효과적인 개발자 보안 교육을 실행하는 방법: 5가지 핵심 교훈

왜 어떤 개발자 애플리케이션 보안 교육 프로그램은 다른 프로그램보다 더 나은 성과를 낼까요?

SANS 트레이너로서 10년 넘게 활동하고, 지난 3년간 Secure Code Warrior(SCW)를 설립하고 성장시키면서, 저는 교육 프로그램이 최고의 성과를 내도록 시간과 자원을 투자하는 것의 가치를 직접 확인했습니다.

사업 첫해에 우리 회사는 1만 명 이상의 개발자를 보안 코딩 교육에 참여시켰고, 가장 효과적으로 프로그램을 도입한 사례들에서 몇 가지 공통적인 트렌드를 발견했습니다. 그 결과는 매우 고무적이었습니다. 높은 참여도와 보안 인식 향상은 물론, 보안 취약점을 비용이 많이 들기 전에 조기에 발견함으로써 강력한 투자 대비 효과(ROI)를 거두었습니다.

인정하기 싫지만, 교육 링크가 담긴 이메일만 보내는 '저노력' 방식으로 프로그램을 도입하려 했던 사례들도 있었습니다. 당연하게도 결과는 좋지 않았고, 우리는 이러한 도입 방식을 수정해야 했습니다.

아래에서는 우리 회사를 포함하여 모든 개발자 보안 교육 프로그램의 참여도, 영향력, 성공을 크게 높여줄 5가지 중요한 교훈을 공유하고자 합니다.

1. 프로그램에 영향력을 더하고 싶다면 시작부터 재미를 불어넣으세요

특별한 킥오프 이벤트를 열거나 영화, 괴짜(geek), 게임 같은 테마를 프로그램에 적용하면 시작부터 참여와 열의 수준을 크게 바꿀 수 있습니다. 우리의 대형 고객사 중 한 곳은 인기 TV 시리즈를 테마로 한 판타지 프로그램을 만들어 티셔츠, 배지, 스티커를 제공했고, 덕분에 모든 개발자가 참여하고 싶어 하는 경험을 만들었습니다. 또 다른 곳은 5월 4일에 맞춰 스타워즈 테마로 이벤트를 진행하기도 했습니다. 약간의 재미는 직원들의 참여를 이끌어내는 데 큰 도움이 되며, 짧고 굵은 보안 코딩 교육을 또 하나의 업무가 아닌 잠시 쉬어가는 시간처럼 느끼게 해줍니다. 첫 번째 마일스톤 달성, 이제 그들의 관심을 끌었고 프로그램에 대해 알렸습니다.

2. 올바른 개발자 보안 교육 챔피언을 찾으세요 (힌트: 보안 기술보다 소통 능력이 더 중요합니다!)

특히 규모가 큰 조직일수록 각 스크럼 팀에서 올바른 보안 챔피언을 찾는 것은 프로그램의 지속적인 성공을 위해 매우 중요합니다. 제 경험상, 보안이나 개발 분야의 고숙련 전문가라고 해서 모두가 뛰어난 대인 관계나 소통 능력을 갖춘 것은 아닙니다. 프로그램에 긍정적이고 지속적인 영향을 줄 최고의 보안 챔피언은 보안에 대한 열정이 있으면서도 사람을 대하는 능력, 영향력, 소통 능력이 뛰어난 사람입니다. 신중하게 선택하되, 성격과 소통 능력을 반드시 고려하세요.

3. 기술을 인정해 주는 멋진 보상을 준비하세요

일반적으로 개발자를 포함한 모든 컴퓨터 괴짜(geek)들은 자신의 지능과 기술을 인정받기를 좋아합니다. 기술을 인정해 주는 특별한 스티커, 괴짜스러운 가젯, 특별 배지, 맞춤 제작 티셔츠 등으로 보상하면 그들은 이를 자랑스럽게 착용하거나 전시할 것입니다. 교육 프로그램에서 중요한 성과를 낸 사람이 있다면 그들에게 인정과 주목을 받을 기회를 주는 방법을 고민해야 합니다. 한 고객사는 Secure Code Warrior 챔피언들의 사진을 정기적으로 찍어 사내 뉴스레터에 CISO의 메시지와 함께 게시하는 훌륭한 이니셔티브를 보여주었습니다.

4. 개발자를 보안 전문가로 만들려고 하지 마세요

개발자가 안전하게 코딩하도록 도와 보안 프로그램의 '최전선' 역할을 하게 만들고 싶겠지만, 그렇다고 해서 그들이 회사 내에서 가장 심도 있는 보안 전문가가 되어야 한다는 뜻은 아닙니다. 또한 새로운 보안 취약점이나 데이터 유출 사례를 끊임없이 주입할 필요도 없습니다. 보안도 중요하지만, 개발자의 주된 목표는 훌륭한 제품이나 서비스를 만들고 비즈니스 속도에 맞추는 것입니다. 보안 교육을 너무 과하게 하면 오히려 참여 의욕을 꺾을 위험이 있습니다. 핵심 교훈은, 개발자에게 기본적인 보안 위생을 이해시키고 안전하게 코딩할 수 있는 도구를 지원하되, 그들을 회사의 보안 전문가로 만들려고 해서는 안 된다는 것입니다.

5. 교육 자체를 측정하지 말고, 그 영향력을 측정하세요

개발자가 몇 시간을 교육받았는지, 영상을 몇 개나 시청했는지를 측정하지 마세요. 대신 프로그램 시작 전 각 팀에서 코드 분석, 버그 바운티, 일반적인 취약점 테스트를 통해 발견된 취약점의 수를 측정하세요. 교육 프로그램이 효과적이라면 식별되는 취약점의 수는 줄어들 것입니다. 두 번째로 측정해야 할 것은 취약점을 수정하는 데 걸리는 시간입니다. 개발자가 수정하는 데 한 달이 걸린다면 방법을 모른다는 뜻이지만, 한 시간 만에 수정할 수 있다면 기술을 완전히 습득했다는 증거입니다. 이것이 바로 현명한 기업들이 개발자 보안 코딩 교육의 효과를 측정하기 위해 사용하는 두 가지 지표입니다.

효과적인 개발자 보안 교육을 도입하기 위한 5가지 핵심 교훈:

1. 프로그램에 영향력을 더하고 싶다면 시작부터 재미를 불어넣으세요
2. 올바른 개발자 보안 교육 챔피언을 찾으세요 (힌트: 보안 기술보다 소통 능력이 더 중요합니다!)
3. 기술을 인정해 주는 멋진 보상을 준비하세요
4. 개발자를 보안 전문가로 만들려고 하지 마세요
5. 교육 자체를 측정하지 말고, 그 영향력을 측정하세요