함께 만드는 보안: 커뮤니티 정신이 더 안전한 개발자를 키우는 방법

"한 아이를 키우려면 온 마을이 필요하다"는 말은 아프리카의 오래된 속담으로, 아프리카의 다양한 문화와 방언, 지역을 아우르는 지혜가 담겨 있습니다. 이 지혜를 표현하는 언어는 다를지라도 그 의미는 한결같습니다. 미래 세대를 올바른 성인으로 키워내기 위해 안전하고 긍정적이며 계몽적인 환경을 조성하려면 공동체 전체의 노력이 필요하다는 것입니다.

다소 거창하게 들릴지 모르지만, 사실 개발자 커뮤니티는 수십 년 동안 바로 이 원칙을 바탕으로 성장해 왔습니다. 컴퓨터 뒤에 숨은 사회성 없는 '외로운 늑대' 같은 괴짜라는 이미지는 대부분의 고정관념이 그렇듯 과장된 것이며, 우리가 어떻게 일하는지를 제대로 보여주지 못합니다. 개발자는 각계각층의 다양한 배경을 가진 사람들로 구성되어 있으며, 우리가 하는 모든 일에는 항상 공동체 의식이 깃들어 있습니다.

인터넷이 보편화되기 훨씬 전부터 우리는 게시판에서 팁을 공유하고, 서로의 문제를 해결하며, 모범 사례를 두고 논쟁을 벌였습니다(물론 제 경우에는 무언가를 고장 내기 위해 열심히 노력하기도 했습니다). 이러한 정서는 지금도 변함이 없습니다. 인터넷은 이제 더 많은 트롤과 소음이 존재하는 복잡한 공간이 되었지만, Reddit이나 Stack Overflow 같은 곳에 들어가 보면 여전히 서로 돕고자 하는 의지와 동료애, 그리고 방대한 정보를 즉시 느낄 수 있습니다.

하지만 우리 모두가 더 힘을 보탤 수 있는 부분은 같은 고민을 하는 사람들과의 현실적인 연결입니다. 현실 세계에서 직접 교류할 때 새로운 차원의 의미가 생겨나며, '오프라인(IRL)' 커뮤니티를 활성화하면 지식 공유와 명확한 소통을 촉진하고 시야를 놀라운 방식으로 넓힐 수 있습니다.

개발자 커뮤니티는 보안을 어떻게 지원할까요?

OWASP와 같은 조직은 보안 커뮤니티에서 놀라운 활동을 펼치고 있으며, 취약점, 뉴스, 중요 알림에 관한 풍부한 무료 리소스를 제공합니다. 오프라인에서는 전 세계 도시마다 OWASP 지부가 있어 사람들이 모여 보안에 대해 이야기하고 소프트웨어를 더 안전하게 만드는 팁을 공유하는 정기 행사를 개최합니다. 이는 정말 멋진 일이며, 제가 생각하는 개발자 커뮤니티의 본질이기도 합니다.

온라인이든 오프라인이든 이러한 커뮤니티가 해결을 돕는 한 가지는 개발자 간의 기술 및 지식 격차입니다. 많은 숙련된 개발자들은 기꺼이 정보를 전달하고, 누군가의 시작을 돕거나 올바른 방향을 제시해 줍니다(제다이라면 누구나 파다완을 도와야 한다는 것을 알고 있는 것과 같습니다).

그래서 그들과 협력하여 보안 코딩 토너먼트와 같은 행사를 주최할 때면 항상 큰 보람을 느낍니다. 지금까지 우리는 호주, 영국, 인도, 미국에서 밋업을 지원해 왔으며, 앞으로 더 많은 기회가 있기를 바랍니다.

OWASP 토너먼트 밋업은 어떤 모습일까요? 런던의 상징적인 BBC 스튜디오에서 열린 OWASP 토너먼트 영상을 확인해 보세요:

이러한 행사는 확실히 인식을 높이는 데 도움이 되며, 조직이 이러한 풀뿌리 이니셔티브를 지원하고, 본격적인 보안 코딩 교육을 도입하며, 긍정적인 보안 문화를 조성하기 위해 노력할 때 그 추진력을 조직 내에서 활용할 수 있습니다.

게이미피케이션과 토너먼트는 어떻게 더 안전한 개발자를 만드는 데 도움이 될까요?

OWASP 밋업은 보안을 중시하는 다양한 사람들과 교류하고 지식을 공유하며 아이디어를 논의하는 장입니다. 하지만 보안을 처음 접하거나 아직 관심이 없는 사람들에게는 이러한 행사가 눈에 띄지 않을 수도 있습니다.

조직이 보안 인식을 높이고 개발자들 사이에서 실질적인 관심을 불러일으키는 데 적극적인 역할을 하면, 보안 지식에 대한 평생의 탐구심을 심어주는 긍정적인 파급 효과를 얻을 수 있습니다. 이는 모두가 보안 코딩을 더 진지하게 받아들이게 하는 데 필요한 것입니다.

일반적인 교육 방식은 동기 부여가 잘 되지 않는 경우가 많습니다(업무가 쌓여 있는 상황에서 교실에 앉아 있거나, 끝없는 영상을 보며 졸음을 참는 것을 생각해 보세요). 하지만 경쟁과 재미를 더하고 학습 과정을 게임화하면 학습을 훨씬 덜 지루하게 만들 수 있습니다. 게임화된 학습 방식은 기술적이고 때로는 딱딱한 지식을 훨씬 이해하기 쉽게 만들며, 맥락이 있고 기억에 남으며 반복 학습을 장려하는 작은 단위로 나누어 줍니다. Secure Code Warrior는 접근성을 기반으로 구축되어 개발자가 창의성과 문제 해결 본능을 발휘하여 이전 학습 내용을 단계별로 계속 쌓아갈 수 있도록 합니다.

평가는 모두가 올바른 방향으로 나아가고 개선할 영역을 파악하는 데 도움이 되지만, 보안 코딩 토너먼트는 조직의 보안 인식과 긍정적인 변화를 위한 촉매제 역할을 할 수 있으며 참가자들이 자신의 탄탄한 실력을 뽐낼 기회가 되기도 합니다. 결국 실시간으로 업데이트되는 토너먼트 순위표를 보면 더 많은 점수를 얻고 자신의 보안 실력을 증명하고 싶은 동기가 생기기 마련입니다.

성공적인 토너먼트는 어떤 모습일까요?

OWASP와 함께하는 밋업의 목적은 항상 보안 커뮤니티의 지속적인 건강을 위해 투자하고, 보안 학습이 실제로 재미있을 수 있다는 개념을 알리는 데 있습니다.

보안 코딩 토너먼트는 개발자의 참여를 유도하고, 같은 관심사를 가진 사람들과 어울리며 자신의 실력을 갈고닦을 수 있는 최적의 방법입니다. 또한 업무나 교육 과정에서 겪은 부정적인 경험으로 인해 '보안'이라는 주제에 대해 가졌던 막연한 거부감을 허무는 데도 큰 도움이 됩니다.

성공적인 토너먼트를 구성하는 핵심 요소는 다음과 같습니다.

• 조직 차원의 적극적인 홍보: 개발팀 외부에도 행사 내용과 취지를 알리세요.
• 비판 없는 환경 조성: 모든 수준의 개발자를 포용하고 지원하는 분위기를 만드세요.
• 특별한 혜택 제공: 음식과 음료를 준비하고, 테마를 정해 개발자들이 개성을 표현할 수 있도록 독려하세요.
• 보상과 인정: 개발자들은 굿즈를 좋아합니다. 우승자에게 멋진 상품을 제공하세요. 이 과정에서 미래의 보안 챔피언이 탄생할지도 모릅니다.
• 공동체 의식과 유대감 형성.

이제는 DevSecOps의 시대입니다. 소프트웨어 개발 초기 단계부터 보안이 중요해진 만큼, 개발자들에게 효과적인 교육을 조기에 제공하는 것이 필수적입니다. 개발자는 코드를 작성하는 순간부터 조직을 취약점으로부터 보호하는 핵심적인 역할을 수행하며, 탄탄한 보안 문화가 정착되면 모두가 안심하고 업무에 집중할 수 있습니다.