DACH 지역의 DevSecOps: 보안 코딩 파일럿 프로그램의 주요 결과

사이버 보안 모범 사례는 10년 넘게 전 세계 정부 차원에서 빈번하게 논의되어 온 뜨거운 감자입니다. 사이버 공격은 이제 일상이 되었으며, 가치 있는 개인 데이터를 온라인에 저장하는 모든 기관은 잠재적인 표적이 될 수 있습니다. 독일 연방 교육연구부의 추산에 따르면, 독일 내 중소기업의 96%가 이미 IT 보안 사고를 경험했습니다. 같은 보고서는 사이버 보안 연구, 법률 및 인식 제고의 시급성을 강조하며, 컴퓨터 과학 및 IT 관련 분야에 더욱 강력한 보안 교육을 포함해야 한다고 명확히 촉구하고 있습니다.

GDPR의 시행과 더불어, GDPR 다수의 유명 인사 및 독일 연방 정부 서버의 민감한 데이터를 노출시킨 다단계 공격 이후 수정된 전략을 고려할 때, DACH 지역 리더들에게 사이버 보안 인식과 대응이 최우선 과제임은 분명합니다. 2018년 말에 발생한 이 해킹 사건은 비교적 기술 수준이 낮은 20세 학생에 의해 저질러졌으며, 매우 민감한 정보에 접근할 수 있었던 주된 경로는 단순히 비밀번호를 추측하는 것이었습니다. 이는 매우 우려스러운 인증 취약점이었지만, 정부, 기업, 사회 전반에 걸쳐 훨씬 더 나은 보안 인식이 필요하다는 점을 일깨워 주었습니다. 2019년 보고서에 따르면 독일은 사이버 보안 방어 이니셔티브 측면에서 뒤처져 있었으며, 법률에만 의존하는 전략을 취하고 있었습니다. 그러나 이상적인 개발 방법론으로 DevSecOps가 도입되면서, 많은 기업이 실질적인 교육, 보안을 고려한 소프트웨어 개발(Secure-by-design), 그리고 전사적 보안 인식 프로그램의 필요성을 인식하게 되었습니다.

DACH 지역의 소프트웨어 보안 현주소

OWASPOWASP 및 MITRE와 같은 기관은 데이터로 검증된 가장 빈번한 취약점 순위를 발표합니다. 모든 언어를 통틀어 SQL 인젝션이 1위를 차지하고 있으며, 수십 년이 지난 지금도 여전히 흔한 결함으로, 종종 치명적인 결과를 초래하는 공격에 악용되고 있습니다.

스위스 BPC 뱅킹 소프트웨어인 SmartVista는 SQL 인젝션 취약점에 대해 SwissCERT로부터 경고를 받았음에도 불구하고, 신용카드 번호를 포함한 민감한 고객 데이터가 노출될 위험이 있었음에도 수개월 동안 패치되지 않은 상태로 방치되었습니다. SQL 인젝션은 미국과 영국의 여러 정부 부처 및 대학을 대상으로 한 2017년 침해 사고와 같이 위험한 데이터 유출로 이어질 수 있으며, 실제로도 그렇게 발생하고 있습니다. 이러한 사고의 상당수는 느슨한 입력값 검증 프로세스로 인해 발생하며, 공격자가 애플리케이션의 프론트엔드에서 악성 코드를 삽입할 수 있게 합니다. 또 다른 흔한 취약점 원인은 보안 버그를 확인하지 않은 채 안전하지 않은 공급업체 코드를 사용하는 것이며, 이로 인해 이미 스캔 및 검증을 마친 운영 환경에 결함이 유입됩니다. 이러한 접근 지점들은 DACH 지역에만 국한된 것이 아니라, 전 세계적으로 코드가 생산됨에 따라 더 이상 방치할 수 없는 열악한 보안 관행의 사례들입니다.

문제가 발견되는 즉시 패치하는 것은 필수적이며, SmartVista의 늑장 대응은 재앙이 될 수도 있었습니다. DACH 지역에서도 여러 침해 사고가 있었지만, 보안 인식 및 교육에 대한 보다 집중적인 가이드라인과 지원이 있다면 조직 차원에서 잠재적인 문제를 미연에 방지할 수 있을 것입니다. 이를 위해서는 개발자를 위한 평가 기반 교육을 의무화하는 보다 구체적인 법률이 필요합니다.

모든 보안 코딩 교육이 동일한 효과를 내는 것은 아닙니다.

전 세계적으로 많은 사이버 보안 지침이 더욱 포괄적으로 변하고 있지만, 효과적인 보안 교육을 설계하는 데 있어서는 여전히 구체성이 부족합니다. EU의 NIS 지침은 국가 차원의 "인식 제고, 훈련 및 교육"을 요구하고 있지만, 개발자의 역량 강화와 조직의 변화를 이끌어낼 핵심 요소가 빠진 채 서둘러 교육 솔루션을 도입하는 것은 실질적인 위험 감소라는 원하는 결과를 얻지 못할 수도 있습니다.

교육 솔루션은 다양하며, 교육은 개발자의 일상 업무(선호하는 언어 및 프레임워크로 학습할 수 있는 능력 포함)에 맞춰 구체적이어야 하며, 시간이 지나도 참여를 유도하고 성과를 측정할 수 있어야 합니다.

컴퓨터 기반 동영상 교육과 같은 정적인 교육 솔루션은 너무 일반적인 경우가 많으며, 코드가 작성되는 과정에서 취약점이 유입되는 것을 막기 위한 인식과 기술을 함양하는 데 성공했는지 평가하거나 다시 검토하는 경우가 드뭅니다. 반면 동적 교육은 상황별 예제를 통해 개발자의 역량을 강화하는 데 필수적이며, 비즈니스 완화 프로세스에 영향을 미치는 지표를 제공합니다. 이는 자주 업데이트되고 높은 지식 유지율을 촉진하며, 직장에서 긍정적인 보안 문화를 조성하는 데 기여하는 보안 의식 있는 개발자를 양성하는 과정의 일부입니다.

DACH 파일럿 프로그램에서 얻은 Secure Code Warrior 데이터 포인트:

Secure Code Warrior의 영업 이사이자 사이버 보안 석사 학위를 보유한 Ema Rimeike는 DACH 지역 조직들과 긴밀히 협력하며 개발자들의 사내 보안 코딩 역량, 보안 모범 사례에 대한 참여도, 그리고 기업의 전반적인 보안 문화를 측정하기 위한 파일럿 프로그램을 운영해 왔습니다. 게임화된 동적 보안 코딩 교육을 활용한 그녀의 주요 연구 결과는, 개발자에게 SDLC 초기 단계부터 취약점을 성공적으로 줄일 수 있는 지식과 도구를 제공할 때 밝은 미래가 있음을 보여줍니다.

그녀는 파일럿 프로그램 기간 동안 사용자당 평균 90분을 Secure Code Warrior(SCW) 플랫폼에서 보낸 통계를 수집했으며, 이들은 15개의 보안 코딩 챌린지(짧고 게임화된 자기 주도형 학습)를 수행했습니다:

사용자들은 챌린지 하나를 완료하는 데 평균 5.5분을 소비했으며, 이는 다른 글로벌 SCW 파일럿의 평균 시간인 3분과 비교됩니다.

• 정확도 vs 자신감: DACH 파일럿 참가자들은 챌린지 답변에 대해 평균 88~92%의 자신감을 보였으나, 실제 답변의 정확도는 53~66%에 머물렀습니다.
• 설문 조사에 참여한 참가자의 75% 이상이 컴퓨터 기반 교육(CBT)과 같은 정적인 방식보다 게임화된, 즉 동적인 교육 방식을 선호했습니다.
• 가장 빈번하게 나타난 취약점으로는 인젝션 결함, 보안 설정 오류, 크로스 사이트 스크립팅(XSS), 부적절한 플랫폼 사용, 접근 제어, 인증, 메모리 손상, 크로스 사이트 요청 위조, 불충분한 전송 계층 보호 및 검증되지 않은 리다이렉트 및 포워드

DACH 지역의 많은 기업이 강력한 직업 윤리와 정밀함을 중시한다는 것은 잘 알려진 사실이며, 파일럿 프로그램에 참여한 개발자들도 예외는 아닙니다. 이러한 데이터는 이들이 이러한 유형의 교육에 익숙하지 않음을 보여주는 동시에, 계속해서 문제를 풀고 점수를 높이며 "힌트" 기능을 사용하지 않으려는 의지를 나타냅니다. 학습과 개선에 대한 이들의 열망은 분명하지만, 조직 내에서 효과적인 교육과 보안 인식을 정착시키기 위해 더 많은 노력이 필요하다는 점도 시사합니다.

위험을 줄이고 취약점을 차단하는 훌륭한 교육은 일회성 행사가 아니며, 단순한 규정 준수 이상의 의미를 갖습니다. 관리자와 애플리케이션 보안(AppSec) 담당자는 핵심 보안 목표를 반영하고 이를 장기적으로 유지할 수 있는 전략과 지원을 바탕으로 보안 인식 프로그램을 도입해야 합니다. 이것이 바로 보안을 의식하는 개발자와 함께하는 성공적인 DevSecOps 프로세스의 근간입니다.

파일럿 프로그램은 조직에 무엇을 알려줄까요?

Secure Code Warrior의 파일럿 프로그램은 기업의 현재 보안 상태(보통 65~75% 수준)를 파악하고 즉각적인 개선이 필요한 영역을 확인하는 데 매우 유용한 도구입니다. 이 프로그램은 다음을 밝혀줍니다.

• 우선적으로 해결해야 할 취약점이 무엇인지, 그리고 이러한 방향을 특정 팀, 사업부 또는 프로그래밍 언어에 적용해야 하는지에 대한 명확성
• 소프트웨어 개발의 인적 요소를 포함하여 SDLC 내 사이버 보안 위험 요소에 대한 정확하고 폭넓은 정보
• SCW 플랫폼을 활용하면 조직은 모의 해킹의 잠재적 결과를 예측할 수 있으며, 팀이 특정 프로젝트에 배정되기 전부터 위험을 사전에 완화할 기회를 얻을 수 있습니다.

포괄적이고 효과적인 보안 프로그램을 도입하기 시작한 조직에서는 일반적으로 개발자의 보안 코딩 지식 향상을 위해 주당 1~1.5시간의 전문성 개발 시간을 관리 차원에서 승인합니다. 그러나 최근 조직들은 '플랫폼 사용 시간'보다는 '어떤 소프트웨어 개발 팀이 비즈니스에 가장 높거나 낮은 위험을 초래하는가'에 초점을 맞추는 추세입니다. 이는 공식적인 인증/등급 제도, 보안 챔피언 발굴, 멘토링 프로그램과 밀접하게 연결되어 최상의 결과를 이끌어냅니다. 시간 할당과 더불어 건설적이고 긍정적인 평가는 보안을 좋아할 뿐만 아니라 비즈니스 위험을 측정 가능한 수준으로 줄이는 보안 의식 있는 개발자를 양성하는 데 핵심적인 요소입니다.

조직들은 이미 Secure Code Warrior를 어떻게 사용하고 있을까요?

여러 기업이 이미 Secure Code Warrior를 사용하여 보안 인식을 높이고, 개발자의 역량을 강화하며, 긍정적인 보안 문화를 확산하고 있습니다.

예를 들어, 한 사례에서는 플랫폼을 통해 교육을 진행한 팀이 SCW를 사용하여 보안 강점과 약점을 파악했습니다.

개발자 활동: 개발자들은 자신의 결과를 직접 확인하여 집중해야 할 영역을 파악할 수 있었으며, 향후 소프트웨어 빌드에 도움이 될 특정 취약점이나 지식 격차를 해소하기 위해 스스로 교육을 주도하고 속도를 조절할 수 있게 되었습니다.

관리자 활동: 관리자들은 팀 수준에서 전반적인 강점과 약점을 분석하고, 우려되는 특정 영역을 해결하기 위한 게임화된 접근 방식을 처방할 수 있었습니다. 이는 관련 지식을 빠르게 습득할 수 있는 양방향 교육 경로를 구축했습니다.

성과: 팀 수준에서 모의 해킹을 수행하면 취약점이 가시화되며, 이전 결과와 비교함으로써 교육이 일반적인 보안 버그를 줄이는 데 효과적이었는지 쉽게 검증할 수 있었습니다.

이는 소프트웨어 개발의 초기 단계로 이어지며, 교육 전 팀의 지속적인 개선 목표를 설정하고 시작 단계부터 보안 모범 사례를 도입하는 것은 효과적이고 실행하기 쉬우며 전체 개발 범위에 걸쳐 시간을 절약해 줍니다.

DevSecOps 프로젝트 팀

이상적인 DevSecOps 환경에서는 여러 사업부가 프로젝트 팀에 참여하여 핵심 성과를 결정하고 전달하며, 그중 하나가 보안 모범 사례입니다.

프로젝트 사전 조사 및 계획 단계에서 SCW 플랫폼은 개발 팀이 작업을 시작하기 전에 보안 기술을 평가하여 최종 모의 해킹 결과와 SDLC 내 보안 관련 지연을 예측하고, 이에 충분히 대비할 수 있도록 합니다. 프로젝트 코드 및 구조에 특화된 교육을 생성하여 팀이 학습하게 할 수 있으며, 전반적인 보안 인식 기술을 검증하는 평가/인증 과정을 포함하여 프로젝트 결과물에 투입되기 전 사전 합격 기준을 충족하도록 요구할 수 있습니다.

이는 취약점 수정 비용 절감, 보안 위험 완화, 모의 해킹 시간 단축, 값비싼 버그 바운티 프로그램 비용 절감, 그리고 중앙 집중식의 지속 가능하고 확장 가능하며 통합된 방식으로 개발 인력을 육성하는 데 엄청난 비즈니스 가치를 제공합니다.

결론:

보안을 우선시하고 데이터를 안전하게 보호하며 전 세계적으로 점점 더 엄격해지는 규정을 준수해야 한다는 압박이 커지고 있으며, 특히 엄격한 GDPR 지침에 따라 EU에서 거래하는 조직의 경우 더욱 그렇습니다.

DACH 지역의 기업들은 교육 노력과 성과를 위험 예방과 관련된 실제 활동(생산 코드의 일반적인 취약점 감소 포함)에 연결함으로써 실행 가능한 보안 경로를 구축하고 있음이 분명합니다.

보안 예산 증액, 인식 제고 및 전반적인 규정 준수에 대한 정량화 가능한 비즈니스 사례를 구축하려면 교육이 개발자에게 흥미롭고 일관되며 적응 가능하고 측정 가능해야 합니다. 현재의 역량 단계를 추적하여 적절한 교육을 맞춤화하고, 보안 챔피언을 발굴하며, 시간이 지남에 따라 팀 성과를 측정하는 것은 모두 필수적인 이니셔티브이며, DACH 지역의 많은 선도적인 기업들이 포괄적인 SCW 파일럿을 통해 이러한 이점을 실현하고 있습니다.

많은 기업이 지나치게 일반적인 보안 성과 지표로 인해 어려움을 겪고 있습니다. SCW 플랫폼을 장기적이고 일관되게 사용하면 기업은 정밀한 평가, 교육 과정 및 관리 지표를 활용하여 다음을 파악할 수 있습니다.

• 시간 경과에 따른 취약점 감소
• 시간 경과에 따른 취약점 해결 비용 절감
• 시간 경과에 따른 개인 및 팀 역량 개발
• 모의 해킹 단계에서의 비용 및 시간 절감

귀사의 조직은 현재 어떤 지표를 추적하고 있으며, 얼마나 자주 재측정하고 있습니까? 또한 시간이 지남에 따라 뚜렷한 개선 효과가 나타났습니까? 기존 개발자 워크플로 측면에서 귀사의 교육 이니셔티브는 얼마나 통합되어 있습니까?

SCW의 역동적이고 게임화된 포괄적인 접근 방식은 보안 소프트웨어 개발 수명 주기(SSDLC) 워크플로의 핵심 요소로 평가받고 있습니다. 기업들은 개발자에게 적절한 도구와 교육을 제공하고, SCW를 SSDLC 워크플로의 일부로 내재화하고 있습니다.