반복 가능한 안전한 코딩 기술로 시프트 레프트(및 규정 준수 달성)를 실현하세요

요즘 거의 모든 개발 팀은 어떤 형태로든 규정 준수 교육을 실시하고 있습니다. 이는 기업이 업계 프레임워크나 정부 규정의 테두리 안에서 운영되도록 보장하기 위한 초기 인증 과정의 일부일 수도 있고, 연례 필수 교육이나 검토의 일부일 수도 있습니다. 조직이 기본적인 규정 준수 요건을 충족하지 못하면 직원이 실질적으로 업무를 수행할 수 없기 때문에 이는 매우 중요한 단계입니다.

규정 준수 규칙에는 이유가 있습니다. 해당 규칙이 적용되는 분야에서 일하는 사람은 누구나 관련 프로세스와 절차, 그리고 적용 가능한 모든 법률에 대해 최소한의 기본적인 이해를 갖추고 있어야 하기 때문입니다.

규정 준수 교육은 중요하지만, 의무적인 최소 요건을 완료한다고 해서 진정한 애플리케이션 보안이 보장되는 것은 아닙니다. 이는 일상적인 워크플로우에 보안 코딩 기술을 통합하려는 개발자에게 특히 해당되는 이야기입니다. 거의 모든 개발자가 어떤 형태로든 규정 준수 교육을 받지만, 설문 조사 결과에 따르면 67%가 자신의 코드에 취약점을 남기는 경우가 많다고 인정했습니다.

이유가 무엇일까요?

Secure Code Warrior는 2021년 12월, Evans Data Corp와 협력하여 2년 연속으로 "2022년 개발자 주도 보안 현황 설문조사(The state of developer-driven security survey, 2022)"를 실시했습니다. 우리는 전 세계 1,200명의 개발자를 대상으로 보안 코딩 관행에 대한 기술, 인식, 행동을 파악하고, 이것이 소프트웨어 개발 수명 주기(SDLC)에 미치는 영향과 관련성을 조사했습니다.

규정 준수 교육이 소프트웨어 보안 향상으로 이어지지 않는 이유는 우리가 오랫동안 논의해 온 문제입니다. 최근의 설문조사는 이 문제를 다시 한번 조명하고 있습니다.

한편으로 개발자들은 애플리케이션과 프로그램을 처음 코딩하는 단계부터 사이버 보안을 포함하여 소프트웨어 개발 과정 전반에 걸쳐 새로운 역할을 수행하라는 요구를 받고 있습니다. 하지만 보안 코드를 작성하거나, 코드에 영향을 줄 수 있는 사이버 보안 문제와 취약점에 대해 모두 배우는 것은 쉬운 일이 아닙니다. 설문 조사에서 개발자의 63%는 보안 코드 작성이 어려운 작업이라고 답했습니다.

보안 코드 작성이 어렵다는 것은 놀라운 일이 아닙니다. 고액 연봉을 받는 사이버 보안 일자리가 채워지지 않는 데에는 이유가 있으며, 최근 집계에 따르면 전 세계적으로 350만 개 이상의 공석이 있습니다. 만약 쉬운 일이었다면 누구나 그 분야로 뛰어들었을 것입니다. 코드 내의 위협에 대응하고 취약점을 제거하는 방법을 배우는 것은 어려우며, 위협 환경은 끊임없이 변화합니다. 정적인 규정 준수 교육이나 일회성 수업으로는 이러한 변화를 따라잡거나 개발자에게 필요한 교육을 제공할 수 없습니다. 규정 준수 항목을 체크하는 데는 도움이 될지 몰라도, 조직에 실질적인 애플리케이션 보안을 보장하거나 개발자가 보안 코드를 작성하고 코드 취약점을 찾아 수정할 수 있는 능력을 길러주지는 못합니다.

규정 준수 교육과 보안 교육은 중요하지만 서로 다릅니다

조직은 규정 준수 교육이 할 수 있는 것과 할 수 없는 것을 깨닫고 인정해야 합니다. 특히 법으로 규정된 경우라면 규정 준수 교육을 포기하지 마십시오. 설문 응답자의 92%가 규정 준수 문제나 보안 프레임워크에 대한 최소한의 교육이 필요하다고 답했으며, 50%는 상당한 수준의 규정 준수 교육이 필요하다고 강조했기 때문에 더욱 그렇습니다(현재의 교육 방식 하에서도 말이죠).

개발자들이 가장 관심을 보인 규정 준수 프레임워크는 산업별 특화 프레임워크였지만, 몇 가지 일반적인 사이버 보안 프레임워크도 목록에 포함되었습니다. 여기에는 CIS 보안 프레임워크, PCI DSS, OWASP Top 10, MISRA C, ISO/IEC, 미국 건강보험 이동성 및 책임법(HIPAA) 등이 포함되었습니다.

따라서 해당 프레임워크에 대한 교육은 진행하되, 규정 준수 항목을 체크하는 것이 지속적인 보안 코드 생성을 위한 기반을 마련하는 것과 같지는 않다는 점을 이해해야 합니다.

대신 규정 준수 교육을 규정 준수 주기 외에도 반복할 수 있는 개발자의 보안 코딩 기술을 확장할 지속적인 기회로 보십시오. 그래야 매일 안전한 소프트웨어를 만들고 출시할 수 있습니다. 우선순위를 규정 준수 달성에서 지속적인 학습을 통해 개발 팀이 안전하게 코딩할 수 있도록 지원하는 것으로 전환하십시오. 개발자 역량 강화에 시간과 자원을 투자하면 연례 규정 준수 연습이나 시험은 직원들이 쉽게 통과할 수 있게 될 것이며, 전반적인 생산성 향상이라는 이점도 얻을 수 있습니다.

개발자 주도 보안으로 어떻게 전환할 수 있을까요?

개발자들은 교육이 가치 있다는 점에는 압도적으로 동의했지만, 지난 몇 년간 받아온 보안 코딩 관련 교육 방식에는 문제를 제기했습니다. 개발자들은 자신의 업무와 관련된 실제 사례를 활용한 실무 중심 교육이 더 강조되기를 원했습니다(30%). 응답자의 26%는 더 많은 상호작용이 중요하다고 보았으며, 특히 연습의 일환으로 보안 코드를 직접 작성해 볼 수 있다면 더욱 좋겠다고 답했습니다.

설문 조사에 참여한 개발자의 23%는 자신이 속한 산업이나 분야에서 발생할 가능성이 가장 높은 특정 취약점에 초점을 맞춘 가이드 교육을 받는 것이 중요하다고 답했으며, 22%는 교육 과정에서 더 많은 실제 취약점 사례를 보고 싶어 했습니다.

단순히 정적이고 상호작용이 없는 교육(일반적인 규정 준수 교육의 형태)을 제공하는 것은 반복 가능한 개발자 보안 기술 측면에서 가치가 거의 없다는 것이 분명합니다. 대신 조직은 개발자가 업무를 수행하면서 보안을 배우는 '적시 교육(just-in-time training)'과 같은 방식에 집중해야 합니다. 단계별 학습 프로그램을 구현하는 것도 고려해 볼 수 있습니다.

단계별 접근 방식을 사용하면 더 큰 주제를 일반적으로 개별적인 학습 경험이나 개념으로 세분화합니다. 개발자가 발전함에 따라 건물이 높아질수록 비계가 설치되는 것처럼, 이미 숙달된 개념 위에 더 고급 개념이 쌓이게 됩니다. 이는 어렵고 끊임없이 진화하는 사이버 보안이라는 주제를 먼저 작고 덜 복잡한 단위로 나눈 다음 그 기반 위에 복잡성을 더해가는 검증된 교육 방법입니다.

개발자 보안 기술 프로그램을 어떻게 접근하든, 규정 준수 연습과는 분리하는 것이 핵심입니다. 규정 준수 교육과 보안 교육은 모두 중요하며, 성공을 위해서는 각각 다른 접근 방식이 필요합니다.

추가 읽기 자료

백서: 소프트웨어 보안 향상을 위한 과제(와 기회).

백서: 소프트웨어 보안을 위한 예방적 개발자 접근 방식.

보고서: 개발자 주도 보안의 현주소.