공개: 사이버 업계는 'Secure by Design'을 어떻게 정의하는가

기업이 'Secure by Design' 원칙을 제품 개발 프로세스에 내재화해야 한다는 점은 이제 분명해졌습니다. 이는 단순한 규정 준수를 넘어 필수적인 비즈니스 요구 사항입니다. 기업은 제품을 시장에 출시하기 전에 악용 가능한 결함을 식별하고 완화해야 합니다. 이러한 가이드라인을 부가적인 요소가 아닌 근본적인 토대로 삼아 제품을 개발하는 조직은 점점 더 치열해지는 시장에서 우위를 점할 수 있습니다.

미국 사이버보안 및 인프라 보안국(CISA)이 Secure by Design 가이드라인을 발표한 지 2년이 지났지만, 실제 현장에서의 구현은 여전히 업계가 해결해야 할 과제로 남아 있습니다. 이 원칙들이 중요하다는 것은 모두 알고 있지만, 이를 어떻게 효과적으로 대규모로 구현할 수 있을까요?

최신 백서에서 당사의 공동 창립자인 피터 단히욱(Pieter Danhieux)과 마티아스 마두(Dr. Matias Madou) 박사는 CISO, 앱 보안(AppSec) 리더 및 보안 전문가를 포함한 20명 이상의 기업 보안 리더들과 함께 'Secure by Design' 운동의 핵심 요소와 그 이면의 현실을 파헤쳤습니다. 보안 팀 전체가 공유하는 목표이지만, 아직 공통된 실행 지침은 없는 실정입니다.

주요 조사 결과를 확인해 보세요:

• 대부분의 보안 실무자와 비즈니스 리더들은 'Secure by Design' 이니셔티브의 취지와 가치에 공감하고 있습니다. 하지만 여전히 해석의 여지가 많고, 이를 구현하기 위한 업계 표준 접근 방식은 부재한 상황입니다.

• 위협 모델링은 단순히 규정 준수 체크리스트를 채우는 작업이 아닙니다. 이는 보안에 정통한 개발자와 앱 보안 담당자가 위험이 공격으로 이어지기 전에 선제적으로 대응할 수 있도록 돕는 핵심적이고 일관된 실천 사항입니다.

• 양날의 검인 AI는 혁신적인 도구인 동시에 공격 표면을 크게 확장하는 강력한 보안 위험 요소이기도 합니다. AI의 폭발적인 성장은 숙련되지 않은 개발자와 자원이 부족한 앱 보안 팀이 대응하기 어려운 급변하는 위험을 초래합니다.

문제는 'Secure by Design' 원칙 적용의 중요성을 이해하지 못하는 것이 아닙니다. 오히려 안전한 소프트웨어에 대한 필요성은 이제 근본적인 요구이자 기본 기대치가 되었습니다. 부족한 것은 소프트웨어 개발 수명 주기 전반에 걸쳐 이러한 원칙을 내재화할 수 있는 체계적이고 확장 가능한 전략입니다.

또한 성공적인 도입을 판단할 명확한 벤치마크나 측정 가능한 성과 지표도 부족해 보입니다. 이로 인해 팀은 자신들의 노력이 실제로 효과가 있는지 확신하지 못한 채 추측에 의존하고 있습니다. 현재 우리는 공동의 전선을 형성하고는 있지만, 공유된 전략은 없는 상태입니다.

Secure by Design은 규제 수준이 높은 분야뿐만 아니라 모든 곳에서 필수적이며 피할 수 없는 흐름입니다. 개발자에게는 부담이 아닌 권한을 부여해야 합니다. 올바른 기술, 도구, 지원을 갖춘 개발자는 단순히 제품을 만드는 사람을 넘어, 보안이 가장 중요한 원천 단계에서부터 보안을 내재화하는 방어자가 될 것입니다.

지금 다운로드하여 귀하의 팀이 강력한 개발자 위험 관리 전략과 정밀한 측정을 활용하여 기업 내에서 성공적이고 통합된 'Secure by Design' 이니셔티브를 추진하는 방법을 알아보세요.