개발자에게 동기를 부여하는 것이 더 나은 보안 관행을 만드는 핵심입니다

사이버 위협 환경은 날이 갈수록 복잡해지고 있습니다. 공격자들은 취약한 애플리케이션, 프로그램, 클라우드 인스턴스를 찾기 위해 끊임없이 네트워크를 스캔하고 있으며, 최근에는 보안 통제가 허술해 쉽게 공략할 수 있는 API가 주요 타깃이 되고 있습니다. 공격자들의 집요함은 매우 강력해서, 새로운 앱이 배포된 지 몇 시간 만에 침해당하고 악용되는 경우도 발생합니다. Verizon의 2021년 데이터 침해 조사 보고서(Data Breach Investigations Report)는 기업과 조직을 향한 위협이 역사상 그 어느 때보다 위험하다는 점을 분명히 보여줍니다.

소프트웨어를 진정으로 보호하는 유일한 방법은 안전한 코드를 기반으로 구축하는 것임이 분명해지고 있습니다. 다시 말해, 위협 행위자의 침입을 막는 가장 좋은 방법은 애초에 애플리케이션에 발을 붙이지 못하게 하는 것입니다. 일단 공격이 시작되면, 대부분의 유리한 고지는 공격자가 점하게 됩니다.

이러한 상황은 애자일 개발과 DevOps의 등장으로 이어졌고, 이후 개발부터 배포까지 소프트웨어 생성 과정에 참여하는 모든 이들이 보안을 공동 책임으로 인식하는 DevSecOps 운동으로 발전했습니다. 하지만 이 피라미드의 기반이자 가장 중요한 부분은 바로 개발자입니다. 대부분의 개발자는 자신의 역할을 다하고 안전한 코드를 작성하고 싶어 하지만, 그들이 속한 많은 조직은 이러한 우선순위의 대대적인 변화를 뒷받침하는 데 소극적입니다.

설계부터 완벽한 보안

수년 동안 개발자들은 비즈니스가 멈추지 않고 고객이 잠들지 않는 급변하는 환경에서 앱을 빠르게 구축하고 배포하는 것이 조직 내 자신의 주된 역할이라고 교육받아 왔습니다. 개발자가 코드를 더 빨리 작성하고 더 많은 기능을 배포할수록, 성과 평가에서 더 높은 가치를 인정받았습니다.

보안은 고려 대상이 되더라도 뒷전이었습니다. 그 모든 책임은 애플리케이션 보안(AppSec) 팀의 몫으로 남겨졌습니다. AppSec 팀은 완성된 애플리케이션을 보안 패치나 취약점 수정을 위해 다시 개발 단계로 돌려보내는 경우가 많았기 때문에 대부분의 개발자에게 환영받지 못했습니다. 개발자가 이미 "완성된" 앱을 수정하는 데 보내는 시간은 새로운 앱과 기능을 만드는 데 쓰이지 못하는 시간이었고, 이는 곧 성과(그리고 보수적인 기업의 눈에는 그들의 가치) 하락으로 이어졌습니다.

그러던 중 위협 환경이 변화하면서 대부분의 기업에서 보안의 중요성과 우선순위가 달라졌습니다. IBM과 포네몬 연구소(Ponemon Institute)의 최근 데이터 침해 비용 보고서(Cost of a Data Breach Report)에 따르면, 평균적인 사이버 보안 침해 사고당 비용은 약 380만 달러에 달하며, 이는 결코 상한선이 아닙니다. 한 기업은 네트워크 침해 사고 이후 13억 달러의 손실을 입기도 했습니다. 오늘날 기업들은 DevSecOps가 제공하는 보안을 원하지만, 안타깝게도 그 부름에 응답하는 개발자들에게 보상하는 데는 여전히 더딥니다.

단순히 개발 팀에게 보안을 고려하라고 말하는 것만으로는 부족합니다. 특히 여전히 속도 위주로 인센티브가 제공되는 시스템이라면 더욱 그렇습니다. 사실 이러한 시스템 내에서는 보안을 배우고 코드를 안전하게 만드는 데 시간을 투자하는 개발자가 보안에 덜 신경 쓰는 동료들보다 성과 평가나 보너스 측면에서 불이익을 받을 수 있습니다. 이는 기업이 스스로 보안 실패를 초래하는 시스템을 구축하는 것과 다름없으며, 결국 개발 팀을 바라보는 시각의 문제로 귀결됩니다. 개발 팀을 보안의 최전선으로 보지 않는다면, 인력을 활용한 실행 가능한 보안 계획은 결실을 보기 어렵습니다.

교육 부족 문제는 언급조차 하지 않았습니다. 수십 년의 코딩 경험을 가진 숙련된 개발자들도 보안에 관해서는 경험이 거의 없는 경우가 많습니다. 애초에 요구받은 적이 없기 때문입니다. 기업이 숙련된 프로그래머에게 양질의 교육 프로그램을 제공하지 않는다면, 개발자들이 갑자기 새로운 기술을 습득하여 취약점을 실질적으로 줄이는 방식으로 적용하기를 기대하기는 어렵습니다.

개발자의 올바른 보안 관행에 대한 보상

다행인 점은 대다수의 개발자가 자신의 일을 도전적이고 보람 있는 것으로 느끼며, 자신의 직무가 가져다주는 존중을 즐기기 때문에 업무에 임한다는 것입니다. 평생 코더로 살아온 마이클 슈필트(Michael Shpilt)는 최근 자신의 글에서 자신과 동료 개발자들에게 동기를 부여하는 요소들에 대해 언급했습니다. 물론 금전적 보상도 포함되어 있지만, 놀랍게도 우선순위는 낮았습니다. 대신 그는 새로운 것을 창조하는 짜릿함, 새로운 기술을 배우는 즐거움, 그리고 자신의 작업이 다른 사람들을 돕는 데 직접적으로 사용된다는 만족감을 우선시했습니다. 또한 그는 회사와 커뮤니티 내에서 가치 있는 존재로 느껴지기를 원한다고 말합니다. 요컨대, 개발자들도 자신의 일에 자부심을 느끼는 많은 훌륭한 사람들과 다를 바 없습니다.

슈필트와 같은 개발자들은 위협 행위자가 자신의 코드를 침해하여 회사나 자신이 돕고자 하는 사용자에게 해를 끼치는 것을 원치 않습니다. 하지만 지원 없이는 갑자기 보안으로 우선순위를 전환할 수 없습니다. 그렇지 않으면 시스템이 오히려 그들을 방해하는 꼴이 될 것입니다.

개발 팀의 사이버 보안 역량을 향상하려면 먼저 필요한 기술을 교육해야 합니다. 단계별 학습(scaffolded learning)과 적시(Just-in-Time, JiT) 교육 같은 도구를 활용하면 교육 과정을 훨씬 수월하게 만들 수 있으며, 올바른 맥락에서 기존 지식을 바탕으로 역량을 쌓는 데 도움이 됩니다.

JiT의 원칙은 개발자에게 딱 필요한 시점에 적절한 지식을 제공하는 것입니다. 예를 들어, JiT 개발자 교육 도구가 프로그래머가 안전하지 않은 코드를 작성하거나 실수로 애플리케이션에 취약점을 도입하고 있음을 감지하면, 즉시 활성화되어 해당 문제를 해결하는 방법과 향후 동일한 기능을 수행할 때 더 안전한 코드를 작성하는 방법을 알려줍니다.

기술 향상에 대한 의지가 확립되었다면, 속도만을 기준으로 개발자를 평가하던 구시대적인 방식은 폐기되어야 합니다. 대신 안전한 코드를 작성하는 능력을 기준으로 개발자에게 보상해야 하며, 최고의 개발자는 팀 전체의 역량 향상을 돕는 보안 챔피언이 되어야 합니다. 이러한 챔피언들에게는 사내 명예와 금전적 보상이 모두 주어져야 합니다. 또한 개발자들은 일반적으로 보안과 관련해 긍정적인 경험을 하지 못했다는 점을 기억해야 합니다. 재미있고 긍정적인 학습과 그들의 관심사에 부합하는 인센티브로 그들을 격려하는 것은 지식 유지와 지속적인 기술 습득 의지를 고취하는 데 큰 도움이 될 것입니다.

기업은 여전히 개발자 평가 항목에 코딩 속도를 포함할 수 있지만, 안전한 애플리케이션을 개발하는 데는 시간이 조금 더 걸릴 수 있다는 점을 감안해야 합니다. 특히 개발자들이 새로운 기술을 배우는 과정에서는 더욱 그렇습니다.

DevSecOps는 점점 더 위험해지는 위협 환경이라는 어둠의 기술에 맞서는 궁극적인 방어책이 될 수 있습니다. 다만, 이 새로운 세계의 주역인 개발자들, 즉 끊임없이 새로운 코드를 만들어내는 이들이 자신의 업무에 대해 존중받고 정당한 보상을 받아야 한다는 사실을 잊지 마십시오.

전 세계 개발자들과 보안 실력을 겨뤄보고 싶으신가요? Secure Code Warrior의 Devlympics 2021에 참여하고 글로벌 토너먼트에서 푸짐한 상품의 주인공이 되어보세요!