일부 CISO들은 보안 인력 부족 문제를 오히려 기회로 바꾸고 있습니다.

이번 주 RSA 참석을 위해 샌프란시스코로 향하며 많은 CISO와 나눌 논의를 준비하고 있습니다. 놀라실 수도 있겠지만, 요즘 많은 CISO와의 대화 분위기는 그리 밝지 않습니다.

그들은 보안 위협이 증가하고 있다는 사실을 알고 있지만, 많은 이들이 보안 개선의 기회를 찾지 못한 채 오히려 조직이 데이터 유출이나 사이버 공격의 피해자가 될 가능성이 그 어느 때보다 높다고 생각하고 있습니다.

제가 CISO들과 정기적으로 나누는 대화에서 가장 흔히 등장하는 주제 중 하나는 사이버 보안 인력 부족에 대한 우려입니다.

"우리 보안 팀은 엔지니어링 팀이나 회사 규모에 비해 너무 작습니다."

"우리 보안 팀원들은 파격적인 연봉과 해외 근무 기회를 제시하는 외국 기업들에 계속해서 스카우트되고 있습니다."

"우리 보안 전문가들은 당장 눈앞의 문제를 해결하느라 바빠서 역량 개발을 할 여유가 없습니다."

이러한 현상은 여러 연구 보고서에서도 뒷받침되는데, 2017년 포네몬 연구소(Ponemon Institute) 설문조사에 따르면 '유능한 내부 인력 부족'이 2018년 CISO들의 사이버 보안 관련 고민 중 1위를 차지했습니다.

이러한 심각한 보안 인력 부족 현상은 쉽게 해결되지 않을 것으로 보입니다. 특히 호주와 같은 시장에서는 뛰어난 인재들이 해외로 유출되는 경우가 많고, 이민법으로 인해 외국 보안 전문가를 영입하기도 점점 어려워지고 있습니다.

호주의 인력 부족 현상과 관련해 흥미로운 점은, 숙련된 전문가 채용이 어려워지면서 국가 차원의 보안 역량 강화에 긍정적인 관심이 쏠리고 있다는 것입니다. 벤자민 프랭클린의 말처럼 "역경은 기회를 만든다"는 말처럼, 호주 정부와 교육 기관, 기업 및 스타트업들은 현지에서 다양한 보안 기술을 육성하기 위한 프로그램을 마련하고 있습니다.

보안 인력 부족이라는 역경이 확실한 기회로 이어진 분야 중 하나는 내부 및 외주 개발 팀의 안전한 코딩 기술 개발입니다. 전 세계 주요 보안 사고의 대부분이 코딩 오류에서 비롯되며 평균 피해액이 360만 달러에 달한다는 점을 고려할 때, 소프트웨어 보안은 보안 과제의 핵심적인 부분입니다. 애플리케이션 보안 예산에서 가장 큰 비중을 차지하는(그리고 계속 증가하는) 항목은 사후 대응적인 애플리케이션 보안 식별 및 수정이며, 매년 똑같은 버그가 반복되는 경우가 많습니다.

개발자가 처음부터 안전한 코드를 작성할 수 있도록 역량을 강화하는 것은 CISO가 보안 문제에 대해 주도권을 확보할 수 있는 기회이며, 보안 팀과 개발 팀 모두에게 빠르고 쉽고 측정 가능한 개선을 가져다줄 수 있는 계기입니다.  

이는 보안 전문가를 개발자로 대체하라는 의미가 아니라, 개발자가 보안 문제에 관심을 갖게 하고 보안을 일상적인 사고방식의 일부로 만들며, 재미있고 효과적이며 효율적인 방식으로 안전하게 코딩하는 법을 가르치라는 의미입니다. 그 결과, 귀중한 보안 전문 인력은 반복되는 취약점을 처리하는 대신 정말 어렵고 복잡한 버그를 찾아 해결하는 데 집중할 수 있게 될 것입니다.

일부 CISO에게는 이 모든 것이 너무 이상적이거나 구현하기 어렵게 들릴지 모르지만, 사실은 그렇지 않습니다. Secure Code Warrior에서는 점점 더 많은 CISO가 이러한 기회를 포착하여 보안 팀과 개발 팀 모두의 업무 환경을 변화시키고 있습니다.

소프트웨어 개발자들 사이에 강력한 보안 마인드와 기술을 배양하는 데 앞장서 온 CISO 그룹 중 하나는 호주의 은행들입니다. 호주 은행들은 2016년과 2017년부터 이 접근 방식을 선제적으로 도입했습니다. 현재 호주 6대 은행은 온라인 기반의 자기 주도형 게임화 학습 환경을 통해 개발 팀이 안전한 코딩 기술을 쌓도록 적극적으로 장려하고 참여를 유도하고 있습니다. 또한 은행들은 실시간 지표와 보고서를 정기적으로 검토하여 개발자와 팀의 강점과 약점을 확인하고 있습니다.

이러한 접근 방식은 일반적인 취약점 발생 감소, 개발자의 보안 인식 제고, 보안 팀과 개발 팀 간의 관계 개선 등 실질적이고 긍정적인 성과로 이어지고 있습니다. 개발자에게 안전한 코딩 교육을 투자하는 기업은 기존 보안 인력의 부담을 줄이고 소프트웨어 보안 취약점으로 인한 위험 노출을 감소시킬 수 있습니다.

조직 내 보안 상황으로 인해 고민 중인 CISO라면(혹은 그런 분을 알고 계신다면), 긍정적이고 실질적인 보안 개선을 이룰 수 있는 간단한 방법을 고려해 보시기 바랍니다. 개발자들이 관련성 있고 긍정적이며 재미있는 방식으로 안전하게 코딩하는 법을 배우도록 지원하십시오. 보안 팀과 개발 팀 모두가 감사해할 것이며, 제품 혁신과 개발 과정에서 발생하는 비용과 지연 문제도 해결할 수 있을 것입니다. 이는 분명 더 많은 긍정적인 보안 논의를 이끌어내는 발판이 될 것입니다.

개발자가 처음부터 안전한 코드를 작성할 수 있도록 역량을 강화하는 것은 CISO가 보안 문제에 대해 주도권을 확보할 수 있는 기회이며, 보안 팀과 개발 팀 모두에게 빠르고 쉽고 측정 가능한 개선을 가져다줄 수 있는 계기입니다.