안전한 코딩의 미래에서 인간의 역할은 무엇일까요?

사이버 위협이 계속 증가함에 따라 기업들은 보안, 실용성, 속도 사이에서 매일 타협하며 그 과정에서 위험에 노출되고 있습니다. 보안 코딩에 대한 새로운 접근 방식이 필요해짐에 따라 Secure Code Warrior는 Evans Data Corp.와 협력하여 개발자의 보안 코딩에 대한 태도, 보안 코드 관행 및 보안 운영에 관한 기초 조사를 실시했습니다(백서 다운로드는 여기를 클릭하세요).

이 보고서가 밝힌 바에 따르면, 여전히 '구식'의 사후 대응적 사고가 지배적이지만, 개발자 스스로를 방어의 최전선으로 만드는 보다 선제적인 솔루션의 필요성에 대한 인식이 커지고 있습니다.

보안 코딩 관행의 도입을 탐구하려면 이를 구현하는 사람, 그들의 인식, 그리고 구현 역량에 대한 이해부터 시작해야 합니다. 이것이 퍼즐의 가장 중요한 조각으로 이어집니다. 즉, 개발자가 처음부터 더 안전하게 코딩하고 고품질 코드를 더 빠르게, 자신 있게 배포할 수 있도록 하려면 어떻게 해야 할까요?

보안 코딩 – 현재 우리는 어디에 있으며, 무엇이 바뀌어야 할까요? 인포그래픽 '인적 요소(The Human Element)'를 지금 다운로드하세요.

현재의 관점 – 사후 대응 vs. 선제적 대응

개발자와 개발 관리자에게 보안 코딩과 관련된 활동을 질문했을 때, 상위 3가지 답변은 다음과 같았습니다.

• 배포된 애플리케이션에 스캔 도구 사용하기.
• 취약점을 찾기 위해 수동으로 코드 검토하기.
• 취약점으로부터 보호되는 소프트웨어를 작성하는 능동적이고 지속적인 실천.

보시다시피 상위 3가지 답변 중 2가지는 여전히 사후 대응적 접근 방식에 초점을 맞추고 있습니다. 첫 번째는 도구(스캐너)에 의존하고, 두 번째는 개발자(즉, 사람)가 수동으로 확인하는 방식입니다.

동시에 언급된 3가지 활동 중 2가지는 인적 요소에 의존합니다. 이는 보안을 인적 문제로 인식하는 경향이 커지고 있음을 보여줍니다. 하지만 언급된 모든 활동 중 가장 시사하는 바가 큰 것은 3번으로, 이는 애초에 취약점으로부터 보호되는 소프트웨어를 작성하는 데 있어 인적 요소를 강조합니다. 이는 보안을 SDLC 초기 단계부터 내재화하는 선제적이고 예방적인 접근 방식인 '시프트 레프트(Shift Left)'로의 전환을 의미합니다.

보안은 SDLC의 어디에 위치할까요?

개발자와 개발 관리자에게 보안 코드 관행이 SDLC의 어느 단계에 통합되어야 한다고 생각하는지 물었을 때 의견이 갈렸습니다. 관리자의 55%는 보안 코딩이 전체 개발 프로세스에 통합되어 있다고 믿는 반면, 개발자는 43%만이 그렇게 답했습니다. 이러한 차이는 SDLC 내에서 두 그룹이 맡은 역할의 차이를 반영할 수 있습니다. 관리자는 일반적으로 실제 코딩 작업에는 덜 관여하며 더 높은 수준의 관점을 가지는 경향이 있는 반면, 개발자는 실무적인 세부 사항에 더 집중하기 때문입니다.

하지만 전반적인 보안 및 코드 품질 관점에서 우려되는 점은 개발자의 13%와 관리자의 10%만이 보안 코드 관행이 SDLC의 시작 단계인 설계 단계에 통합되어야 한다고 답했다는 것입니다. 이는 엄청난 미실현 기회입니다. IBM 연구에 따르면, 릴리스 후 코드의 취약점을 수정하는 비용은 초기 단계에서 발견하여 수정하는 것보다 30배 더 많이 듭니다. 이는 개발자가 처음부터 더 안전하게 코딩할 수 있도록 지원하는, 사람 중심의 새로운 선제적 소프트웨어 보안 방어 체계를 구축해야 할 강력한 동기가 됩니다. 소프트웨어 보안은 도구에만 의존해서는 해결할 수 없으며, 반드시 인적 요소를 고려해야 합니다.

인적 요소는 준비되어 있을까요?

설문에 참여한 개발자의 97%는 보안 코딩에 대한 충분한 교육을 받았다고 믿으며, 95%는 보안 코딩 교육이 자신의 경력에 가치가 있었다고 답했습니다. 하지만 이러한 주장을 액면 그대로 받아들이기 전에 우리는 질문해야 합니다. 왜 코드 취약점은 여전히 만연할까요? 개발자들의 보안 코드 전문성에 대한 주장은 단지 인간의 자존심 때문일까요? 증거는 확실히 이 방향을 가리키고 있습니다. 더 솔직한 답변으로, 설문에 참여한 개발자의 88% 이상이 보안 코딩은 배우기 어렵다고 인정했으며, 개발 관리자의 91%는 보안 코딩 관행을 구현하는 것이 어렵다고 인정했습니다. 보안 코드 구현과 관련하여 개인적인 주요 고민을 묻는 질문에 개발자의 28%는 학습 과정이 어렵다고 답했고, 24%는 학습 과정이 지루하다고 답했습니다. 이는 개발자 교육이 개선되어야 함을 시사합니다.

What does the human element need? 

‘어려움’이라는 요소를 극복하기 위해, 가치 있는 보안 교육은 개발자가 단계별로 보안 코딩 기술을 구축할 수 있도록 지원하는 '비계(scaffolding)' 프로세스가 필요합니다. 교육의 관련성과 즉각적인 적용 가능성을 극대화하려면 개발자가 매일 사용하는 특정 언어 및 프레임워크 환경에서 교육이 이루어져야 합니다.

‘지루함’이라는 요소를 극복하기 위해, 보안 코드 교육은 실습 방식으로 제공되어야 합니다. 이는 구식 강의실 교육이나 '동영상 시청' 모델보다 개발자에게 훨씬 더 효과적임이 입증되었습니다. 여기에는 개발자가 안전한 환경에서 때로는 위험할 수 있는 보안 문제를 해결해 볼 수 있는 라이브 시뮬레이션이 포함되어야 합니다. 목표는 개발자가 작업 중에 코드를 찾고 취약점을 수정하는 방법을 배우게 하여 보안 코딩을 일상적인 업무 흐름의 일부로 만드는 것이어야 합니다. 또 다른 핵심 요소는 IDE 내 린팅(linting) 및 코칭으로, 개발자가 코딩하면서 지속적으로 배우고 기술을 향상시켜 취약점을 예방하고 제거할 수 있도록 돕습니다.

개발자 중심의 새로운 도구와 교육을 제공하는 방법을 알고 싶으시다면, 지금 데모를 예약하세요.

또한 백서 '사후 대응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상'을 다운로드하실 수 있습니다.

‍