더 나은 보안 코딩 성과를 위한 보안 코드 교육 구성 방법

개발자를 위한 보안 코드 교육의 교육적 성과는 기대에 미치지 못하는 경우가 많습니다. 많은 기업이 큰 비용을 투자하지만 실무에서 얻는 성과는 미미합니다. 이는 놀라운 일이 아닙니다. 최신 연구*에 따르면 개발자들은 보안 코드 학습을 지루하게 느끼며, 보안 코드를 구현하는 방법을 배우는 것을 어렵게 생각합니다. 보안 코딩 교육에 대한 새로운 접근 방식이 필요합니다. 이에 2020년, Secure Code Warrior는 Evans Data Corp.와 협력하여 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 개발자의 태도를 조사하는 기초 연구를 수행했습니다(백서 다운로드: 여기).

제공되는 교육에 대해 평가할 기회가 주어졌을 때, 개발자들은 현재의 보안 코드 교육이 다음과 같다고 냉정하게 평가했습니다.

• 현실과 동떨어진 교육 - 40%
• 지나치게 이론적이며 업무와 관련이 없고 실습 위주가 아님 - 40%
• 교육 빈도가 낮고 업무와 연관성이 없으며 흥미롭지 않음 - 30%.
  

이러한 통계는 심각합니다. 현재의 보안 코드 교육이 맥락적으로 부적절하며, 개발자가 매일 수행하는 업무와 의미 있는 연관성이 없음을 보여줍니다.

개발자들은 배운 내용을 실제 업무 환경에 적용하지 못하는 경우가 많습니다. 이로 인해 많은 보안 교육이 시간과 비용 낭비가 되고 있습니다.

개발자가 원하는 교육을 만드는 5가지 방법

개발자가 원하는 교육의 형태에 관해서는 5가지 사항이 매우 분명하게 드러났습니다.

1. ‍개발자의 75%는 구조화된 직무 내 교육(OJT)을 선호하며, 이를 가장 효과적이고 만족스러운 학습 방식으로 꼽았습니다.
   
   교육 내용에 관해서는 개발자들의 요구 사항이 매우 명확합니다.
2. 65%는 언어별 취약점에 대한 교육이 더 필요하다고 답했으며,
3. 65%는 OWASP Top 10
4. 에 대한 교육을 더 원합니다. 또한 많은 개발자가 컴플라이언스 보안 프레임워크(NIST 58%, CIS 52%, PCI DSS 50%)에 집중하기를 원합니다.
5. 78%는 교육의 일환으로 비공식적인 동료 코칭과 지도를 원합니다.

무엇보다 개발자들은 실용적이고 일상 업무의 맥락에 뿌리를 둔 보안 코드 교육을 원합니다. 개발자들은 강의를 듣기만 하는 것을 원하지 않습니다. 직접 코드를 다루며 체험하기를 원합니다. 현재 교육 프로그램에서 크게 부족한 실용적인 적용에 초점을 맞추길 원합니다. 설문조사에 참여한 개발자들이 꼽은 좋은 교육의 5가지 특징은 다음과 같습니다.

• 실제 업무 시나리오를 보여주는 더 실용적인 교육 (30%).
• 특정 코드나 취약점에 집중한 가이드 활동 (24%).
• 더 많은 예시나 사용 사례 포함 (24%), 교육 이수에 따른 구체적인 이점 제공 (<20%), 팀 빌딩 연습 포함 (<20%).
• 교육 이수에 따른 구체적인 이점 제공.
• 팀 빌딩 연습 포함.
  

개발자들은 보안 코드 교육이 근본적인 기술을 전달하고 진정한 인정을 받기를 원합니다. 보안 코딩 기술은 고용주들에게 매우 높게 평가받기 때문에, 개발자들은 특히 새로운 일자리에 지원할 때 동료들과 차별화하려는 열의를 보입니다. 자신의 기술적 숙련도나 전문성을 입증하려는 개발자들은 오랫동안 공식 인증 프로그램을 활용해 왔습니다. 구조화된 인증 교육 프로그램을 찾고 있는지 묻는 질문에 70%가 그렇다고 답했습니다. 주요 동기는 습득한 기술에 대한 공식적인 인정, 업무 효율성 향상, 그리고 회사 내에서 대체 불가능한 인재가 되는 것이었습니다.

더 나은 교육 성과를 위해서는 개발자 중심의 교육이 핵심입니다. 구조화된 보안 코드 교육은 개발자들에게 매력적이지만, 그들이 원하는 것을 제공할 때만 효과가 있습니다. 이러한 도전을 받아들여 개발자의 필요에 맞춰 보안 코드 교육을 재구성하는 기업은 반복되는 취약점 감소, 더 빠른 코드 배포, 그리고 그에 따른 평판 향상이라는 결실을 얻게 될 것입니다.

개발자들이 관련 프로그래밍 언어 및 프레임워크를 바탕으로 실제 업무와 유사한 도전 과제를 해결하는 맥락 중심의 실습 교육을 원한다는 것은 명백한 사실입니다. 보안 코딩의 변화를 주도하는 Secure Code Warrior는 개발자의 요구를 충족하기 위해 인간 중심의 접근 방식을 취합니다. 팀이 더 빠르게 보안 코드를 배포할 수 있는 잠재력을 확인하고 싶다면, 지금 데모를 요청하세요.

*반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상. Secure Code Warrior 및 Evans Data Corp. 2020