한 부수 효과는 미처 몰랐던 보안 챔피언들을 발견할 수 있다는 점입니다. 토너먼트를 통해 보안에 대한 적성뿐만 아니라 열정까지 갖춘 인재들을 찾아낼 수 있습니다. 이러한 챔피언들은 보안 문화를 유지하고 팀 간의 가교 역할을 하며, 동료들을 이끌고 모범 사례를 전파하는 데 핵심적인 역할을 합니다. 인정과 경영진의 지원이 포함된 탄탄한 챔피언 프로그램을 운영하는 것은 조직의 위상을 높일 뿐만 아니라, 개인의 경력과 미래에도 큰 자산이 될 것입니다.

결론은 무엇일까요? 보안 테스트에서 더 나은 결과를 요구해야 한다는 것입니다. 흔한 오류는 줄이고, 최전선에서 일하는 이들을 위한 지원은 늘려야 합니다. 개발자 토너먼트를 통해 생각보다 빠르게 목표를 달성하는 방법을 확인해보는 건 어떨까요?