심층적인 보안 교육이 교육계에 화두를 던지고 있습니다

2015년 설립 이래, 저희는 개발자들이 재미있고 실질적이며 몰입할 수 있는 보안 코딩 교육을 받을 수 있도록 지원하는 데 집중해 왔습니다. 개발자들이 보안 모범 사례를 이해하고, 그 중요성을 깨달으며, 코드를 작성하는 과정에서 악의적인 공격으로부터 소프트웨어를 보호할 수 있는 지식과 도구를 갖추는 것이 얼마나 중요한지 오래전부터 인식해 왔습니다.

물론 보안 교육이 새로운 개념은 아닙니다. 저희가 처음 시작한 것도 아니며, 소프트웨어 개발에서 적절한 보안 조치는 오랫동안 고려되어 왔습니다. 교육 방식에 따라 효과의 차이는 있겠지만, 오늘날 보안 교육에 접근하는 것은 비교적 쉬운 일입니다.

... 그런데 왜 이렇게 많은 데이터 유출 사고가 발생하는 걸까요? 9월 기준으로, 2019년에만 40억 건 이상의 기록이 여러 사이버 공격을 통해 유출되었습니다.

많은 조직이 점점 더 가치가 높아지는 데이터를 보호하기 위해 힘겨운 싸움을 벌이고 있습니다. 전 세계 CISO와 CIO들은 "시프트 레프트(Shifting Left)"만으로는 부족하다는 사실을 분명히 깨닫고 있습니다. 우리는 SDLC(소프트웨어 개발 수명 주기)의 시작 단계부터 보안을 고려해야 하며, 이는 개발자들이 코드가 공개되기는커녕 커밋되기 훨씬 전부터 결함을 수정할 수 있는 충분한 보안 지식을 갖춰야 함을 의미합니다.

애플리케이션 보안(AppSec) 전문가만이 보안 지식의 유일한 문지기가 되어서는 안 됩니다.

과거에 소프트웨어 보안은 코드를 작성하는 엔지니어들과는 거의 소통하지 않는, 아주 특별한 소수 전문가들의 영역이었습니다. 그들의 업무는 코드를 테스트하고, 취약점을 찾아내며, 보안이 취약한 코드가 배포되지 않도록 막는 것이었습니다. 만약 그들이 개발자와 마주친다면, 보안 전문가가 코드의 결함을 지적하는 상황이었을 것이고, 이는 공들여 코드를 작성한 개발자에게 환영받지 못할 일이었습니다.

오늘날의 상황도 크게 다르지 않지만, 이제는 걸려 있는 위험이 훨씬 커졌습니다. 소셜 미디어의 사진첩부터 의료 기록, 금융 정보, 가장 중요한 신분 증명 문서에 이르기까지 우리 삶의 거의 모든 측면이 디지털화되었습니다. 오프라인 위주의 독립형 소프트웨어나 운영 체제를 보호하던 시절과는 차원이 다릅니다. 수억 명의 사용자가 위험에 노출될 수 있는 수십억 줄의 코드를 위협으로부터 방어해야 합니다. 한 그룹의 전문가가 모든 책임을 지기에는 너무나 큰 위험이 따르기에, 이제는 AppSec 팀과 개발 팀 사이의 간극을 메워야 합니다. 그들은 함께 협력하고 지식을 공유하며, 보안을 의식하는 하나의 응집된 조직으로 움직여야 합니다.

한 가지 문제가 있습니다. 개발자들이 의미 있는 방식으로 보안 코딩 기술을 배울 기회가 거의 없다는 점입니다. 대부분의 대학 교육은 보안 모범 사례를 거의 다루지 않으며, 직무 교육의 질 또한 천차만별입니다.

매일같이 대규모 유출 사고가 발생하는 것이 놀랍지 않은 이유입니다. AppSec 체크리스트를 다운로드하세요.

‍

"코딩 면허(License to code)"

현재의 암울한 상황에도 불구하고, 저는 보안의 미래를 낙관합니다. 변화의 바람이 불고 있으며, 보안 코딩을 진지하게 받아들이는 수많은 조직을 보며 큰 희망을 느낍니다.

개발자가 보안 위험을 완화하기 위해 올바른 도구와 지식에 접근해야 하며, 보안 의식을 갖춘 문화가 데이터 유출 방지에 필수적이라는 사실이 점점 더 분명해지고 있습니다. 개발자가 코드를 작성할 때 보안에 대한 책임을 지게 되면, 공격자가 단순한 결함을 악용하여 시스템의 핵심 권한을 탈취하기가 훨씬 어려워집니다.

항상 보안 의식이 높은 개발자가 있는 반면 그렇지 않은 개발자도 있어, 이는 조직에 큰 도전 과제가 됩니다. 사내 개발 팀은 어느 정도 교육과 기술 모니터링이 이루어지지만, 계약직, 프리랜서, 신입 사원이 합류하면 상황은 매우 복잡해집니다. 그들이 보안 마인드를 가지고 행동할까요? 수십 년간 존재해 온 크로스 사이트 스크립팅(XSS)과 같은 고질적인 결함을 성공적으로 피할 수 있을까요? 알기 어렵지만, 그들은 종종 소프트웨어 빌드의 핵심적인 부분에 투입됩니다. 정말 아찔한 일이죠.

다행히도 개발자를 위한 필수 표준이 강화되고 있습니다. 예를 들어, 일부 조직은 Secure Code Warrior를 활용하여 개발 역량을 평가하고 "코딩 면허"를 발급합니다. 기본적인 보안 코딩 평가를 통과하지 못하면 프로젝트에 참여할 수 없습니다. 이는 신입 사원과 인턴들이 보안 기술을 빠르게 습득하도록 돕는 동시에, 안전한 코딩의 중요성을 심어주는 데 매우 유용합니다. 결국 소프트웨어에 있어 보안은 반드시 품질과 동의어가 되어야 합니다.

과외 교육이 대학들을 주목받게 하고 있습니다.

보안 코딩에 대한 담론을 바꾸는 것은 단순히 기사 한두 편이나 기조연설만으로는 부족합니다. 커뮤니티 전체의 움직임이 필요하며, 많은 일류 기업들이 이를 인지하고 부러울 만큼 높은 수준의 보안 프로그램을 구축하고 있다는 점은 매우 고무적입니다. 그중 하나인 HSBC는 신입 사원들이 입사 초기부터 "시프트 레프트" 여정을 시작할 수 있도록 강력한 프로그램을 운영하고 있습니다. HSBC 인도 기술 아카데미의 책임자인 세카르 바부 타타바르티(Sekhar Babu Tatavarti)는 심층적인 보안 교육이 필수적이라고 강조합니다:

"저희는 HSBC Technology의 개발자 커뮤니티가 은행을 취약점으로부터 보호하기 위해 보안 코딩의 중요성을 이해하기를 바랐습니다. 올해 진행한 신입 사원 교육 프로그램에서, 그들이 실무에 투입되어 코딩을 시작하기 전에 스스로 학습하고 보안 코딩 모범 사례를 체득할 수 있도록 하는 것이 큰 기회라고 판단했습니다.

저희는 신입 사원들을 위한 훌륭한 게임화 학습 방식 때문에 Secure Code Warrior 플랫폼을 선택했고, 그들은 우리의 기대를 저버리지 않았습니다. 모든 신입 사원이 토너먼트에 열정적으로 참여했을 뿐만 아니라, 다양한 기술 분야에서 화이트 벨트 인증을 완료하게 되어 매우 기쁩니다."라고 그는 말했습니다.

HSBC와 같은 많은 조직이 개발자 수준에서 보안 코딩 역량을 필수 요소로 인식하고 있습니다. 이는 결과적으로 고등 교육 전반에 대한 재조명으로 이어졌습니다. CISO와 CIO들은 왜 갓 졸업한 엔지니어들이 탄탄한 보안 교육을 받지 못한 채 사회에 나오는지 의문을 제기하기 시작했습니다.

고등 교육의 혁신.

보안 코딩은 고등 교육 과정의 소프트웨어 공학에서 필수 구성 요소가 되어야 합니다. 현재 일부 대학은 소수의 애플리케이션 보안 전문가에게만 의존하는 대신, 개발 초기 단계부터 보안을 우선순위에 두고 최고 수준의 교육을 제공하며 변화를 주도하고 있습니다.

호주 퀸즐랜드 대학교의 라이언 코(Ryan Ko) 교수는 차세대 개발자들이 피할 수 없는 사이버 공격의 위협으로부터 우리를 보호할 수 있도록 중요한 진전을 이루고 있습니다.

"대부분의 소프트웨어 취약점은 코딩 단계에서 발생합니다. 따라서 근본 원인인 프로그래머 단계에서 이를 해결할 수 있다면 오늘날 CVE 목록에서 발견되는 반복적인 문제의 대부분을 근절할 수 있을 것입니다. 소프트웨어는 현대 사회 구성원들의 삶과 생계에 영향을 미치므로, 대학과 교육 기관은 모든 신입 프로그래머에게 안전한 코딩 방법을 가르쳐야 할 도덕적, 사회적 책임이 있습니다."라고 그는 말했습니다.

이는 보안 인식과 기술 교육이 거의 없던 기존의 표준 교육 과정에서 벗어난 고무적인 발전입니다. 저는 이런 '바이러스'라면 더 널리 퍼져도 좋다고 생각합니다. 기쁘게도 맥쿼리 대학교 역시 크리스토프 도슈(Christophe Doche)와 같은 이들의 노력 덕분에 학생들에게 보안 우선 마인드를 심어주고 있습니다.

"2016년에 출범한 옵터스 맥쿼리 대학교 사이버 보안 허브(Optus Macquarie University Cyber Security Hub)는 호주 최초의 이니셔티브로, 정보 보안, 경영, 범죄학, 정보학, 법학, 심리학 분야의 학자들과 산업 및 정부의 사이버 보안 전문가들을 연결하고 있습니다.

우리의 사명은 교육, 연구, 파트너십을 통해 호주를 사이버 보안 분야의 글로벌 리더로 자리매김하는 것입니다. 이 과정에서 중요한 측면 중 하나는 2022년 전 세계적으로 180만 개의 일자리가 채워지지 않을 것으로 예상되는 사이버 보안 분야의 심각한 인력 부족 문제를 해결하는 것입니다.

이러한 인력 부족 문제를 해결하려면 기존 인력의 직무 역량을 강화하고 재교육하는 동시에, 차세대 사이버 보안 전문가를 양성하는 다각적인 접근 방식이 필요합니다."라고 그는 덧붙였습니다.

그들의 접근 방식은 매우 훌륭합니다. 부서 간의 격차를 해소하고 보안 인식의 핵심을 활성화하는 높은 참여도의 정밀 학습을 제공합니다. 그들은 마이크로러닝 전략을 활용하여 높은 유지율과 참여도, 반복 학습을 유도하는 게임화된 짧은 학습 모듈을 제공합니다. 우리가 그들이 학생들의 창의적인 참여를 이끌어내도록 도울 수 있다는 점이 특히 자랑스럽습니다.

"이러한 참여의 훌륭한 예가 바로 Secure Code Warrior와의 파트너십입니다. 2019년 8월 Secure Code Warrior와 사이버 보안 허브가 공동 주최한 토너먼트 이후, 현재 우리는 Secure Code Warrior 플랫폼을 커리큘럼, 특히 새로운 '보안 애플리케이션 개발' 과정에 도입하는 것을 검토 중입니다."라고 크리스토프는 말했습니다.

맥쿼리 대학교와 퀸즐랜드 대학교의 이니셔티브는 교육 분야에서 보안 코딩의 선구적인 역할을 하고 있습니다. 애플리케이션 보안 전문가, 개발자, 그리고 더 넓은 보안 커뮤니티로서 우리의 목표는 모든 업무에 보안을 내재화하고, '시프트 레프트(Shift Left)'를 향한 노력을 지속하는 것이어야 합니다.