조직의 보안 성숙도를 과대평가하고 있지는 않습니까?

이 기사는 Dark Reading에 게재되었던 내용을 업데이트하여 재구성한 것입니다.


대부분의 기업이 성장, 혁신, 디지털 전환의 흐름 속에서 나아가는 과정에서, 규모가 커짐에 따라 일부 영역이 미완성 상태로 남는 것은 자연스러운 일입니다. 이는 조직의 사이버 보안 프로그램에서도 흔히 나타나는 현상이며, 특히 보안 리더들이 새로운 위협, 취약점, 기술 발전으로 인한 위험 노출을 한발 앞서 방어하기 위해 고군분투할 때 더욱 그렇습니다.

하지만 지속적인 인력 부족 문제가 전 세계의 소프트웨어 수요를 맞추기 위해 쏟아지는 코드의 홍수와 충돌하면서, 많은 기업이 사이버 보안 전략과 기존 인프라 구축에 뒤처지고 있습니다. 또한 업계가 도구 중심의 접근 방식에만 치중하면서, 기능적인 방어 프로그램을 구축하는 데 있어 숙련된 인력의 중요성이 간과되는 경우가 많습니다.

이제는 전반적인 사이버 보안 성숙도를 냉정하게 점검하고, 당장 실현 가능한 개선 방안을 모색해야 할 때입니다.

지속 가능한 사이버 보안 성숙도는 하나의 과정입니다.

대중은 모든 기업이 탄탄한 사이버 보안 프로그램을 갖추고 있으며, 적절한 소프트웨어를 선택해 방어막처럼 활성화하기만 하면 위협 행위자를 즉시 차단할 수 있다고 생각하기 쉽습니다. 2022년은 사이버 사고가 가장 많았던 해 중 하나였으며, 코스타리카 정부 전체가 랜섬웨어 공격을 받은 사례도 있었습니다. 보안 전문가들에게는 그저 간단한 문제였으면 하는 바람뿐일 것입니다.

많은 산업, 특히 금융 분야는 규제 준수를 중시하며 점점 더 복잡해지는 규제 프레임워크에 따라 엄격한 보안 조치를 요구받고 있지만, 현실적으로 대부분의 조직은 사이버 회복탄력성이 부족합니다. 전 세계 대기업의 절반 이상이 사이버 공격을 효과적으로 차단하지 못하고 있으며, 악용된 취약점을 신속하게 찾아내 수정하지도 못하고 있습니다.

사람, 프로세스, 기술이라는 3대 핵심 요소를 포함한 체계적이고 성숙한 프로그램을 갖춘 선진 조직조차도 급변하는 위협 환경의 요구를 따라잡기 위해 고군분투합니다. 많은 기업이 부족함을 느끼는 중요한 영역 중 하나는 역할 기반의 보안 인식, 특히 개발팀을 위한 교육입니다. 조직의 모든 구성원이 공격 표면을 줄이는 데 자신의 역할을 이해해야 하지만, 매일 코드를 다루는 개발자들이 적절한 교육을 받는다면 보안에 대한 접근 방식을 근본적으로 변화시킬 수 있는 핵심 주체가 될 수 있습니다.

포괄적인 방어 보안 프로그램은 지속적인 개선을 요구하며, 탄탄한 기반을 다지는 데 세심한 주의가 필요합니다. 만약 그 기반이 주로 도구에만 의존한다면, 보안 리더들이 기대하는 것보다 성숙도가 낮을 가능성이 큽니다. 포네몬 연구소(Ponemon Institute)의 연구에 따르면 기업의 53%가 자사의 보안 기술 스택이 침해를 효과적으로 막을 수 있다고 확신하지 못했으며, 인적 오류가 사이버 공격의 주요 원인이라는 점을 고려할 때, 개발자를 전략적 보안 강화 계획에서 제외하는 것은 매우 위험한 일입니다.

개발자를 소프트웨어 보안 우수성의 원동력으로 만드십시오

사이버 공격에 관한 불편한 진실은, 보안 성숙도와 관계없이 거의 모든 경우에 공격자가 대상 기업보다 확실한 우위에 있다는 점입니다. 그들은 시간과 도구, 동기를 가지고 취약점을 꼼꼼하게 스캔하며 침투에 성공하기 위해 전념합니다.

반면, 조직은 비즈니스와 고객의 요구를 동시에 해결해야 합니다. 치명적인 사이버 공격의 위험을 감수할 수는 없지만, 보안 통제를 과도하게 적용하여 비즈니스 운영 속도를 늦추는 것도 현실적이지 않습니다. 바로 이 지점에서 보안 역량을 갖춘 개발자가 사이버 방어의 성패를 가르는 핵심 요소가 됩니다.

전통적으로 개발자에게 보안 책임을 공유할 권한이 주어지지 않았다는 것은 잘 알려진 사실이지만, 이제는 반드시 개선되어야 합니다. 조직은 개발자를 위한 실질적인 역량 강화 경로를 마련할 수 있지만, 그들의 업무 환경에서 의미 있는 교육 옵션을 선택해야 합니다. 최소한 그들이 실제로 사용하는 언어와 프레임워크로 교육이 진행되어야 하며, 코드베이스에서 가장 흔히 마주치는 취약점을 다루어야 합니다.

개발자의 워크플로우를 고려하여 교육 과정을 구성하면, 일반적인 취약점과 잘못된 설정을 유발하는 나쁜 코딩 패턴을 안전하고 좋은 패턴으로 대체할 가능성이 훨씬 높아지며, 이는 시간이 지남에 따라 소프트웨어 품질을 크게 향상시킵니다. 저품질 소프트웨어로 인해 미국에서만 올해 2조 4,100억 달러의 비용이 발생했으며, 이는 위험한 기술 부채를 지속시키는 오류의 악순환을 끊어야만 해결할 수 있습니다.

더 긍정적이고 포괄적인 보안 프로그램을 위해서는 조직 전체의 헌신이 필요합니다. 이는 사람 중심의 문제를 해결하는 데 필요한 인적 자원을 활용하는 것입니다. 내일의 뉴스 헤드라인을 장식하지 않으려면, 그만한 노력을 기울일 가치가 충분합니다.