향상된 보안 지능: 개발자의 NIST 대응 준비를 돕는 가이드 코스

최근 사이버 보안 업계에는 매우 반가운 움직임이 있었습니다. 많은 조직에서 소프트웨어 빌드 초기 단계부터 보안을 우선시하는 분위기가 형성되기 시작한 것으로 보입니다. 이러한 흐름과 바이든 행정부의 사이버 보안 행정명령과 같은 공식적인 조치가 더해지면서, 소프트웨어 보안과 데이터 안전을 보장하기 위해 모두가 각자의 역할을 다해야 한다는 점이 분명해졌습니다. 특히 고무적인 것은 보안 코딩 표준을 유지하는 데 있어 개발자의 역할에 대한 논의가 정부 차원에서도 계속해서 발전하고 있다는 점입니다.

하지만 논의에서 빠진 부분이 있습니다. 행정명령은 개발자에게 검증된 보안 기술이 필요하다고 제안하지만, 현재 공식적인 인증 제도는 존재하지 않습니다. 많은 기업이 규정 준수와 더 높은 수준의 소프트웨어 보안을 달성하기 위해 NIST(행정명령에 대응하여 업데이트된 가이드라인을 제공함)의 지침을 따르고 있습니다. 그러나 취약점을 크게 줄이면서 올바른 도구를 통합하고 릴리스 속도를 유지하기 위한 전략을 고민할 때, 대부분의 지침은 원하는 결과를 만들어내기에는 너무 일반적입니다. 바로 이 지점에서 많은 기업이 어려움을 겪으며 제한적인 개발자 교육에 머무르거나, 실질적인 실무 기술을 갖추도록 돕는 기초 교육을 제대로 구축하지 못하고 있습니다.

보안을 의식하는 개발자는 저절로 생겨나지 않지만, 올바른 도구를 사용하면 훨씬 빠르게 육성하고 역량을 높일 수 있습니다. 이를 위해 당사는 미국 정부의 행정명령 가이드라인에 따라 구조화된 NIST 규정 준수 전용 교육 과정을 발표하게 되어 기쁘게 생각합니다.

개발자를 위한 의미 있는 코드 수준의 지원

행정명령 중요(EO-critical) 소프트웨어에 대한 NIST 가이드라인을 여기에 활용하여, 정부 최고 수준에서 사용되는 핵심 소프트웨어의 보안을 궁극적으로 개선하고, 처음부터 고품질 개발을 위한 벤치마크 역할을 할 수 있도록 5가지 핵심 목표에 맞춰 교육 과정을 구성했습니다.

개발 조직에서 실질적인 변화를 이끌어내려면, 단순히 이론에 그치지 않고 업무와 교육 사이를 끊임없이 전환하며 답을 찾느라 애자일한 업무 흐름을 방해하지 않는 방식으로 교육이 이루어져야 합니다. 꼼꼼한 보안 관행은(보안 팀은 말할 것도 없고) 제시간에 맞춰 진행되어야 하는 개발 스프린트를 방해하는 요소로 간주되며, 기능 구현에 집중하는 일반적인 엔지니어들의 업무 스타일을 심각하게 저해합니다.

개발자의 필요에 맞게 맞춤화된 짧고 간결한 마이크로 러닝은 거부감이 훨씬 적으며, 기억에 남는 실용적인 기술 습득으로 이어집니다.

NIST 교육 과정을 어떻게 구성했는지 확인해 보세요:

목표 1: EO-critical 소프트웨어 및 EO-critical 소프트웨어 플랫폼을 무단 액세스 및 사용으로부터 보호합니다.‍

공격자들은 보안 설정 오류와 부적절한 인증 관행을 악용하여 시스템에 침투하고, 계정을 탈취하며, 데이터를 훔칩니다. 이는 성공적으로 악용될 경우 심각한 문제를 야기할 수 있는 흔한 버그입니다.

개발자들은 Secure Code Warrior 학습 플랫폼에서 일상 업무에서 마주칠 법한 실제 코드 스니펫을 기반으로 한 챌린지를 수행하며, 이를 안전하게 보호하기 위한 정확한 해결책을 찾을 수 있습니다. DevOps 엔지니어의 경우, 인프라 보안을 위해서는 꼼꼼한 액세스 제어 구성이 필요하며, Terraform, CloudFormation, Ansible과 같은 IaC(Infrastructure as Code) 언어는 물론 Docker와 Kubernetes에서 사용되는 코드에 이르기까지 이 요구 사항을 충족하기 위한 전문적인 챌린지가 준비되어 있습니다.

목표 2: EO-critical 소프트웨어 및 EO-critical 소프트웨어 플랫폼에서 사용하는 데이터의 기밀성, 무결성, 가용성을 보호합니다.

이 목표를 달성하기 위한 모든 길은 액세스 제어로 통합니다. 최근 '깨진 액세스 제어(Broken Access Control)'는 OWASP Top 10 2021에서 인젝션 결함을 제치고 1위를 차지했으며, 보안을 의식하는 개발자가 최대한 빨리 찾아내어 수정해야 하는 심각한 버그입니다.

이 교육 과정은 코드 수준에서의 최소 권한 원칙과 같은 개념을 다루며, 모범 사례로서 사용자 계정의 액세스 권한을 필요한 영역으로만 제한하는 접근 방식을 심어줍니다.

목표 3: EO-critical 소프트웨어 플랫폼과 해당 플랫폼에 배포된 소프트웨어를 식별 및 유지 관리하여 EO-critical 소프트웨어를 악용으로부터 보호합니다.

대규모 조직에서 가장 큰 과제 중 하나는 현재 사용 중인 모든 소프트웨어, 시스템 및 구성 요소에 대한 보안 감독을 유지하는 것입니다. 위험 관리와 패치 적용에 있어 이러한 요소들은 모든 보안 프로그램에서 우선순위가 되어야 하며, 개발자들은 보안 유지 관리를 수행하기 위해 항상 경계 태세를 갖추어야 합니다.

Secure Code Warrior 학습 플랫폼에서 개발자는 취약한 구성 요소를 식별하고 수정하는 챌린지뿐만 아니라, 권한 기반의 보안 설정 오류를 해결하는 챌린지를 수행할 수 있습니다.

목표 4: EO 중요 소프트웨어 및 EO 중요 소프트웨어 플랫폼과 관련된 위협과 사고를 신속하게 탐지, 대응 및 복구합니다.

많은 조직이 사이버 보안 문제를 다룰 때 예방보다는 사고 대응에만 집중하는 것은 매우 안타까운 일이며 시간과 비용의 낭비입니다. 우리는 이러한 문화를 바꾸기 위해 노력하고 있으며, 개발자가 보안 모범 사례를 제대로 교육받는다면 예방적 보안의 핵심적인 역할을 수행할 수 있습니다.

목표 4는 개발자가 자신의 역할 범위 내에서 소프트웨어 및 네트워크 수준의 환경과 엔드포인트 보안을 지속적으로 모니터링할 것을 요구합니다. 불충분한 로깅과 모니터링은 흔하면서도 치명적인 결함이므로, 엔지니어가 일상 업무에서 이를 성공적으로 관리하는 역량을 갖추는 것이 매우 중요합니다.

Secure Code Warrior 학습 플랫폼에서 개발자는 웹, API, 클라우드 언어 등 다양한 환경에서 챌린지를 수행하며 이러한 기술을 연마할 수 있습니다.

지속 가능한 보안 인식 제고.

목표 5: EO 중요 소프트웨어 및 EO 중요 소프트웨어 플랫폼의 보안을 강화하는 인간의 행동에 대한 이해와 수행 능력을 강화합니다.

이 목표는 다소 포괄적이지만 가장 중요한 성과 지표이기도 합니다. 앞선 네 가지 목표를 달성하지 않고는 이룰 수 없습니다. 이 지침은 정기적인 보안 인식 활동을 수행하고, EO 중요 소프트웨어와 관련된 모든 '인적 활동'은 자신의 역할과 책임에 대해 충분히 교육받은 사람에 의해 이루어져야 함을 명시합니다.

개발자는 코드뿐만 아니라 보안 구성 및 액세스 제어를 가장 가까이에서 다루는 사람들입니다. 이들의 보안 기술은 지속적으로 육성되어야 하며, NIST가 제시하는 높은 기준을 달성하기 위해서는 특히 대규모 개발 조직의 경우 실습 중심의 교육 과정이 효율적인 해결책이 될 수 있습니다.

지금 바로 개발 팀의 경험치와 보안 지능을 높여보세요.