개발자들은 보안 코딩을 배울 동기가 충분한데, 왜 배우지 않는 걸까요?

개발자가 보안 코딩을 배우려는 주된 동기는 무엇이며, 이를 어떻게 활용하여 성공적인 애플리케이션 보안 프로그램을 설계하고 구현할 수 있을까요? 2020년, Secure Code Warrior는 Evans Data Corp.와 협력하여 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 개발자의 태도를 조사하는 기초 연구를 수행했습니다.‍

설문 조사 결과, 개발자들은 보안 코드 교육의 가치를 인정하고 있습니다. 또한 개발 관리자의 80%는 보안 코딩 기술을 갖춘 개발자를 채용할 의향이 더 높다고 답했습니다. 그렇다면 이처럼 보안 기술에 대한 수요가 높은데도 왜 보안 교육을 받은 개발자는 여전히 부족한 것일까요?

개발자의 동기 부족이 근본적인 문제는 아닌 것으로 보입니다. 개발자들은 학습 의지가 있으며, 보안 코드 교육을 받으려는 동기가 무엇인지 물었을 때 다음과 같이 답했습니다.

• 응답자의 35%는 회사 관련 문제로 인해 동기를 부여받았습니다.
• 24%는 개인적인 이유로 동기를 부여받았습니다.
• 41%는 개인적 동기와 회사 차원의 동기 모두에 의해 움직였습니다.
  

더 자세히 살펴보면, 보안 코드 교육을 받으려는 상위 5가지 개인적 동기는 다음과 같습니다.

1. 생산성 및 효율성 향상
2. 호기심/개인적 관심
3. 보안에 취약한 코드로 인한 문제 방지
4. 잠재적인 경력 개발
5. 인적 자원의 효율적 활용

회사 중심의 동기를 고려할 때, 개발자들은 보안 코드 관행을 배우는 것이 어떻게 생산성을 높일 수 있는지 이해하고 있습니다. 관리자들은 보안 코딩을 실천하는 것이 인적 자원을 더 효율적으로 활용하는 방법임을 알고 있습니다. 지역마다 동기는 다르지만, 전 세계적으로 생산성과 효율성을 높이고자 하는 열망은 변함없는 공통 요소입니다.
‍

‍

그렇긴 하지만, 개발자가 항상 고용주의 요구와 같은 외부 요인에 의해서만 보안 코딩을 배우는 것은 아닙니다. 많은 경우 스스로 동기를 부여합니다. 개발자들은 자신이 만드는 결과물에 애착을 느끼고 자부심을 가지며, 이는 개발자들이 보안 코딩을 공부하려는 상위 4가지 이유를 보면 알 수 있습니다. 25%의 개발자가 회사에 가치를 창출하고 싶다고 답한 반면, 같은 비율의 개발자가 코드 품질을 높이고 싶다고 답했습니다. 어떤 이들에게는 직장에서의 인정과 평판, 가시성이 중요합니다. 70%는 보안 코드를 작성했을 때 회사로부터 인정을 받는다고 답했습니다. 앞서 언급했듯이 개발 관리자의 80%는 보안 코딩 기술을 갖춘 개발자를 채용할 가능성이 더 높습니다.

개발자들은 동기가 충분한데, 왜 더 적극적으로 참여하지 않는 걸까요?

보안 기술을 갖춘 개발자가 높게 평가받고 학습 동기도 충분하다면, 왜 인력 부족 현상이 지속되는 걸까요?

살펴본 바와 같이, 개발자들은 보안 코딩 기술을 향상해야 할 명확한 이유가 있음에도 불구하고 현재 제공되는 많은 보안 교육을 꺼리고 있습니다. 스스로 교육을 찾는 경우는 매우 드뭅니다. 이번 연구를 바탕으로 볼 때, 그 이유는 비교적 간단합니다. 현재 제공되는 보안 코딩 교육은 개발자가 보안 코딩에 관심을 갖게 만드는 핵심 요소를 제대로 다루지 못하기 때문에 부족한 것입니다.

각 요소를 하나씩 살펴보겠습니다.

가치와 효율성을 높이고 코드 품질을 향상하려는 경우, 개발자에게는 보안 코딩을 일상적인 프로세스의 일부로 만드는 교육이 필요합니다.그들은 코딩하는 즉시, 처음부터 취약점을 식별하고 수정할 수 있는 기술이 필요합니다. 교육의 관련성과 즉각적인 적용 가능성을 극대화하려면 매일 사용하는 특정 언어 및 프레임워크 환경에서 교육이 이루어져야 합니다. 기존의 교육 방식은 이를 제공하지 못하며, 많은 개발자가 이를 매우 지루하고 무관한 것으로 느낍니다.

보안 코딩 변화의 선구자인 Secure Code Warrior는 개발자에게 보안 코딩을 긍정적이고 흥미로운 경험으로 만들어 줍니다. 우리는 교육이 개발자의 학습 의욕을 고취하는 방식으로 제공되어야 한다고 믿습니다. 이를 위해서는 실무와 관련된 대화형 시뮬레이션 및 도전 과제가 필요하며, 이는 참가자들이 처음부터 보안 기능을 코드에 내재화하도록 영감을 줍니다. 이러한 개발자 중심의 대화형 교육 방식은 개발자의 학습 동기를 애플리케이션 보안 프로그램의 핵심에 둡니다. 이 모든 것이 어떻게 이루어지는지 확인하고 싶다면 지금 데모를 예약하세요.

‍

‍