NIST와 함께하는 도약: 사이버 방어의 미래에 대한 인간 중심의 관점

최근 사이버 보안 행정명령은 보안 업계, 특히 개발자들이 일상 업무에서 보안 코딩 모범 사례를 적용하는 것이 왜 중요한지 설득하려는 이들에게 큰 화두가 되고 있습니다. 연방 정부가 사용하는 소프트웨어를 개발하는 개발자들은 처음으로 검증된 보안 기술을 보유해야 하며, 새롭게 진화된 지침을 준수해야 합니다.

이는 사이버 방어 현상 유지에 있어 긍정적인 변화를 의미하며, 마침내 개발자의 적절한 역량 강화가 논의의 일부가 되었습니다. 이러한 정책은 미국 정부 중심이지만, 개발자부터 소프트웨어 공급망의 보안 분석에 이르기까지 조직이 현재의 보안 표준을 해결하고 업그레이드할 수 있는 전 세계적인 기회를 제공합니다.

NIST는 최근 HIPAA 법률 등의 다음 업데이트를 위한 의견을 수렴했으며, 이는 우리가 가진 전문 지식을 결집하여 더 안전하고 효과적인 인간 중심의 사이버 보안 접근 방식을 알리는 제안서를 제출할 수 있는 놓칠 수 없는 기회였습니다. 이를 통해 조직은 팀의 역량을 활용하여 더 큰 성과를 거둘 수 있을 것입니다.

전문가 중심 조직으로서 우리는 박사 과정생인 Pieter de Cremer와 기술 자문 위원회 소속인 Brian Chess 박사를 포함하여 가장 헌신적이고 뛰어난 사이버 보안 전문가들과 함께 일하는 행운을 누리고 있습니다. 우리 세 사람은 머리를 맞대고 NIST에 공식 제안서를 제출하여, 소프트웨어 개발 단계에서의 개발자 역량 강화와 예방적 보안에 대한 우리의 접근 방식이 향후 사이버 보안 표준에 긍정적인 영향을 미칠 수 있는 방법을 제시했습니다.

개발자를 위해 마련된 안전한 개발 경로

취약점 스캔 도구, 모니터링 및 기타 형태의 보안 자동화는 점점 더 보편화되고 있으며, 새로운 행정명령과 NIST 지침 모두에 포함되어 있습니다. 이는 현대 보안 프로그램의 필수적인 부분이 되었지만, 과거와 현재를 보면 스캔 도구는 소프트웨어의 취약점을 점점 더 효율적으로 찾아내기는 하나, 이것만으로는 취약점을 줄이거나 처음부터 보안을 개선하는 데 아무런 효과가 없다는 점을 알 수 있습니다.

개발자의 워크플로를 방해하고 속도를 늦추는 번거로운 기술 스택은 개발자가 보안을 멀리하고 부정적으로 바라보게 만드는 근본적인 이유 중 하나입니다. 하지만 개발자에게 기술뿐만 아니라 언어, 프레임워크, 프로젝트별 개발 목표에 맞게 맞춤화된 안전한 개발 경로가 제공된다면, 생산성 저하를 최소화하면서 개발 초기부터 보안을 내재화할 수 있으며, 이는 시간이 지남에 따라 일반적인 취약점을 크게 줄이는 이상적인 결과를 가져올 것입니다.

NIST 제안서 전문을 읽으려면 지금 다운로드하세요:

안전한 개발 관행을 위한 인증 프레임워크: (현재) 빠진 고리

현재까지 안전한 코딩 기술과 모범 사례를 검증하는 공식 인증은 없습니다. 이는 오랫동안 업계에서 간과해 온 부분이며, 더 나은 사이버 방어와 안전한 개발의 미래를 위해 필수적이라는 것이 우리의 입장입니다.

We know there are many forms of security training targeting developers, but if the volume of large-scale data breaches, cyberattacks, and poor quality code out there is any indication, it’s not creating security-aware developers, and they are not being equipped with the knowledge to make a dent in a problem that is only getting worse. 

Developer upskilling requires tools and education that is day-job relevant, contextual, bite-sized (yet frequent), and allows them to build upon existing knowledge in the languages and frameworks they actually use. Generic training does not suffice, and this needs to be made abundantly clear in legislation and industry bodies such as NIST. 

The NICE Framework is more than suitable to build out comprehensive certification guidelines that actively use methodologies that work, and are of most interest and relevance to developers, and their work. Aligning with this recognized institutional framework helps to standardize practices that truly make a difference, and provides more concrete pathways for organizations to follow. 

두 번째 NIST 제안서 전문을 읽으려면 지금 다운로드하세요:

사이버 보안에서 사람 요소는 종종 잊혀지곤 합니다. 이제 반복되는 일반적인 취약점과 같은 인간의 문제에 대해 인간적인 해결책을 모색해야 할 때입니다. 수십 년 된 버그로 인해 더 이상 발목을 잡혀서는 안 되며, 현상을 바꾸고 측정 가능하며 긍정적인 영향을 제공하려면 전 세계 정부의 지원이 필요합니다.
‍
개발자 인증을 준비하고 계신가요? 잘 찾아오셨습니다. 지금 바로 저희 학습 플랫폼을 확인해 보세요.