보안 코딩을 중심으로 한 조직 재정렬: 장애물, 우려 사항 및 실질적인 해결책

초연결 사회인 오늘날, 거의 모든 조직은 공통된 아킬레스건을 가지고 있습니다. 코드에 존재하는 단 하나의 취약점, 즉 악용 가능한 작은 틈만으로도 고객 데이터 유출, 평판 훼손, 막대한 재정적 손실이 발생할 수 있습니다. 보안 코딩을 중심으로 조직을 정렬하는 것이 그 어느 때보다 중요해졌지만, 이를 실현하는 것은 말처럼 쉽지 않습니다. 이에 2020년, Secure Code Warrior는 Evans Data Corp.와 협력하여 개발자와 관리자의 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 태도를 조사하는 기초 연구*를 수행했습니다.

사이버 보안이 무엇보다 중요한 이 환경에서 프로젝트 성공을 위한 전통적인 KPI는 재정의되고 있지만, 그 속도가 충분히 빠르지 않습니다.

소프트웨어 개발 과정에서 가장 중요한 우선순위가 무엇인지 개발자와 관리자에게 물었을 때:

• 76%가 애플리케이션 성능을 꼽았고
• 62%는 기능 및 성능을 선택했으며
• 50%를 조금 넘는 응답자가 보안 코드를 선택했습니다
  

보시다시피 오늘날 보안은 핵심 우선순위가 아닙니다.

하지만 미래를 내다보면 상황은 극적으로 바뀝니다. 프로젝트 성공을 측정하는 데 있어 가장 중요한 미래 우선순위가 무엇인지 묻는 질문에 개발자의 79%가 보안 코딩이 더욱 중요해질 것이라는 데 동의했습니다. 실제로 개발자들은 보안을 향후 중요도가 가장 크게 상승할 KPI로 보고 있습니다.

보안 코딩에 대한 인식은 높아지고 있지만, 도입과 관련해서는 우려가 존재합니다. 개발자와 관리자 모두에게 취약점을 처리하고 코드에 대해 책임을 지는 것은 밤잠을 설치게 할 만큼 큰 부담입니다. 연구* 결과에 따르면 두 그룹 모두 동일한 기본적인 고민을 공유하고 있으며, 이는 보안 코딩 관행에 대한 더 나은 교육이 필요함을 시사합니다.

보안 코딩 관행과 관련된 우려 및 장벽

개발자의 가장 큰 고민은 '이전 취약점을 반복하는 코드를 포함하는 것'입니다. 개발자는 코드 품질로 평가받기 때문에 이는 놀라운 일이 아닙니다. 어떤 개발자도 보안에 취약하거나 재작업이 필요해 팀의 속도를 늦추는 코드의 원인이 되고 싶어 하지 않습니다.

개발자의 두 번째로 큰 고민은 동료가 만든 실수를 처리하는 것입니다. 마감 기한 준수와 코드에 대한 책임 또한 상위권에 올라 있으며, 보안 코드 학습이 어렵다는 점도 주요 고민 중 하나입니다. 이는 현재의 교육 방식에 대한 개발자들의 불만을 반영합니다.

반면 관리자들은 좀 더 거시적인 관점을 취합니다. 그들의 가장 큰 고민은 나쁜 코드나 이전 취약점을 반복하는 코드에 대해 책임을 지는 것입니다. 결국 팀이 형편없는 코드를 생산하면 그 최종 책임은 관리자에게 있기 때문입니다.

학습 과정이 어렵다는 점이 세 번째로 꼽혔는데, 이것이 보안 코딩 관행을 가로막는 유일한 장벽은 아닙니다.

45%는 이해관계자와 경영진 간의 소통 부재를 심각한 장애물로 지목했습니다. 42%는 신입 사원의 보안 코딩 기술 부족을 아쉬워했습니다. 동시에 40%는 교육 시간과 자원이 부족하다고 답했습니다.

현재의 보안 코드 교육 방식은 성과를 내지 못하고 있으며, 관리자들도 새로운 접근 방식이 필요하다는 점을 깨닫고 있습니다.

보안 코드 관행의 책임은 누구에게 있을까요?

보안 코딩 관행은 본질적으로 SDLC(소프트웨어 개발 수명 주기) 초기 단계부터 보안을 고려하는 것을 의미합니다. 이는 나중으로 미루는 대신 소프트웨어를 작성하는 시작 단계부터 보안을 적극적으로 구축하는 것을 뜻합니다. 즉, '시프트 레프트(Shift Left)'를 의미합니다. 이 '시프트 레프트'가 보안 코딩 관행의 핵심입니다. 결국 조직 내 모든 사람이 보안 코드에 대한 책임을 져야 한다는 뜻이지만, 현재 이에 동의하는 개발자는 15%에 불과합니다.

하지만 여전히 대다수의 개발자가 보안을 남의 문제로 여기는 가운데, 보안 코딩을 적극적으로 수용할 뿐만 아니라 조직 내에서 이를 주도하는 작지만 성장하는 집단이 있습니다. 설문에 참여한 개발자의 29%는 직장에 이러한 핵심 인물이 존재한다고 답했습니다. 문제는 이러한 보안 코드 챔피언들이 아직 너무 부족하다는 점입니다.

보안 챔피언 양성하기

개발 관리자들은 새로운 보안 챔피언을 발굴 및 육성하고 개발자 전반의 보안 코딩 역량을 강화해야 할 필요성을 잘 인지하고 있습니다.

또한 많은 관리자가 신규 개발자 채용 시 보안 코딩 기술을 중요하게 평가하며, 기존 팀원들의 보안 코딩 경험 또한 높게 평가합니다.

설문에 참여한 관리자의 83%가 개발자에게 보안 코딩 관행을 학습하거나 도입하도록 요구한다고 답했습니다. 약 4분의 3은 개발자가 보안 코딩 교육에 참여하도록 인센티브를 제공한다고 밝혔습니다. 이러한 인센티브는 공식적인 인정부터 더 많은 책임 부여, 급여 인상까지 다양합니다.

개발 관리자가 조직 차원에서 보안 코딩 관행을 도입하는 데 결정적인 영향력을 행사하며, 보안 챔피언을 발굴하는 데 핵심적인 역할을 한다는 점은 분명합니다.

그렇다면 더 많은 챔피언을 양성하기 위해 개발자가 보안 코딩을 배우도록 동기를 부여하는 요소는 무엇일까요? 조사 결과, 개발자들은 보안 코딩을 생산성과 효율성을 높이는 수단으로 인식하고 있습니다.

그렇다면 왜 개발자들은 보안 코딩 교육을 더 적극적으로 요구하지 않을까요? 조직의 커지는 요구와 개발자 간의 간극을 막는 장애물은 무엇일까요?

조직 정렬을 위한 해결 방안

개발자들은 강의를 듣기만 하는 것을 원치 않습니다. 직접 실습하며 경험해 보기를 원합니다. 현재 교육 프로그램에서 크게 부족한 실무 중심의 교육을 원하고 있습니다. 회사 제공 교육의 개선점을 묻는 질문에 응답자의 30%가 실제 업무 시나리오와 같은 실무 중심의 교육을 원한다고 답했습니다.

기존의 교육 방식으로는 이러한 요구를 충족할 수 없습니다. 새로운 접근 방식이 필요합니다. 변화의 챔피언인 Secure Code Warrior는 인간 중심의 접근 방식을 통해 조직이 보안 코딩을 중심으로 재정렬하도록 돕습니다. 당사의 사이버 보안 교육 과정은 개발자가 실제 현장에서 마주하는 상황을 모방한 실습형 '게임화' 코딩 챌린지를 포함한 가이드 학습 경로를 제공합니다.

이 교육은 언어 및 프레임워크별로 특화되어 있어, 한 귀로 듣고 흘리기 쉬운 일반적인 교육과는 차원이 다릅니다.

조직 문화를 재정렬할 때, 토너먼트를 활용하면 개발자의 보안 기술을 측정하고 향후 기술 개발을 위한 기준점을 마련하며, 팀 내 잠재적인 보안 챔피언을 발굴할 수 있습니다.

관리자, 개발자, 조직의 요구를 조율하여 보안 코딩의 미래를 준비하는 교육에 대해 더 알고 싶으시다면, 지금 데모를 예약하세요.

*반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상. Secure Code Warrior 및 Evans Data Corp. 2020