보안을 고려하는 개발자 여러분: AppSec이 여러분을 필요로 합니다!

소프트웨어 개발 분야 밖의 사람들에게는 직관적이지 않게 보일 수 있지만, 수년간 애플리케이션 보안 분야에서 일해 온 많은 전문가들은 프로그래밍 경험이 거의 없거나 전혀 없는 상태로 이러한 중요한 역할을 수행해 왔습니다. 이들 AppSec 전문가들은 많은 산업과 조직의 생명줄이 된 애플리케이션에 취약점이 스며들지 않도록 책임지는 팀의 일원이지만, 정작 코드 자체를 직접 평가하거나 수정할 수 있는 사람은 거의 없습니다.

많은 보안 전문가들은 코딩 배경을 갖추기보다는 공격 벡터, 위협, 익스플로잇, 비즈니스 리스크에 대한 핵심 지식을 바탕으로 자신의 역할에 접근하며, 코드에 대해서는 제한적인 시각을 가지고 있습니다. 모든 AppSec 전문가가 동일한 기술을 가진 것은 아니지만, 많은 이들의 일상은 코드 리뷰어 및 스캔 도구와 협력하여 조직의 표준이나 관련 산업 및 정부 프레임워크에 따라 프로그램과 시스템이 안전하게 유지되도록 하는 것입니다. 그 후 발견된 내용을 보고서로 작성하고, 코드를 손상시킬 수 있는 공격 벡터에 대한 정보를 전달합니다. 그러면 현재 업무에 얼마나 지장을 주든 상관없이 필요한 수정 작업을 수행하는 것은 개발자의 몫이 됩니다.

이러한 상황이 발생한 이유는 네트워크와 애플리케이션을 보호하는 업무가 워낙 방대하여 사이버 보안 분야에서 일하는 모든 사람이 모든 역할을 수행하기를 기대하는 것은 무리라는 논리가 수년간 지배적이었기 때문입니다. 심도 있는 코딩 기술은 개발자의 영역으로 남겨두었고, 개발 파이프라인 하단에서 코드를 작성하거나 수정하는 능력은 크게 평가받지 못했습니다.

그러한 사고방식은 빠르게 변화하고 있으며, 이는 개발자들이 AppSec 분야로 성공적인 이직과 경력 전환을 할 수 있는 특별한 기회를 제공합니다. 모든 개발자가 소위 '어두운 면'을 받아들이고 싶어 하지는 않을 것이며, 많은 개발자가 AppSec 팀에 대해 긍정적인 의견을 가지고 있지는 않습니다. 하지만 이를 원하는 사람들에게는 지금이 그 어느 때보다 매력적인 기회를 잡을 최적의 시기입니다.

거의 모든 산업을 주도하는 DevSecOps

조직 내에서 보안을 고려하는 프로그래머와 개발자의 가치를 높이는 가장 큰 요인 중 하나는 DevSecOps와 같은 보다 민첩한 개발 방식을 도입하려는 보편적인 움직임입니다. 개발, 보안, 운영이 결합되면 사이버 보안은 새로운 소프트웨어 개발의 시작부터 끝까지 통합된 공동의 책임이 됩니다. 이러한 환경에서는 코딩 능력이 전반적으로 가치 있는 자산으로 간주되며, 이는 보안을 본질적으로 이해하는 엔지니어에게 특히 더 그렇습니다.

사이버 보안을 높은 수준에서 이해할 뿐만 아니라 모든 것을 작동하게 만드는 코드까지 이해하는 AppSec 전문가는 이론에만 치중한 사람보다 조직에 훨씬 더 가치 있는 인재입니다. 코드 내의 취약점을 신속하게 발견 및 평가하고 문제를 완화할 수 있는 능력은 DevSecOps가 큰 인기를 얻고 있는 핵심 이유입니다.

AppSec에서 일하는 개발자들은 자신을 고용하는 조직에 또 다른 큰 이점을 제공합니다. 개발 측면에서 일해본 경험 덕분에 보안과 취약점에 대해 다른 개발자들과 쉽게 소통할 수 있습니다. 또한 개발 팀의 코칭 역할을 맡아 그들이 더 나은 코더가 되도록 돕는 것도 훨씬 수월합니다. 시간이 지나면 AppSec에 대한 '어두운 면'이라는 낙인을 제거하고 조직 내 소프트웨어 개발 팀들을 통합하는 데 기여할 수도 있을 것입니다.

심화되는 사이버 보안 인력 부족

셰익스피어는 '누구에게도 이롭지 않은 바람은 없다'고 했습니다. 이는 가장 어두운 상황이라도 누군가에게는 혜택이 될 수 있다는 의미입니다. 사이버 보안 인력 부족 현상이 바로 좋은 예입니다.

인력 부족은 거의 모든 곳에서 절실히 느껴지고 있습니다. 전략국제문제연구소(CSIS)가 실시한 최근 설문조사에 따르면, IT 의사결정권자의 82%가 조직 내 사이버 보안 기술 부족을 겪고 있다고 답했으며, 71%는 이러한 부족 현상이 조직에 직접적이고 측정 가능한 피해를 주었다고 답했습니다. 이 위기를 더 잘 이해하기 위해 보고서는 2020년 미국에서만 약 94만 명이 종사하는 분야에 52만 개 이상의 사이버 보안 일자리가 채워지지 않았다고 지적했습니다.

사이버 보안 인력 부족은 점점 더 위험해지는 위협 환경으로부터 인프라, 비즈니스, 데이터를 보호하려는 조직에게는 나쁜 소식입니다. 하지만 AppSec 및 보안 분야로 진출하려는 개발자에게는 좋은 기회입니다. 사이버 보안 및 AppSec 직무는 거의 모든 곳에서 채용 중일 가능성이 높습니다. 또한 사이버 보안 직무를 채우는 데 걸리는 시간이 평균 21% 더 길어짐에 따라 전반적으로 급여가 상승하고 있습니다.

AppSec으로의 이직

개발자들이 보안이라는 밝은 미래로 성공적인 이직을 하기에 지금보다 더 좋은 시기는 없을 것입니다. 보안을 고려하는 개발자들은 더 이상 임시방편적인 보안 수단의 일부로 여겨지지 않으며, 사이버 보안 방어자로서 완전하고 존중받는 역할을 수행하고 있습니다. 이는 DevSecOps 및 기타 민첩한 개발 방법론을 도입한 조직에서 특히 그렇습니다. 또한 사이버 보안 인재 부족으로 인해 거의 모든 기업, 정부 기관, 조직에서 채용이 이루어지고 있습니다. 적절한 기술을 갖춘 사람들은 원하는 곳을 선택하여 일할 수 있습니다.

AppSec으로의 전환이 모두에게 맞는 것은 아니며, 대부분의 개발자는 여전히 멋진 기능을 구축하는 데 집중할 것입니다. 하지만 이직을 고려하는 사람들에게는 기존 코딩 기술을 보완하기 위해 보안 교육에 투자하는 것이 많은 문을 열어줄 수 있습니다. 최고의 AppSec 인재는 엔지니어링 출신입니다. 기술을 깊이 이해하고 동료 개발자들의 고충에 공감하기 때문입니다. 어차피 DevSecOps는 모두가 보안에 책임이 있다는 의미이니, 현재의 심각한 인력 부족을 활용하여 애플리케이션 보안 분야로 경력을 발전시켜 보는 것은 어떨까요? 자신과 가족, 그리고 커리어를 위해 긍정적인 변화를 만들기에 지금이 최고의 시기입니다.