SCW Trust Agent - 개발자 주도 보안 확장을 위한 가시성과 제어

조직은 '설계 단계부터의 보안(Secure by Design)' 원칙이 개발자 주도 보안을 통해서만 성공적으로 구현될 수 있다는 점을 잘 알고 있습니다. 결국 소프트웨어를 설계하고 구축하며 최종적으로 코드를 커밋하는 주체는 개발자이기 때문입니다. 이러한 핵심 인력들이 안전한 코딩 모범 사례를 구현할 수 있는 지식과 기술을 갖추도록 하는 것은 매우 중요합니다. 하지만 이 목표를 달성하는 데 있어 가장 큰 과제는 개발자의 보안 코딩 지식 및 기술을 실제 소프트웨어 개발 시 사용하는 프로그래밍 언어와 일치시키는 것입니다. 이는 성숙도가 높은 조직에게도 결코 쉬운 일이 아닙니다.

이러한 과제는 조직의 코드베이스에서 사용되는 방대한 양과 다양한 프로그래밍 언어로 인해 더욱 복잡해지며, 보안 팀조차 이를 완전히 파악하지 못하는 경우가 많습니다. 그렇다면 CISO, AppSec 및 엔지니어링 리더는 개발자가 커밋하는 코드가 해당 프로그래밍 언어에 대한 개발자의 보안 지식을 바탕으로 작성되었음을 어떻게 보장할 수 있을까요?

SCW Trust Agent 소개

Secure Code Warrior는 이 어려운 질문에 답하기 위해 SCW Trust Agent를 출시했습니다. SCW Trust Agent는 보안 리더에게 개발자 주도 보안을 확장하는 데 필요한 가시성과 제어 기능을 제공하여, 개발자와 팀이 커밋하는 코드의 보안을 유지 및 개선하면서 더 빠르게 코드를 제공할 수 있도록 지원합니다.

SCW Trust Agent의 작동 방식

SCW Trust Agent는 코드 저장소를 검색하고 연결하여 모든 코드 커밋에 포함된 메타데이터를 평가합니다. 커밋을 수행한 개발자, 사용된 언어 또는 프레임워크, 코드가 커밋된 정확한 타임스탬프를 검사합니다. 그런 다음 이 분석 결과를 SCW의 업계 선도적인 학습 플랫폼 데이터 및 인사이트와 결합하여 해당 개발자가 특정 프로그래밍 언어에 대해 충분한 보안 지식을 갖추고 있는지 판단합니다. 이 정보를 바탕으로 조직이 설정한 정책에 따라 해당 커밋의 상태에 대한 등급을 반환합니다. 이러한 정책은 사용자 지정 및 구성이 가능하므로, 팀은 프로젝트나 저장소의 전반적인 민감도에 따라 개발자의 보안 코딩 지식 임계값을 높거나 낮게 설정하는 등 구체적인 가이드라인과 요구 사항을 지정할 수 있습니다.

차세대 거버넌스 및 제어

강력한 가시성을 바탕으로 Trust Agent는 유연한 정책 게이팅 기능을 통해 대규모 통합 거버넌스를 제공합니다. 이 혁신적인 기능을 통해 조직과 팀은 커밋 수준에서 보안 코딩 표준을 선제적으로 적용하고 준수할 수 있습니다. 개발자가 조직의 사전 정의된 요구 사항을 충족하지 못하는 언어나 프레임워크로 코드를 커밋하려고 하면, Trust Agent는 검토를 위해 이벤트를 기록하거나, 직접 경고를 보내거나, 풀 리퀘스트를 완전히 차단하는 등 구성 가능한 작업을 자동으로 실행할 수 있습니다.

이러한 적응형 정책 게이트는 모든 Git 기반 저장소에 적용할 수 있어 중요한 제어 지점을 제공합니다. 특히 비즈니스 핵심 애플리케이션이나 요구 사항 6.2.2에서 언어별 보안 교육을 규정하는 PCI-DSS 4.0과 같은 엄격한 규정 준수 요구 사항이 있는 경우 더욱 필수적입니다. 조직의 위험 감수 성향에 따라 커밋 신뢰 수준을 정밀하게 정의함으로써, Trust Agent는 검증된 보안 코딩 기술을 갖춘 개발자의 코드만 가장 중요한 저장소에 유입되도록 보장하여 보안 태세를 근본적으로 강화합니다.

개발 수명 주기 최적화

SCW Trust Agent가 지원하는 이러한 선제적 접근 방식은 조직의 전반적인 보안 태세를 개선할 뿐만 아니라 개발 수명 주기의 최적화를 촉진합니다. 개발자가 커밋하는 언어에 대한 보안 지식과 기술을 갖추도록 보장함으로써, 추후 식별 및 수정해야 할 취약점의 수를 크게 줄일 수 있습니다. 수정 및 재작업은 개발자의 시간을 크게 낭비하게 하여 워크플로우를 방해하고 속도에 영향을 미칩니다. 선제적 접근 방식을 통해 취약점을 줄이면 이러한 수정 주기가 최소화되어 개발 팀이 고가치 기능 제공에 집중할 수 있습니다.

개발자 주도 보안 확장

SCW Trust Agent는 조직이 개발자 주도 보안 프로그램을 확장하는 데 필요한 도구를 제공합니다. CISO와 AppSec 팀은 적절한 거버넌스를 적용하고, 정책 설계, 적용 및 준수에 대한 상세한 인사이트를 통해 규정 준수 표준을 충족하거나 능가하는 데 필요한 가시성과 제어 기능을 확보합니다. 또한 개발자는 자신이 제공하는 코드에 사용된 언어에 특화된 보안 코딩 교육을 통해 더 빠르게 안전한 코드를 제공할 수 있는 역량을 갖추게 됩니다.

SCW Trust Agent는 모든 Git 기반 소스 코드 관리 도구와 호환되며, 온프레미스, 클라우드 기반, 수동 업로드 등 다양한 연결 옵션을 통해 코드 저장소를 쉽게 연결할 수 있습니다. 자세한 내용은 www.scwtrustagent.com을 방문하거나 당사에 문의해 주십시오. 귀사의 보안 태세를 강화하고 개발자 주도 보안을 확장하는 방법을 기꺼이 논의해 드리겠습니다.

편집자 주: 이 게시물은 원래 Kyle Riordan이 작성하여 2024년 7월 23일에 게시되었습니다. 이후 Secure Code Warrior의 수석 제품 마케팅 매니저인 Andrew Johnson이 새로운 정보와 연구 결과를 바탕으로 업데이트했습니다.