기업의 Secure-by-Design 이니셔티브를 위한 의미 있는 성공 추진

CISA의 Secure-By-Design(SBD) 운동이 전 세계적으로 추진력을 얻고 있는 것은 매우 고무적인 일입니다. 미국, 호주, 뉴질랜드, 캐나다, 싱가포르, 일본, 독일, 영국이 자국의 사이버 보안 전략에 유사한 지침을 통합하기로 약속했으며, 이들 국가 중 다수가 초기 권고안 마련에도 기여했습니다.

2024년 4월 이후, Secure Code Warrior를 포함한 200개 이상의 기업이 Secure-by-Design 서약에 서명하며 더 높은 수준의 소프트웨어 품질과 보안 표준을 준수하겠다는 업계의 의지를 보여주었습니다. 우리는 이러한 지침이 사이버 보안 리더들에게 중요한 전환점이 될 것이라고 봅니다. 이들은 처음으로 소프트웨어 개발 문화의 근본적인 변화를 위해 정부 차원의 전폭적인 지원을 받게 되었습니다. 비록 이 권고안이 미국 정부와 직접 거래하는 소프트웨어 공급업체 외에는 아직 의무 사항이 아니지만, 저는 이것이 단순한 미래를 넘어 위협 행위자들에 맞서 싸울 수 있는 절호의 기회라고 생각합니다. 지침의 핵심은 취약점 범주를 제거하는 데 힘쓰는 것이며, 업계 전체가 이 목표에 집중한다면 수십 년 만에 디지털 안전 분야에서 가장 의미 있고 긍정적인 변화를 이끌어낼 수 있을 것입니다.

우리는 이 움직임이 매우 중요하다고 믿으며, 최신 연구 보고서인 보안 기술 벤치마킹: 기업 내 Secure-by-Design 간소화 는 기업 수준에서 실제 진행된 Secure-by-Design 이니셔티브를 심층 분석하고, 데이터 기반의 결과를 바탕으로 모범 사례를 도출한 결과물입니다.

조직의 Secure-by-Design 노력에 대한 ROI 측정

오랫동안 정착된 소프트웨어 개발 관행을 완전히 바꾸는 것은 결코 쉬운 일이 아닙니다. CISO들은 보안 프로그램 활동의 투자 수익률(ROI)과 비즈니스 가치를 인적 및 기업적 차원에서 입증해야 하는 과제에 직면해 있으며, 많은 이들이 예산 삭감과 새로운 사이버 이니셔티브에 대한 경영진의 지지 부족으로 좌절감을 느끼고 있습니다. 하지만 데이터로 뒷받침된 제안은 이러한 상황을 반전시킬 수 있습니다.

최근 몇 년간 조직이 업계 표준 대비 어느 정도 수준인지 평가할 수 있는 기술 벤치마크의 부재는 주요 과제였습니다. 이로 인해 성공적인 소프트웨어 보안 관행의 핵심 요소인 개발자 그룹의 지속적인 개선을 촉진하고, 올바른 영역에 영향을 미치는 보안 프로그램을 설계 및 구현하는 데 큰 어려움이 있었습니다.

Secure-by-Design 이니셔티브를 성공시키는 핵심은 개발자에게 안전한 코드를 작성할 기술을 제공할 뿐만 아니라, 규제 기관에 해당 기술이 제대로 갖춰져 있음을 보장하는 것입니다. 그래서 우리는 개발자 팀의 준비 상태를 분석하기로 했으며, 그 결과는 놀라울 수 있습니다.

SBD 이니셔티브 가속화를 위해 기업이 Trust Score를 활용하는 방법

현재 위치와 목표 지점을 명확히 알지 못하면 효율적인 개선은 사실상 불가능합니다. 하지만 수백 개의 기업 고객이 SCW Trust Score를 효과적으로 활용하고 있습니다. 이는 개발자 팀의 보안 역량을 정량화하는 글로벌 벤치마크로서, 유용한 세부 데이터를 제공합니다. 이러한 통찰력은 성공적인 Secure-by-Design 이니셔티브에 기여하는 매우 효과적인 개발자 중심 보안 프로그램을 형성합니다.

백서에서 밝힌 분석 결과에 따르면, 주요 핵심 인프라 산업 전반의 조직들이 SBD 이니셔티브를 발전시키기 위해 개발자 교육을 준비하고 있습니다. 또한 이러한 산업의 개발자 팀들은 평균적인 보안 수준을 보유하고 있음을 확인했습니다.

Secure Code Warrior의 핵심 인프라 산업 전반의 개발자 역량 강화 분석은 전 세계 600개 기업 고객과 25만 명 이상의 활성 개발자로부터 얻은 2천만 개 이상의 데이터 포인트를 기반으로 합니다. 분석 결과는 다음과 같습니다.

• 현재 개발자 중심의 SBD 역량 강화 이니셔티브에 참여 중인 개발자 수는 전 세계 전체 개발자의 4% 미만입니다.
• 금융 서비스 산업이 336점으로 가장 높은 Trust Score를 기록했습니다.
• 대규모 Secure-by-Design 역량 강화 이니셔티브는 대부분 성공적이지만, 소규모 이니셔티브는 분산되는 경향이 있습니다. 그러나 명확한 지침이 주어지면 더 빠르게 측정 가능한 투자 수익률(ROI)을 달성하는 것으로 나타났습니다.
• 역량 강화 이니셔티브가 확고히 자리 잡으면 개발자가 애플리케이션에 도입하는 위험은 상당히 줄어듭니다. 분석 결과, 대규모 역량 강화 이니셔티브(단일 기업 내 개발자 7,000명 이상)에 참여하는 개발자는 취약점을 47~53%까지 예측 가능하게 줄일 수 있었습니다.

솔루션 | 결론

SCW Trust Score는 보안 리더의 강력한 도구로, 조직 내 특정 영역을 포괄적으로 심층 분석할 수 있게 해줍니다. 언어, 팀, 범주별로 보고서를 필터링하여 맞춤형 보고서를 생성할 수 있으며, 이를 통해 기업은 개발자나 팀의 특정 요구 사항을 해결하고 추가 교육이나 코칭이 필요한 영역을 파악할 수 있습니다. 결국 보안은 끝없는 노력이며, 성과를 효과적으로 벤치마킹하는 것은 지속적인 개선 기회를 찾는 데 도움이 됩니다.

가속화된 소프트웨어 개발 및 배포, 더욱 위협적인 사이버 환경, 그리고 점점 더 엄격해지는 규제 기관으로 인해 사이버 보안은 최우선 과제가 되었습니다. 조직은 아직 시작하지 않았다면 전사적인 보안 우선 문화를 구축하는 것을 최우선 순위에 두어야 합니다.