사람 중심의 보안 코딩을 통해 사후 대응에서 선제적 대응으로 전환하기

동일한 10가지 소프트웨어 취약점이 지난 20년 넘게 그 어떤 것보다 더 많은 보안 침해 사고를 일으켰습니다. 그럼에도 불구하고 많은 기업은 여전히 침해 사고가 발생한 후에야 사후 대응에 나서며, 그로 인한 인적, 사업적 피해를 수습하는 데 급급합니다. 하지만 이제 새로운 연구 결과가 사람 중심의 새로운 방향을 제시하고 있습니다.

‍다음 내용은 Secure Code Warrior와 Evans Data Corp가 공동 진행한 연구 보고서 '반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상'(2021)에서 도출된 통찰을 다룹니다. 이 보고서는 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 개발자의 태도를 탐구합니다. 백서는 여기에서 다운로드할 수 있습니다.

‍‍곧 발표될 이 연구에서 개발자와 개발 관리자들에게 보안 코딩과 관련된 활동에 대해 질문했습니다. 상위 3가지 응답은 다음과 같습니다.

• 배포된 애플리케이션에 스캔 도구 사용하기.
• 취약점을 찾기 위해 수동으로 코드 검토하기.
• 취약점으로부터 보호되는 소프트웨어를 작성하는 능동적이고 지속적인 실천.
  ‍

이 결과는 무엇을 의미할까요? 상위 3가지 응답 중 2가지가 여전히 사후 대응적 접근 방식에 머물러 있습니다. 첫 번째는 도구(스캐너)에 의존하고, 두 번째는 개발자(즉, 사람)가 수동으로 검사하는 방식인데, 두 경우 모두 코드가 작성된 후에 이루어집니다. 이러한 방식으로 발견된 취약점은 개발 팀으로 다시 넘겨져 수정 작업을 거쳐야 하며, 이는 프로젝트 일정과 비용에 연쇄적인 영향을 미칩니다.

동시에, 선정된 3가지 활동 중 2가지가 사람의 요소에 의존한다는 점은 보안을 인적 문제로 보는 인식이 커지고 있음을 시사합니다. 하지만 선정된 모든 활동 중 가장 의미 있는 것은 3번으로, 이는 애초에 취약점으로부터 보호되는 소프트웨어를 작성하는 데 있어 사람의 역할을 강조합니다. 이는 '시프트 레프트'로의 전환, 즉 소프트웨어 개발 수명 주기 초기부터 보안을 내재화하는 예방적이고 선제적인 접근 방식을 보여줍니다.

사후 대응은 곧 비용 증가를 의미합니다

IBM 연구*에 따르면, 릴리스 후 코드의 취약점을 수정하는 비용은 개발 초기 단계에서 발견하여 수정하는 것보다 30배 더 많이 듭니다. 이는 개발자가 처음부터 더 안전하게 코딩할 수 있도록 지원하는, 사람 중심의 선제적 보안 방어 체계로 전환해야 할 강력한 동기가 됩니다.

이것이 바로 사람 중심의 방어라고 할 수 있습니다. 하지만 개발자가 보안에 관심을 갖게 하려면, 보안이 그들의 일상적인 사고와 코딩 방식의 일부가 되어야 합니다. 이는 개발자의 일상 업무와 밀접하게 연관되어 학습 의욕을 고취하는 새로운 교육 방식이 필요하다는 뜻이며, 현재의 교육 모델로는 이를 충족하기 어렵습니다.

선제적인 보안 문화를 조성하려면 다음과 같은 새로운 교육이 필요합니다.

• 개발자가 소프트웨어 보안 기술을 향상하면서 보안 코딩을 긍정적이고 흥미로운 경험으로 느끼게 함
• 개발자가 일상적인 코딩 작업을 보안 관점에서 바라보도록 장려함
• 보안 코딩을 일상적인 워크플로의 본질적인 부분으로 만듦
  

이러한 요소들이 결합하면 애초에 취약점 발생을 예방할 수 있으며, 팀은 고품질 코드를 더 빠르고 자신 있게 배포할 수 있습니다. 다행히도 소프트웨어 개발 과정에서 '시프트 레프트'를 실현하는 학습 플랫폼이 이미 존재합니다. 이 플랫폼은 개발자가 처음부터 고품질 코드를 작성할 수 있는 기술과 도구를 제공하고 있습니다.
‍‍

‍

‍

‍

*IBM Software Group; 소프트웨어 품질 향상 및 개발 비용 절감을 위한 코드 결함 최소화
https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html