Secure Code Warrior의 CEO이자 공동 창립자인 피터 단히욱(Pieter Danhieux)은 "모든 사람은 사이버 보안에서 자신이 맡은 역할을 이해하고 실천해야 한다"고 강조합니다.

이 인터뷰는 CyberNews에 처음 게재되었습니다.

‍

수많은 보안 도구와 서비스가 존재함에도 불구하고, 기업들은 끊임없이 진화하는 위협 환경에 대응하는 데 여전히 어려움을 겪고 있습니다.

이는 개발자들의 보안 인식 및 교육 부족 때문일 수 있으며, 이로 인해 위험한 코드가 배포되어 악의적인 공격자들에게 악용될 수 있습니다. 백신 소프트웨어나 강력한 취약점 스캔 솔루션과 같은 보안 조치가 보안 계층을 더해줄 수는 있지만, 오늘 저희가 모신 게스트는 모든 것이 보안 중심적인 개발 팀에서 시작된다고 설명합니다.

개발자들이 보안 위협을 식별하고 완화하도록 교육하는 방법을 논의하기 위해 CyberNews 팀은 Secure Code Warrior의 CEO이자 공동 창립자인 Pieter Danhieux를 만났습니다. 이 회사는 개발 팀이 보안 취약점을 해결할 수 있도록 돕는 학습 플랫폼과 개발자 중심 도구 제품군을 제공합니다.

지금까지의 여정은 어떠셨나요? Secure Code Warrior에 대한 아이디어는 어떻게 시작되었나요?

어린 시절 저는 기술을 분해하여 내부 구조와 작동 원리를 파악하는 데 매료된 '너드'였습니다. 다행히 가족들과 가전제품들은 무사했지만, 저는 점차 하드웨어와 소프트웨어를 같은 방식으로 접근하며 침투하고 파괴할 방법을 찾기 시작했습니다. 보안에 대한 평생의 열정이 그렇게 시작되었죠. 수년간 저는 학생, 동료, 보안 커뮤니티와 함께 소프트웨어의 오류를 찾고, 활용하고, 악용하는 방법을 공유하는 데 집중했습니다. 이후에는 방어자들의 역량을 강화하는 쪽으로 방향을 틀어, 교실 환경에서 개발자들에게 안전하고 올바른 코딩 패턴을 가르치고 일반적인 취약점을 이해하여 이를 방지하도록 도왔습니다. 또한 컨설팅 분야에서 대기업들이 보안 프로그램을 개선할 수 있도록 조언했는데, 특히 개발자의 참여가 중요했습니다. 그 과정에서 지금의 Secure Code Warrior 공동 창립 팀을 만났습니다. 우리는 코드 수준의 취약점과 관련하여 보안 팀과 개발 팀이 겪는 고충, 그리고 개발자의 보안 역량 향상을 목표로 하는 기존 교육 솔루션들의 문제점에 공감했습니다. 우리는 기업 수준에서 확장 가능하면서도 개발자들이 재미있게 참여할 수 있는 학습 플랫폼을 만들겠다는 비전을 세웠습니다. 궁극적으로는 개발자의 작업 환경에 최적화되어 방해 요소는 줄이고, 보안 우선 마인드셋을 구축하도록 돕는 도구 제품군을 만들고자 했습니다. 또한 가능한 한 다양한 언어를 지원하고 풍부한 콘텐츠를 담아내고자 노력했습니다.

하시는 일에 대해 소개해주시겠어요? 어떤 주요 문제들을 해결하고 계신가요?

궁극적으로 저희는 잘못된 보안 패턴 사용으로 인해 발생하는 보안 마찰과 지연을 제거하여 기업의 소프트웨어 개발 속도를 높이도록 지원합니다. 저희는 개발 팀이 수십 년간 존재해 왔으며 오늘날에도 기업을 사이버 위험에 노출시키는 일반적인 보안 취약점을 해결할 수 있도록 돕는 학습 플랫폼과 개발자 중심 도구 제품군을 만들었습니다. 이러한 취약점이 지속되는 이유는 개발자들이 이러한 코드 수준의 문제를 해결할 교육과 기술이 부족하고, 잘못된 코딩 패턴과 기법을 계속 사용함으로써 문제를 처음부터 유발하기 때문입니다. 대학 과정에서 보안 코딩을 배우지 못하는 경우가 많고, 대부분의 직장 내 교육 프로그램은 일상 업무와 관련성이 떨어지며 너무 드물게 진행되어 코드 품질과 보안에 실질적인 영향을 미치기 어렵습니다. 저희 솔루션은 코딩 행동을 변화시키고 실제 환경에서 보안을 최우선으로 생각하도록 돕는 흥미롭고 관련성 높은 기술 개발을 제공합니다. 개발자들에게 가장 익숙한 환경과의 통합을 늘려가고 있으며, 맥락 중심의 학습에 집중함으로써 사용자가 핵심 교육 성과를 가장 잘 유지할 수 있도록 합니다. 또한 개발자들이 보안을 성공을 보상하고 커뮤니티를 구축하는 긍정적이고 재미있는 것으로 인식하도록 노력하고 있습니다.

보안 코딩 학습은 지루하게 느껴질 수 있는데, 어떻게 교육을 효과적이면서도 재미있게 유지하시나요?

저희의 주력 학습 플랫폼은 개발자의 참여를 최우선으로 설계되었습니다. 가장 인기 있는 기능 중 하나는 '토너먼트 모드'로, 참가자들이 교육을 통해 습득한 지식을 동료들과 겨뤄볼 수 있습니다. 정답을 맞힐 때마다 점수가 부여되며, 토너먼트 세션 동안 실시간 리더보드가 업데이트됩니다. 커뮤니티 행사나 컨퍼런스에서 이 모드를 운영하기도 하는데, 일부 고객사는 모두가 코스튬을 입고 참여하는 매우 정교한 테마를 기획하기도 했습니다. 이는 훌륭한 팀 빌딩 경험이자 피자, 상품과 함께 일상에서 벗어나 역량 강화에 대한 의지를 다지는 완벽한 시간이 됩니다. 또한 저희 콘텐츠는 60개 이상의 프로그래밍 프레임워크에서 제공되며, 개발자들이 일상 업무에서 실제로 접하는 실제 코드 스니펫을 사용합니다. 단순히 영상을 보거나 연례 규정 준수 시험을 치르는 것보다, 콘텐츠가 업무와 밀접하게 연관되어 실제 문제를 해결하는 데 도움을 줄 때 훨씬 더 쉽게 몰입할 수 있습니다.

요즘 개발자들이 겪는 주요 어려움은 무엇이라고 생각하시나요?

개발자들은 잘하고 싶어 하지만, 교육이나 경력 과정에서 보안을 위한 적절한 지원을 받지 못했다는 점을 먼저 짚고 넘어가야 합니다. 이것이 보안 관점에서 그들이 직면한 많은 문제의 핵심입니다. 또한 개발자들은 보안을 자신의 책임 범위 밖의 일로 여기는 경향이 있으며, 대다수 조직에서 그들의 KPI에는 보안 코딩 성과와 관련된 항목이 포함되어 있지 않습니다. 코드 수준의 취약점 수를 줄이려면 이러한 현 상태를 깨야 합니다. 하지만 개발자들이 변화를 이끌어내려면 올바른 지원과 도구가 필요하며, 핵심은 효과적인 역량 강화, 교육 시간 보장, 그리고 미래의 빠른 보안 구현을 위해 지금 역량 강화에 투자하는 것입니다.

최근의 세계적인 사건들이 귀하의 업무 분야에 어떤 영향을 미쳤나요?

모든 기업이 현재의 글로벌 상황으로 인해 목표, 전망, 예산 측면에서 영향을 받았겠지만, 저희는 다행히 지금까지 잘 버텨왔습니다. 사이버 보안은 대부분의 기업에서 타협할 수 없는 요소이며, 저희는 고객 및 잠재 고객들과 그 대화를 지속하기 위해 노력하고 있습니다.

소프트웨어나 애플리케이션을 개발할 때 조직이 따라야 할 모범 사례는 무엇인가요?

조직마다 고유한 특성이 있겠지만, 일반적으로 최고의 보안 관행을 실천하는 기업들은 틀에서 벗어나 다양한 접근 방식을 시도하려는 의지가 있습니다. 그들은 보안 성과를 긍정적으로 변화시키는 사람의 힘을 잊지 않습니다. 대부분의 경우 개발자는 보안 프로그램에서 크게 고려되지 않습니다. 하지만 조만간 해결되기 어려운 전 세계적인 보안 기술 격차를 고려할 때, 보안 역량을 갖춘 개발자들은 소프트웨어 제작 관점에서 위험을 줄이고 규정 준수를 달성하는 데 도움을 줄 수 있습니다. 그들은 프로세스의 가장 초기이자 비용이 가장 적게 드는 단계에서 영향력을 발휘할 수 있습니다.

보안 코딩 도구 외에도 비즈니스 운영을 강화하고 안전하게 보호할 수 있는 다른 조치나 관행에는 무엇이 있을까요?

모든 기업은 역할 기반의 보안 교육을 갖춰야 합니다. 코드 수준의 취약점 외에도 공격자가 노리는 위협은 매우 다양하므로, 조직의 모든 구성원은 자신의 업무와 관련된 보안 원칙을 정기적으로 숙지해야 합니다. 즉, 사무 관리자부터 회계팀에 이르기까지 모든 직원이 사이버 보안 활동과 인식 제고에 있어 자신이 맡은 역할을 이해하고 실천해야 합니다.

현재의 경제 상황에서 CISO는 최소한의 비용으로 비즈니스 보안을 유지해야 한다는 큰 압박을 받고 있습니다. 이들에게 어떤 조언을 해주시겠습니까?

특히 사이버 보안 관련 법규가 강화되고 일부 경우 CISO가 침해 사고 발생 시 개인적인 책임을 지게 되는 상황에서, CISO는 창의적인 접근이 필요합니다. 여기에 인력 감축까지 더해지면 더 적은 엔지니어가 더 많은 책임을 지면서 동일한 양의 소프트웨어를 개발해야 하는 상황이 발생합니다. CISO는 보안이라는 주요 장애물을 해결함으로써 비즈니스의 성공을 지원할 수 있습니다.

코드 수준의 보안 취약점과 설정 오류를 해결하는 가장 저렴한 단계는 소프트웨어 출시 전이며, 따라서 개발자가 위험을 줄이는 데 핵심적인 역할을 합니다. 하지만 이를 위해서는 맞춤형 지원이 필요합니다. 개발자의 워크플로우와 기술 스택을 고려한 '개발자 우선' 도구를 제공하면 빠른 속도로 보안을 유지할 수 있습니다. 개발자가 높은 속도로 정확한 보안을 구현하도록 지원하려면 안전한 코딩 패턴을 익히고 문제를 더 빠르게 해결하는 방법을 알려주는 것이 가장 좋습니다.

포괄적인 개발자 교육에 투자하면 근본적으로 취약점을 제거하여 소프트웨어 개발 수명 주기(SDLC) 후반의 시간과 비용을 절약할 수 있습니다. 대규모 공격이 빈번하고 CISO의 책임이 그 어느 때보다 막중해진 지금, 사이버 보안 인력 부족을 탓하며 뒤처지는 상황을 멈춰야 합니다. 방어적 보안 관행을 우선시하고 현재 조직 내에 있는 인재들의 역량을 강화하십시오.

Secure Code Warrior의 미래는 어떤 모습인가요?

우리는 개발자를 최우선으로 생각하며 시장에 혁신적인 솔루션을 계속 제공하고자 합니다. 개발자가 여러 우선순위를 처리하면서도 기능 제공 속도를 늦추거나 업무 부담을 느끼지 않고 보안을 구현할 수 있도록 돕는 데 집중하고 있습니다.

우리는 기업이 방어적 보안 프로그램을 혁신하도록 돕고, 보안 역량을 갖춘 개발자가 그 이야기의 주인공이 되기를 바랍니다. 앞으로의 행보를 지켜봐 주십시오.