개발자 주도 보안을 위한 응집력 있는 접근 방식 수립

유명 Orion 관리 소프트웨어의 업데이트 프로세스를 악용하여 주요 기업 및 정부 기관을 포함한 18,000명 이상의 사용자를 감염시킨 SolarWinds 사태와 같은 대규모 보안 침해 사고에 대응하여, 개발자 주도의 보다 효과적인 보안 노력에 대한 요구가 거세지고 있습니다. 모든 규모의 조직이 '소프트웨어 공급망'에 의문을 제기하기 시작했으며, 소프트웨어를 개발하는 개발자들에게 검증된 보안 기술과 인식을 갖출 것을 요구하고 있습니다.

미국 정부조차도 개발자 주도의 더 나은 보안 관행과 소프트웨어 공급망 강화를 촉구하고 있습니다. 이러한 개념은 바이든 대통령이 발표한 '국가 사이버 보안 개선에 관한 행정 명령'의 핵심 요소입니다.

전반적으로 개발자 커뮤니티는 DevSecOps와 같은 프로그램 및 운동을 통해 소프트웨어 개발 수명 주기(SDLC) 초기 단계로 보안을 앞당기는 아이디어를 수용해 왔습니다. 최근 설문조사에서 개발자들은 이러한 노력을 뒷받침하기 위해 제공받은 보안 교육을 가치 있게 생각한다고 답했습니다.

소프트웨어 취약점은 계속해서 악용되고 있으며, 개발자들조차 때때로 코드에 취약점을 남긴다는 사실을 인정하고 있습니다.

이유가 무엇일까요?

설문조사 결과, 개발 커뮤니티의 최우선 순위는 양질의 코드를 작성하는 것임이 확인되었습니다. 그러나 설문조사는 개발자들에게 제공되는 교육이 가치 있다고 여겨짐에도 불구하고, 소프트웨어 공급망을 보호한다는 목표에는 크게 미치지 못하는 여러 이유를 밝혀냈습니다. 응답자의 33%는 교육을 받은 후에도 알려진 취약점을 식별하거나 수정하는 방법을 여전히 알지 못해 코드에 취약점을 남기고 있다고 답했습니다. 또한 무려 92%가 어느 정도 수준의 추가 보안 교육이 필요하다고 답했으며, 50%는 훨씬 더 많은 교육이 필요하다고 응답했습니다.

개발자 커뮤니티가 제공받는 교육을 소중하게 생각한다는 점은 분명합니다. 그러나 안전한 코딩 관행 도입의 장벽에 대해 질문했을 때, 가장 큰 이유로 시간 부족이 꼽혔으며, 응답자의 5분의 1은 일관된 접근 방식의 부재를 원인으로 지목했습니다. 교육은 보안을 개발자 워크플로우에 통합하여 일상적으로 활용하는 지속적인 전략적 노력의 일부가 아니라, 일회성 행사로 인식되고 있었습니다.

따라서 개발자들은 조직 전반에 걸친 일관되고 지속적인 프로그램의 일환으로 안전한 코딩 기술을 구축하고 유지할 수 있는 환경을 제공받지 못하고 있습니다. 또한 많은 개발자가 여전히 일반적인 취약점을 식별하고 수정할 수 없다고 말하는 것으로 보아, 현재 제공되는 교육이 그다지 효과적이거나 포괄적이지 않다는 결론을 내릴 수 있습니다.

개발자의 92%가 어느 정도 수준의 추가 보안 교육이 필요하다고 답했으며, 50%는 훨씬 더 많은 교육이 필요하다고 응답했습니다.

이 상황을 해결하기 위해 조직은 무엇을 할 수 있을까요?

개발자들이 압도적으로 더 많은 보안 교육이 필요하다고 답한 점은 흥미롭습니다. 그들이 받은 교육을 가치 있게 생각하긴 했지만, 이는 단순히 주어진 교육에 만족하는 상황일 수도 있습니다.

교육 개선 방법에 대한 의견을 묻자, 이 문제에 대한 그들의 진짜 생각이 드러나기 시작했습니다. 일반적으로 개발자들이 받는 대부분의 교육은 제한적이고, 상호작용이 없으며, 직무 책임과 다소 동떨어져 있고, 조직의 보안 기술과 인식을 향상하기 위한 전체적이고 지속적인 계획의 일부가 아니었습니다. 설문조사에 참여한 개발자들에 따르면, 조직이 제공되는 교육의 효과를 높이려면 SDLC 전반에 걸쳐 보안을 강조하는 포괄적인 접근 방식의 일부로 교육을 제시해야 합니다. 또한 개발자들은 교육의 가치를 높이기 위해 구체적인 요구 사항을 제시했습니다. 가장 인기 있는 제안 중 하나는 보안 관점에서 직면할 가능성이 높은 상황에 대한 더 많은 사례 연구와 실습 예제를 포함하는 것이었습니다. 효과를 개선하기 위한 또 다른 인기 있는 응답은 교육이 점차 복잡하거나 어려운 시나리오를 다루어야 한다는 것이었는데, 이는 지속적인 학습과 기술 개발을 위한 보다 일관된 접근 방식과 장기적인 계획이 필요할 것입니다. 개발자들은 또한 더 많은 상호작용과 경쟁적인 요소 추가의 필요성을 강조했습니다. 일반적으로 사용자가 단순히 비디오를 시청하거나 강의를 듣기만 하고 실습이나 맥락적 학습 기회가 없는 교육은 안전한 코딩과 같이 복잡하고 어렵다고 인식되는 기술을 가르칠 때 효과적이거나 가치 있다고 여겨지지 않습니다.

개발자들은 또한 더 많은 상호작용과 경쟁적인 요소 추가의 필요성을 강조했습니다.

일관된 보안 접근 방식을 채택할 때 중요한 다른 요소는 무엇일까요?

조직 개발자 커뮤니티의 보안 인식과 기술을 향상하려면 교육이 무엇보다 중요합니다. 또한 학습이 지속적이고, 상호작용이 가능하며, 관련성이 있고, 맥락적이어야 한다는 것은 필수입니다. 하지만 더 나은 보안 인식을 위한 진정으로 일관된 접근 방식은 그 이상을 지향해야 합니다.

진정으로 일관된 접근 방식은 개발자 주도의 보안 문화를 조성하기 위해 무엇이 필요한지 고려해야 합니다. 이는 개발자 팀을 관리하고 구축하는 일반적인 방식을 바꾸는 것을 의미할 수 있습니다. 예를 들어, 개발자는 전통적으로 코딩 속도를 기준으로 평가받아 왔습니다. 하지만 보안에 대한 일관된 접근 방식은 이러한 오랜 지표와 가치를 바꾸는 것을 포함할 수 있습니다. 대신, 평가의 초점을 단순한 속도 보상에서 벗어나, 취약점이 없는 안전하고 품질 높은 코드를 작성하는 개발자에게 보상하는 방향으로 전환할 수 있습니다.

개발자 커뮤니티 자체를 이러한 노력의 일환으로 참여시킬 수도 있습니다. 단순히 개발자에게 보안을 강요하는 대신, 커뮤니티 내에서 보안 챔피언을 육성하거나 임명하는 것을 고려해 보세요. 이들은 교육 과정이나 새롭게 도입된 성과 평가 지표에서 두각을 나타내는, 보안 의식이 뛰어난 유능한 개발자들입니다. 또한 이들은 다른 개발자들의 역량 강화를 기꺼이 도우며, 결과적으로 개발 커뮤니티를 내부에서부터 발전시키는 역할을 하게 됩니다.

진정으로 응집력 있는 접근 방식을 위해서는 개발자가 주도하는 보안 문화를 조성하는 데 무엇이 필요한지 고민해야 합니다. 이는 기존의 개발 팀 관리 및 구성 방식을 바꾸는 것에서 시작될 수 있습니다.

추가 읽기 자료

백서: 소프트웨어 보안 개선을 위한 과제와 기회

백서: 소프트웨어 보안을 위한 예방적 개발자 주도 접근 방식

백서: DevSecOps 슈퍼볼: 보안 챔피언이 후반부 취약점으로부터 팀을 승리로 이끄는 방법

보고서: 2022년 개발자 주도 보안 현황