귀하의 보안 프로그램은 CISA의 사이버 보안 전략 계획을 맞이할 준비가 되셨습니까?

이 기사의 일부는 Forbes에 게재되었습니다. 해당 내용은 업데이트되어 이곳에 신디케이트되었습니다.


‍사이버 보안 전략 계획은 대부분의 조직이 사이버 보안에 접근하는 방식에 큰 변화를 요구하고 있으며, 개발자들은 이러한 새로운 목표를 달성하는 데 핵심적인 역할을 할 수 있는 위치에 있습니다.

‍

미국 사이버 보안 및 인프라 보안국(CISA)은 2018년 설립 이래 미국의 주요 인프라와 컴퓨팅 네트워크를 보호하는 데 중추적인 역할을 해왔을 뿐만 아니라, 그 영향력과 전문성은 전 세계적으로도 널리 인정받고 있습니다. CISA가 제공하는 포괄적인 조언, 보안 권고, 취약점 보고서 및 사이버 보안 프로그램은 실행 가능한 모범 사례의 글로벌 표준을 제시했으며, 이는 최근 발표된 'CISA 2023-2025 전략 계획'이 글로벌 사이버 보안 분야에서 갖는 중요성을 잘 보여줍니다.

CISA의 영향력과 성과는 설립된 지 몇 년 되지 않았다는 점을 고려할 때 대부분의 정부 기관이 이룬 성취를 훨씬 뛰어넘습니다. 이는 위협 환경의 기하급수적인 성장과 공격자들이 침해 및 악용 시도에 더욱 능숙해지고 있다는 사실과 무관하지 않습니다. CISA는 사이버 범죄자 및 기타 위협 행위자들과의 싸움에서 주도적인 역할을 수행하며, 트렌드를 체계적으로 추적하고 사이버 보안 모범 사례를 제시하고 있습니다.

그러나 CISA는 그동안 유용한 조언과 지침을 제공해 왔음에도 불구하고, 향후 몇 년간의 사이버 보안 노력에 대한 전반적인 방향을 설정하는 종합 전략 계획을 발표한 적은 없었습니다. 이는 단순한 계획이 아니라 많은 조직이 연구하고 궁극적으로 구현해야 할 이정표입니다. 이 계획이 사이버 보안 접근 방식의 대대적인 변화를 요구하고 있어 지침을 따르는 것이 어려울 수 있지만, 적절한 지원과 도구, 역량 강화 경로가 제공된다면 개발 커뮤니티가 큰 도움을 줄 수 있습니다.

글로벌 사이버 보안 모범 사례에 변화의 바람이 불고 있습니다

언뜻 보기에는 CISA 전략 계획에서 어느 정도의 좌절감이 느껴질 수도 있지만, CISA는 우리가 지금과 같은 방식을 고수한다면 결과 또한 달라지지 않을 것이라는 사실을 인정하고 있을 뿐입니다. 사이버 보안이 개선되려면 오늘날 사용되는 소프트웨어와 애플리케이션을 만드는 기업을 포함하여 전반적인 대대적인 변화가 필요합니다.

소프트웨어에 책임을 묻는 것은 이미 이전에 제시된 개념입니다. 실제로 미국의 국가 안보 전략은 "취약한 소프트웨어 보안은 디지털 생태계 전반의 시스템적 위험을 크게 증가시킨다"고 명시하고 있습니다. CISA 전략 계획은 이러한 난제를 해결하기 위한 새로운 전략을 제시합니다.

CISA가 옹호하는 사이버 보안의 가장 큰 변화는 소프트웨어 제작자들에게 안전한 제품을 출시하도록 요구하는 것입니다. 안전한 코딩 모범 사례가 확립되고 적용된다면, 공격자가 악용할 수 있는 소프트웨어 내의 취약점, 특히 주요 취약점은 훨씬 줄어들 것입니다. 물론 여전히 간과되는 부분이 있을 수 있고 이를 찾아서 수정하는 노력이 필요하겠지만, 이는 매일 수백 개의 취약점이 발견되어 보안 담당자들을 압도하는 현재의 상황에 비하면 훨씬 관리 가능한 수준입니다. CISA는 계획을 통해 소프트웨어 및 기타 기술을 만드는 이들이 자사 제품의 보안에 대해 책임을 져야 한다고 분명히 밝히고 있습니다.

"우리 사회는 더 이상 모든 기술 제품이 출시되는 순간부터 취약하고, 보안에 대한 압도적인 부담을 개별 조직과 사용자가 짊어져야 하는 모델을 받아들일 수 없습니다."라고 CISA 전략 계획은 명시합니다. "기술은 시장에 출시되기 전에 악용 가능한 결함을 최소화하도록 설계, 개발 및 테스트되어야 합니다."

이 계획은 향후 이러한 새로운 접근 방식이 단순한 제안을 넘어설 수 있음을 시사하며, CISA가 "조직 리더들의 위험 결정에 영향을 미치기 위해 가용한 모든 수단"을 사용할 것이라고 밝혔습니다. 또한 현재 사이버 사고 보고를 규율하는 2022년 사이버 사고 보고법(CIRCIA)과 같은 법률이 향후 이러한 새로운 규정에 대한 자발적 준수를 의무화하는 모델로 작용할 수 있음을 암시합니다. 어쨌든 오늘날 소프트웨어와 기타 기술을 만드는 대부분의 기업은 이러한 새로운 지침을 따르는 것이 유리할 것입니다.

CISA의 지침은 중요한 기회를 의미합니다

조직들은 더 많은 규제 가능성에 대해 불안해하기보다는, CISA 전략 계획을 활용하여 더 나은 고품질 소프트웨어를 만들기 위한 기회로 삼아야 합니다. 이는 단순한 규정 준수 요구가 아니라, 개발자들이 자신의 기술을 연마하고 더 안전한 디지털 환경에 기여할 수 있는 기회입니다. 궁극적으로 안전한 소프트웨어를 생산하는 것은 소프트웨어를 만드는 기업, 그에 의존하는 사용자, 그리고 해당 소프트웨어나 애플리케이션을 통해 데이터가 접근되거나 저장되는 모든 사람에게 도움이 됩니다. 소프트웨어와 애플리케이션을 구성하는 코드가 프로덕션 환경으로 넘어가기 전에 최대한 안전하게 만들어진다면, 결국 빈손으로 남는 것은 공격자들뿐일 것입니다.

이러한 새로운 방향을 고려할 때, 모든 코드를 작성하거나 소싱하는 조직의 개발자들이 더 안전한 코딩을 구현하고 CISA 계획을 준수하기 위한 노력의 시작점이 되는 것은 당연합니다. 하지만 개발자들은 조직의 나머지 구성원, 특히 경영진의 지원 없이는 이를 혼자 해낼 수 없습니다. 취약점을 이해하고, 안전한 코드를 작성하며, 프로덕션 환경에 도달하기 훨씬 전에 문제를 인식할 수 있는 개발자를 확보하는 것이 조직이 궁극적으로 코드 배포에 대한 책임을 지고, CISA의 표현대로 "적들이 악용하기 전에 취약점을 발견하고 수정하도록 보장"하는 핵심이 될 것입니다.

한 가지 중요한 점은 개발자에게 필요한 교육이 상당히 수준 높다는 것입니다. 일관되게 안전한 코드를 작성하는 능력을 갖추는 것은 어려운 일이며, 형식적인 규정 준수 조치만으로는 이를 달성할 수 없습니다. 개발자들은 새로운 CISA 계획에서 요구하는 보안 수준을 유지하는 데 필요한 기술을 갖추기 위해, 전체 보안 인식 프로그램의 일환으로 실습 위주의 이해하기 쉽고 지속적인 학습 결과를 제공하는 고수준의 애자일 학습 방법이 필요합니다.

이상적으로, CISA 계획에 대비하기 위한 역량 강화는 애자일 개발 원칙과 같이 개발자들이 매일 사용하는 많은 고급 방법과 프로그램을 통합해야 합니다. 예를 들어, 애자일 개발에서는 작업을 관리 가능한 단위로 나누고 스프린트를 지속적인 주기로 쌓아 올립니다. 애자일 관행을 통합한 우수한 교육 프로그램은 개발자들이 CISA 계획을 지원하는 데 필요한 기술을 빠르게 습득하도록 도와, 즉시 혜택을 확인하고 더 안전하게 코딩을 시작할 수 있게 해줍니다.

다행인 점은 대부분의 개발자가 안전한 코딩 관행을 지지하며 조직이 새로운 CISA 지침을 준수하도록 돕기를 열망하고 있다는 것입니다. 전 세계에서 활동 중인 1,200명 이상의 전문 개발자를 대상으로 한 설문조사에서 압도적인 다수가 안전한 코드를 작성하고 조직 내에 더 나은 보안 문화를 정착시키는 개념을 지지한다고 답했습니다.

개발자에게는 정밀한 교육 과정과 적절한 지원이 필요합니다. 조직이 이를 제공한다면 코드의 보안성이 강화될 뿐만 아니라, 새로운 CISA 사이버 보안 전략 계획에서 제시한 지침을 준수하거나 그 이상을 달성하는 데 있어 앞서 나갈 수 있을 것입니다.

이러한 보안 문화의 변화는 쉽지 않겠지만, 사이버 보안의 본질을 바꾸고 우리의 삶을 개선하는 기술이 악의적인 공격자들에게 끊임없이 위협받지 않는 세상을 만들 수 있는 놀라운 기회이기도 합니다. 우리에게는 그들을 막을 힘이 있으며, CISA 계획은 이 놀랍고도 충분히 달성 가능한 목표를 향한 유망한 길을 제시합니다.