'보안'은 금기어가 아닙니다: 긍정적인 접근 방식이 보안 프로그램을 변화시키는 방법

원문 출처: DevSecCon 블로그.

개발팀과 보안 전문가 양쪽 모두를 경험해 본 입장에서, 보안 모범 사례를 준수하는 과정에서 두 팀 사이에 발생할 수 있는 긴장감을 누구보다 잘 알고 있습니다.

현실은 녹록지 않습니다. 결국 개발자의 최우선 과제는 소프트웨어 기능을 구현하는 것이기 때문입니다. 기능은 아름답고 기능적이어야 하며, 애플리케이션의 강력함을 보여줄 수 있어야 합니다. 요즘처럼 애자일 개발 방식이 주를 이루는 환경에서는 엄격한 마감 기한 내에 기능을 완성해야 하기에, 다른 중요한 업무들에 밀려 보안은 우선순위에서 뒤처지기 일쑤입니다.

보안은 흔히 AppSec 팀의 영역으로 간주됩니다. 이들은 코드를 스캔하거나(더 나쁘게는 한 줄씩 수동으로 검토하며) 개발팀에 코드가 안전하지 않거나 아예 사용할 수 없다고 보고해야 하는 고충을 겪습니다. 개발자들에게 보안 팀은 그들의 노력을 깎아내리고 혁신을 가로막으며 골칫거리를 만드는 존재로 비춰지곤 합니다. 사실 많은 보안 문제는 단 한 줄의 코드 수정만으로도 취약한 백도어를 몇 분 만에 보완할 수 있을 만큼 간단한 경우가 많습니다.

하지만 문제는 '보안'이 부정적인 경험과 동의어처럼 여겨진다는 점입니다. 개발자들은 보안에 충분히 관심을 기울이지 않게 됩니다. 결국 간단한 수정조차 이루어지지 않고, 보안 팀은 계속해서 같은 문제와 마주하게 됩니다. SQL 인젝션 취약점이 처음 발견된 지 20년이 넘었음에도 여전히 이를 지적해야 하는 상황은 보안 전문가들에게도 매우 답답한 일일 것입니다.

지금까지 우리가 해온 방식은 기대만큼 효과적이지 않았습니다. 이제는 개발자와 보안 전문가 사이의 가교를 복구하는 데 집중해야 합니다. 개발자들이 보안 분야에서 실질적인 변화를 만들어낼 수 있도록 도구와 교육을 제공하는 긍정적인 보안 문화를 조성해야 합니다.

누가 알겠습니까? 저처럼 보안의 매력에 푹 빠지게 될지도 모를 일입니다!

긍정적인 보안은 애플리케이션 보안을 개선하는 가장 빠르고 쉬운 방법입니다

이는 단순히 추상적인 결과에 대한 이야기가 아닙니다. 성공적인 보안 코딩을 위한 필수적인 요소입니다.

개발자는 처음부터 안전한 코드를 작성함으로써 생산 초기 단계부터 보안을 강화할 수 있는 핵심적인 역할을 합니다. 긍정적인 보안 문화를 조성하고 개발자들이 애플리케이션 보안에 흥미를 느끼게 하면, 스캔이나 수동 코드 검토 단계에 이르기 전에 일반적인 취약점들을 미리 제거할 수 있습니다.

이미 커밋된 코드의 취약점을 수정하는 것은 30배 더 많은 비용이 듭니다. 따라서 개발자의 강점을 살리고 흥미를 유발하며 실질적인 효과가 있는 교육을 찾는 것은 반복되는 취약점을 식별하고 수정하는 데 드는 미래 비용을 절감하는 큰 걸음이 될 것입니다.

개발자 중심의 긍정적인 이니셔티브는 올바른 보안 문화를 조성합니다.

모두가 보안 모범 사례에 대해 같은 인식을 공유할 때, 긍정적인 보안 문화는 자연스럽게 따라오는 행복하고 필수적인 결과물입니다.

개발자 중심의 긍정적이고 확장 가능한 이니셔티브는 올바른 보안 문화를 조성합니다. 문제 해결을 즐기는 개발자들의 창의적인 사고를 자극하는 것은 그들의 참여를 이끌어내고, 신규 입사자가 팀의 보안 기대치에 빠르게 적응하도록 돕는 데 필수적입니다. 문의하기를 통해 개발자와 보안 관계가 어떻게 진화했는지 확인하고, 조직 내 성공적인 보안 인식 프로그램을 도입하기 위한 아이디어를 얻어보세요.