OWASP AppSec Day 2019: 보안 개발자 육성하기

이번 달 초, 아름다운 멜버른에서 열린 OWASP AppSec Day 2019에 참석할 기회가 있었습니다. 개발자 중심의 이러한 행사는 제가 가장 좋아하는 연례 행사 중 하나입니다. 소프트웨어 엔지니어와 전문가들이 업무 현장에서 보안을 실천할 수 있도록 교육하고 역량을 강화하기 위해 끊임없이 노력하는 커뮤니티의 모습을 보며 다시 한번 겸허한 마음을 갖게 됩니다.

게스트 라인업은 매우 훌륭했으며, 신선할 정도로 다양했습니다. 업계에서 오랜 시간을 보낸 저조차도 여전히 영감을 받을 수 있다는 사실이 정말 기분 좋았습니다. Tanya Janca, Toni James 및 Teri Radichel과 같은 연사들이 놀라운 발표를 선보였고, Wireghoul의 Eldar Marcussen이 진행한 즉석 보안 코딩 챌린지는 청중 모두를 시험에 들게 했지만, 참석자들 사이에서 깊이 있는 보안 인식을 확인할 수 있어 매우 뜻깊은 시간이었습니다.

올해 Secure Code Warrior는 이 행사의 플래티넘 스폰서로 참여했습니다. 불과 4년 전, 이제 막 시작한 저희 스타트업에 무료 부스와 홍보를 지원해주었던 OWASP AppSec Day 팀을 떠올리며 미소 지을 수밖에 없었습니다. 우리 회사가 얼마나 성장했는지 실감하며 자부심을 느꼈고, 이렇게 관대하고 훌륭한 사람들이 모인 커뮤니티가 존재한다는 사실에 감사했습니다.

Toni James: 개발자의 관점에서 본 보안

이 세상에서 우리가 더 키워나가야 할 것이 있다면, 그것은 바로 공감입니다. 소프트웨어 전반의 안전을 강화하려면 개발자의 고충을 이해하는 것이 필수적입니다.

저는 Toni의 발표를 매우 인상 깊게 들었으며, 모든 개발자가 즉각적으로 공감했을 것이라 확신합니다. 단순히 "보안 코드를 작성하라"는 말보다 훨씬 더 많은 이야기가 담겨 있습니다. 보안 교육을 제대로 받은 개발자가 취약점과의 싸움에서 가장 큰 힘이 된다고 믿지만, 그들이 매일 겪는 어려움을 고려하는 것 또한 매우 중요합니다.

소프트웨어 개발자의 작업물은 수백만 명의 사용자에게 노출되고, 중요한 인프라를 지원하며, 우리가 당연하게 여기는 서비스의 원동력이 됩니다. 기능 구현, 비즈니스 혁신 실행, 촉박한 마감 기한 준수는 엄청난 압박감을 주며, 그 뒤에는 AppSec 팀이 버티고 서서 그들의 노고를 낱낱이 파헤칩니다. Toni는 이러한 환경에서의 삶이 어떤지, 그리고 모든 측면에서 공감하는 자세가 어떻게 훨씬 더 나은 프로세스와 보안 결과로 이어질 수 있는지에 대해 이야기했습니다. 개발자와 AppSec 팀 사이의 간극을 좁히기 위해 건강한 발걸음을 내딛는 모습을 보게 되어 매우 기쁩니다. 결국 이는 긍정적이고 번창하는 보안 문화를 위한 핵심 요소이며, Toni는 이 과정이 얼마나 성공적으로 작동하는지를 보여주는 대표적인 사례입니다.

Tanya Janca와 Teri Radichel: 보안 슈퍼히어로

경쟁은 아니지만, Tanya Janca와 Teri Radichel의 발표는 제가 가장 좋아하는 세션 중 하나였습니다. DIY 클라우드 보안 평가에 대한 10분간의 튜토리얼만으로도 그들의 방대한 경험과 자격, 전문성을 엿볼 수 있었으며, 지식을 공유하고 개발자 커뮤니티를 지원하려는 그들의 진심 어린 따뜻함도 느낄 수 있었습니다. 그들은 보안 정책 설정 및 최소 권한 조치에 대한 실용적인 조언을 포함하여, Azure 구현의 보안을 보장하기 위한 현실적이고 실행 가능한 방안을 함께 제시했습니다.

구글에서 간단히 검색만 해봐도 개발자를 풀뿌리 수준에서 지원하려는 그들의 헌신을 알 수 있습니다. 그들은 풍부한 무료 리소스, 멘토링 기회, 인터뷰 등을 통해 소프트웨어 보안의 재미있고 매력적인 측면을 알리고 있습니다. 그들은 우리 커뮤니티에 없어서는 안 될 영감을 주는 챔피언입니다. 다음에 참석할 보안 컨퍼런스에서 그들의 세션이 있다면, 놓치지 않는 것이 좋을 것입니다.

큰 무대에 선 고객들

많은 고객이 행사에 참석했을 뿐만 아니라, 직접 무대에 올라 그들의 방대한 보안 지식을 청중과 공유하는 모습을 보니 정말 뿌듯했습니다.

저희는 Telstra의 Andrew Bailey가 진행한 "DevOps에 'Sec' 더하기"라는 중요한 강연을 들을 수 있었습니다. 시니어 소프트웨어 엔지니어로서 쌓아온 풍부한 경험을 바탕으로 현재 애플리케이션 보안과 보안 코딩에 집중하고 있는 그의 관점은 매우 돋보였습니다. 그는 SDLC의 모든 단계에 보안을 주입하는 방법에 대한 엔드투엔드 팁을 제공했습니다(물론, 더 많은 개발자에게 보안 코딩을 교육하는 것부터 시작해야 한다는 점도 포함해서요).

Ken Johnson은 GitHub 보안 팀의 일원이며, 컨퍼런스 마지막에 전문가 패널로 참여한 그를 보게 되어 매우 기뻤습니다. 그는 다른 패널들과 함께 미디어에서 충분히 다루지 않는 주제를 포함하여 청중의 날카로운 질문에 기꺼이 답변해주었습니다. 업계에 대한 여러 통찰력과 더불어, 그는 개발자 번아웃이 심각한 이 시대에 매우 중요한 웰빙과 일과 삶의 균형의 중요성에 대해 패널들이 논의하도록 이끌었습니다.

Julian Berton과 OWASP 멜버른 팀 전체에게 또 한 번의 놀라운 컨퍼런스를 만들어준 것에 대해 깊은 감사를 표합니다. 내년에 (더 많은 스티커와 함께) 다시 만나요.