최고의 DevSecOps 엔지니어가 되는 법

기술 자체가 그러하듯, 코드를 개발하기 위한 도구와 기술, 최적의 프로세스도 빠르게 진화합니다. 인간은 더 많은 소프트웨어, 더 많은 기능, 더 높은 성능을 끊임없이 갈망하며, 이를 이전보다 더 빠르게, 더 높은 품질로, 그리고 무엇보다 안전하게 구현하기를 원합니다. 불과 몇 년 전만 해도 애자일 개발 방식은 거대한 업무를 작은 단위로 쪼개고 고객의 피드백 주기에 빠르게 대응할 수 있게 해주는 혁신적인 방법론이었습니다. 그 이전에는 워터폴 방식이 주류를 이루었죠.

많은 사람과 조직이 워터폴에서 애자일로 넘어가고 있지만, 솔직히 말해 아직 모두가 그 단계에 도달한 것은 아닙니다. 게다가 이들은 이미 새로운 문제에 직면해 있습니다. 바로 개발 팀과 운영 팀이 여전히 사일로(silo) 형태로 일하고 있다는 점입니다. 이러한 환경에서 애자일 방식으로 일하는 소규모 팀이 더 빠른 배포와 더 빠른 제공이라는 약속을 어떻게 지킬 수 있을까요?

데브옵스(DevOps)는 개발(Development)과 운영(Operations)의 합성어로, 새로운 소프트웨어를 만들 때 개발 팀과 운영 팀의 기능을 통합하기 위해 탄생했습니다. 본질적으로 이는 개발자가 운영 팀에 업무를 떠넘기는 대신, 직접 프로덕션 환경에 배포하는 책임을 갖도록 돕기 위한 것이었습니다.

물론 하루에도 몇 번씩 배포할 수 있을 만큼 속도는 빨라질 수 있으며, 이는 애자일의 지향점과도 잘 맞는 듯 보입니다. 하지만 데브옵스는 여전히 엔지니어와 운영 인력을 하나의 거대한 혼합 팀으로 묶어버리는데, 이는 실제로는 애자일 정신과 완전히 일치하지 않을 수 있습니다. 궁극적으로 데브옵스는 애자일의 진화된 형태로 보는 것이 좋습니다. 두 방법론은 여러 면에서 유사하며 서로 보완적인 관계이기 때문입니다. 데브옵스는 빈번한 릴리스를 가능하게 하는 자동화된 지속적 통합 및 배포 파이프라인을 촉진하지만, 팀 수준에서는 애자일만큼 충분하지 않습니다. 바로 이 지점에서 애자일이 필요합니다. 애자일은 특히 소규모 팀이 업무에 집중하고 협업하면서도 빠른 릴리스와 변화하는 요구사항에 발맞출 수 있게 해줍니다. 이상적으로 보이고 팀이 최종 목표를 향해 나아가도록 도울 수 있지만, 이 역시 고유한 문제점들을 안고 있습니다.

데브옵스 모범 사례를 사용하여 만든 소프트웨어라도 첫 번째 난관인 보안 팀의 벽에 부딪힐 수 있습니다. 전통적인 워터폴 방식의 애플리케이션 보안(AppSec) 전문가들이 도구나 복잡한 수동 검토를 통해 코드를 분석하면, 종종 허용할 수 없는 위험과 취약점이 발견되곤 합니다. 이를 사후에 수정하는 과정은 빠르지도 쉽지도 않으며, 조직 입장에서는 훨씬 더 많은 비용이 듭니다.

그렇다면 세상이 워터폴, 애자일, 데브옵스를 넘어 나아가고 있는 지금, 해결책은 무엇일까요? 그리고 개발자로서 이러한 접근 방식의 변화에 발맞추기 위해 여러분은 어떤 역할을 해야 할까요?

개발 기술은 끊임없이 진화하지만, 다행히 이번 변화는 그리 거창한 것이 아닙니다. 조직은 그저 데브옵스에 '보안(Sec)'을 더하기만 하면 됩니다. 그렇게 데브섹옵스(DevSecOps)가 탄생했습니다. 데브섹옵스의 주요 목표는 장벽을 허물고 개발, 운영, 그리고 보안 팀 간의 협업을 활성화하는 것입니다. 데브섹옵스는 소프트웨어 개발 수명 주기 전반에 걸쳐 보안 자동화와 모니터링을 옹호하는 소프트웨어 엔지니어링 전략이자 문화로 자리 잡았습니다.

구현해야 할 기능 목록이 산더미 같은 개발자 입장에서는 또 하나의 조직적 프로세스, 혹은 '사공이 많은' 상황처럼 보일 수도 있습니다. 하지만 데브섹옵스 방법론은 보안을 고려하는 개발자가 자신의 역량을 제대로 발휘할 수 있는 기회를 열어줍니다.

데브섹옵스의 밝은 미래

그렇다면 왜 코더가 데브섹옵스 엔지니어가 되고 싶어 할까요? 아마도 데브옵스(또는 애자일) 경험이 있지만 데브섹옵스 전문가로 한 단계 더 나아가고 싶을 수 있습니다. 우선, 이는 비용이 많이 드는 사이버 공격으로부터 세상을 안전하게 지키려는 노력뿐만 아니라, 여러분의 커리어에도 매우 현명한 선택이라는 점을 알아두세요. 전문가들은 유능한 사이버 보안 인력에 대한 수요가 끝없이 치솟고 있다고 말합니다. 데브섹옵스를 마스터한 사람들은 길고 성공적인 커리어를 기대할 수 있습니다.

데브섹옵스 엔지니어의 고용 안정성은 더욱 확실합니다. 다양한 소프트웨어 기반 도구를 사용하는 취약점 스캔과 같은 전통적인 사이버 보안 방식과 달리, 데브섹옵스는 코딩 단계에서부터 보안을 구현할 줄 아는 인재를 필요로 하기 때문입니다. 부즈 앨런 해밀턴(Booz, Allen and Hamilton)의 분석가들이 데브섹옵스 도입의 5가지 신화라는 블로그에서 언급했듯이, 조직은 데브섹옵스를 원하고 심지어 필요로 하지만, 단순히 돈으로 살 수는 없습니다. 데브섹옵스는 교차 기능 팀이 소프트웨어 개발 수명 주기 전체에 걸쳐 기술을 통합하고 협업할 수 있게 해주는 방법론이며, 이를 위해서는 숙련된 인재, 변화 관리, 그리고 여러 이해관계자의 지속적인 노력이 필요합니다.

부즈 앨런 해밀턴에 따르면, 기업은 릴리스 관리 소프트웨어와 같이 데브섹옵스의 특정 측면을 돕는 앱이나 도구를 구매할 수는 있지만, "실제로 이를 실현하는 것은 바로 여러분의 배포 팀"입니다. 데브섹옵스가 제공하는 지속적인 개선과 문화적, 패러다임적 변화를 이끄는 주체는 바로 그들입니다.

조직은 실행 가능한 데브섹옵스 프로그램을 '구매'할 수 없습니다. 이는 다양한 도구와 사내 지식, 그리고 보안 문화를 고취하면서도 비즈니스적 타당성을 갖춘 가이드를 활용하여 직접 구축하고 유지해야 합니다. 쉽지는 않지만, 결코 불가능한 일도 아닙니다.

데브섹옵스 흐름 속에서 최고의 성과를 내는 방법

데브섹옵스 엔지니어가 되기 위한 첫걸음 중 하나는 이것이 기술의 집합체인 동시에 하나의 문화라는 점을 깨닫는 것입니다. 이는 여러분이 작성하는 모든 코드에 보안을 구현하려는 의지와, 코딩 과정에서 보안 결함과 취약점을 능동적으로 찾아내어 프로덕션 환경에 반영되기 훨씬 전에 수정함으로써 조직을 선제적으로 보호하려는 열망을 필요로 합니다. 대부분의 데브섹옵스 엔지니어는 자신의 직업과 기술을 매우 진지하게 대합니다. 데브섹옵스 전문가 조직은 심지어 자신들의 신념을 담은 선언문까지 가지고 있습니다.

선언문이 으레 그렇듯, 이 선언문도 가볍게 읽을 내용은 아닙니다. 하지만 그 핵심에는 모든 훌륭한 데브섹옵스 엔지니어가 받아들여야 할 몇 가지 진리가 담겨 있습니다.

• 애플리케이션 보안 팀이 여러분의 든든한 지원군임을 기억하세요. 대부분의 조직에서 보안 팀은 개발자가 완성한 코드에 끊임없이 수정 사항을 요구하기 때문에 개발자와 갈등을 빚곤 합니다. 보안 팀 역시 개발자가 흔한 보안 취약점을 만들어내어 프로덕션 배포를 지연시키는 상황을 달가워하지 않죠. 하지만 현명한 DevSecOps 엔지니어라면 보안 팀의 목표가 결국 개발자의 목표와 같다는 사실을 이해할 것입니다. 꼭 절친한 사이가 될 필요는 없지만, 차분하고 협력적인 업무 관계를 구축하는 것은 성공을 위한 필수 요소입니다.
• 보안 코딩 기술을 연습하고 다듬으세요. 개발 단계에서 앱의 취약점을 미리 찾아내어 보완한다면, 향후 발생할 해킹 시도를 원천 차단할 수 있습니다. 물론 이를 위해서는 취약점에 대한 이해와 이를 해결할 도구가 필요합니다. Secure Code Warrior 블로그 페이지에서는 가장 흔하고 위험한 취약점에 대한 통찰은 물론, 지식을 테스트할 수 있는 실질적인 조언과 도전 과제를 제공합니다. 가장 중요한 것은 보안을 항상 최우선으로 생각하고, 기존 지식을 확장할 수 있는 짧은 교육에 시간을 투자하는 것입니다. 보안과 관련된 개발자의 경험은 대개 평범하거나 부정적이기 쉽지만, 보안 역량을 키우는 것은 커리어에 큰 도움이 되며 결코 지루한 일이 아닙니다.
• 기억하세요. DevSecOps 슈퍼스타는 조직 내 긍정적인 보안 문화를 조성하는 데 기여합니다. 단순히 문제점을 무시하고 빠르게 앱을 배포하던 과거의 방식에서 벗어나, 개발 중인 코드에서 취약점을 찾아 해결하는 것을 최우선 과제로 삼아야 합니다. 보안은 모두의 책임이며, 안전하고 강력한 애플리케이션을 성공적으로 배포했을 때 얻는 성취와 보상은 모두가 함께 누려야 합니다.

보안 코딩과 모범 사례를 밑바닥부터 실천하고, 교육 솔루션을 제안하며, 급변하는 DevSecOps 환경에서 소외되는 개발자가 없도록 함으로써 조직 내에 훌륭한 보안 문화를 조성할 수 있습니다. 보안이 확보되지 않은 코드는 좋은 코드가 아니며, 보안 의식을 갖춘 숙련된 개발자는 이 퍼즐의 핵심 조각입니다. 매년 수십억 건의 개인정보가 유출되는 오늘날, 여러분의 노력은 개인적, 직업적으로 충분한 가치가 있습니다. 디지털 세상의 최전선에서 악의적인 공격자들에 맞서 함께 싸워주세요.

Matias Madou 박사는 Secure Code Warrior의 CTO이자 공동 창립자입니다. 그는 보안 전문가이자 오랜 경력의 개발자이며, 포트나이트 마니아입니다.