정적 보안 교육 vs. 역동적 보안 교육: 충동적 규정 준수가 가져올 미래의 문제들

"사이버 보안 규정 준수"는 수년간 트렌드였으며, 사이버 범죄라는 거대하고 다각적인 위협에 어떻게 대처하는 것이 최선인지에 대해 수많은 기사와 이니셔티브, 위원회에서 논의해 왔습니다.

문제는 우리가 그만큼 많은 진전을 이루지 못한 것 같다는 점입니다. 전 세계적으로 데이터 유출 사고로 인한 비용은 꾸준히 증가하여 5년 만에 12% 상승했고, 2019년에는 건당 약 392만 달러(USD) 수준에 이르렀습니다. 지난 수십 년간 인터넷 사용이 폭발적으로 증가하면서 많은 기업이 급하게 온라인 환경을 구축하고 사업을 시작하는 과정에서 보안이 취약한 소프트웨어, 제한적인 애플리케이션 보안(AppSec) 자원, 그리고 때로는 고객 신뢰를 저버리는 행위로 인한 피해를 고스란히 떠안아야 했습니다.

오늘날 우리는 확실히 더 성숙해졌습니다. 위협의 범위를 충분히 이해하고 논의하며, 기업들은 사이버 공격이 고객의 정서, 기업 평판, 수익에 미칠 수 있는 영향을 잘 알고 있습니다. 많은 곳에서 규정 준수 교육, 숙련된 인력 채용, 그리고 점차 늘어나는 DevSecOps 이니셔티브를 통해 소프트웨어 보안을 개선하려고 노력하고 있습니다. 이러한 큰 도약에도 불구하고 우리는 싸움에서 이기지 못하고 있으며, 승리와는 거리가 멉니다. 2019년에만 최소 40억 건의 기록이 유출되었습니다.

한 가지 부족한 점은 사이버 보안 표준, 기대치, 유출 사고에 대한 책임과 관련하여 정부 차원의 대응이 다소 더디다는 것입니다. GDPR의 도입으로 유럽에서는 일부 책임자들이 처벌을 받기 시작했지만, 많은 정부 기관은 이제야 뒤늦게 대응하고 있습니다. 갑작스럽게 새로운 규정 준수 이니셔티브를 서둘러 따라야 하는 상황은 향후 원치 않는 부작용을 초래할 수 있습니다.

서두르면 일을 그르칩니다 (잘못된 교육 선택)

NIST와 같은 강력한 가이드라인, 뉴욕주의 새로운 규정, 그리고 영국 사이버 보안 위원회(UK Cyber Security Council)의 설립은 데이터 보호를 위해 애쓰는 이들에게 기념비적인 성과입니다. 이들은 현재 소프트웨어 개발의 문제점을 인정하고, 보안 모범 사례 측면에서 조직이 윤리적이고 규정을 준수하는 것으로 간주되기 위해 충족해야 할 표준을 제시하고 있습니다.

안타깝게도 현 단계에서는 가장 중요한 요소 중 일부가 해석의 여지가 너무 많습니다. 예를 들어, 영국 사이버 보안 위원회 법안의 지침 중 하나는 다음과 같습니다.

"기존의 경력 경로 작업을 바탕으로, 정의된 인증 목록을 만들고 이들이 어떻게 연결되며 어떤 역량을 보장하는지에 대한 이해하기 쉬운 프레임워크를 구축한다."

이들의 이니셔티브는 시간이 지남에 따라 분명 개선되고 확대되겠지만, 조직이 당황하여 서둘러 교육을 도입한다면 미래를 대비하기에는 역부족일 수 있습니다.

조직의 사이버 보안 요구 사항은 빠르게 변화하며, 정적인 교육 솔루션만으로는 필요한 속도로 보안이 취약한 소프트웨어의 흐름을 막기 어렵습니다. 환경은 기존 교육 과정이 업데이트되는 속도보다 더 빠르게 변하며, 이로 인해 일부 조직은 형식적인 규정 준수라는 함정에 빠질 수 있습니다. 개발자, 계약자 및 기타 보안 전문가들이 적절한 교육을 받지 못하면 우리는 다시 무방비 상태가 됩니다.

정적인 교육과 정적인 도구는 같은 문제를 안고 있습니다

정적 분석 도구는 SDLC의 필수적인 부분으로, 대부분의 대규모 조직에서 부족하고 과중한 업무에 시달리는 AppSec 전문가들을 대신해 스캔 작업을 수행하는 든든한 일꾼 역할을 합니다. 이 도구들은 훌륭한 역할을 하지만 한 가지 결함이 있습니다. 어떤 도구도 존재하는 수많은 프로그래밍 프레임워크를 지원하며 모든 취약점을 스캔할 수는 없다는 점입니다. 또한 과정이 느리고, 단 하나의 보안 버그만 빠져나가도 공격자에게 문을 열어주는 꼴이 됩니다.

정적인 교육도 비슷한 문제가 있습니다. 개발자가 보안 교육을 경직된 일회성 과정으로만 받는다면, 그 기간 동안 가장 빈번하게 발생하는 보안 문제를 따라잡기는 매우 어렵습니다. 이는 교육이 작성된 시점의 스냅샷일 뿐이며, 충분히 반복되지도 않고, 학생이 선호하는 언어나 프레임워크로 제공되지도 않으며, 일상 업무에서 직면할 가능성이 높은 취약점과도 동떨어져 있습니다. 마감 기한을 맞추고 코드를 배포하느라 바쁜 와중에 몇 달 전 본 영상에서 관련 정보를 하나 떠올리려 한다고 상상해 보세요. 거의 불가능한 일입니다.

많은 산업 분야에서 전통적인 교육 방식을 재평가하고 있지만, 개발자를 위한 보안 교육의 경우 여전히 발생하는 수많은 데이터 유출 사고(특히 SQL 인젝션처럼 수십 년 전부터 예방 방법을 알고 있었던 취약점으로 인한 사고)를 보면 우리가 다른 방식을 시도해야 함을 깨닫게 됩니다.

우리는 단일하고 선형적인 교육 과정의 한계를 넘어, 끊임없이 변화하는 사이버 보안 모범 사례의 요구에 유연하게 적응할 수 있는 교육이 필요합니다.

동적 교육: 골드 스탠다드

비즈니스 요구 사항, 개인의 기술 수준, 전반적인 업계 동향에 맞춰 빠르게 조정할 수 있는 동적 교육 솔루션을 제공함으로써, 개발자에게 안전한 코딩을 위한 최상의 기반을 마련해주고 보안을 최우선으로 생각하며 보안을 의식하는 마인드셋을 갖추도록 도울 수 있습니다.

모두에게 똑같이 적용되는 일회성 교육은 흥미를 유발하지 못할 뿐만 아니라 시간 낭비에 불과합니다. 안타깝게도 이러한 교육은 규정 준수만을 위해 효과 없는 프로그램을 충동적으로 구매하는 결과를 초래할 수 있습니다. 배포하기도 전에 구식이 되거나, 실무와는 동떨어진 내용일 가능성이 큽니다.

역동적인 교육은 끊임없이 업데이트되고 일상적인 업무 요구 사항과 밀접하게 연결되어 있으며, 사용자의 비판적 사고를 자극하여 실질적으로 기술을 습득하고 문제를 해결할 수 있도록 지원하는 살아있는 도구입니다.

그렇다면 보안 분야에서 역동적인 교육 프로그램은 어떤 모습일까요?

다음과 같은 특징을 갖추어야 합니다.

• 핵심 요약형: 개발자는 장황한 교육 자료나 영상보다 훨씬 기억하기 쉽고 실무에 바로 적용할 수 있는 단위로 기술을 학습할 수 있습니다.
• 실무 중심: 주로 Java로 코딩하는 개발자에게 C# 예시를 사용하는 일반적인 보안 교육이 무슨 소용이 있을까요? 모든 교육은 개발자의 역할에 직접적으로 적용되어야 하며, 코딩 과정에서 무엇을 찾고 수정해야 하는지(나아가 애초에 문제를 방지하는 방법까지) 알 수 있어야 합니다.
• 최신성: 당연해 보이지만 실제로는 그렇지 않은 경우가 많습니다. 사이버 보안 환경은 끊임없이 변화하며, 코드의 양이 늘어날수록 책임도 커집니다. 개발자가 최전선에서 방어 역할을 수행하려면 최신 보안 모범 사례를 반영한 교육이 필수적입니다.
• 참여 유도: 개발자에게 '보안'은 특히 창의적인 작업 흐름을 방해할 때 번거로운 일로 여겨지곤 합니다. 올바른 교육은 개발자가 일상적인 보안 문제를 해결함으로써 큰 위험을 예방할 수 있다는 점을 일깨워주며, 책임감과 보안 의식을 갖춘 문화를 조성합니다.
• 재미: 역동적인 교육은 지루하지 않으며, 설계 단계부터 흥미를 유발하도록 구성됩니다. 개발자가 좋아하는 문제 해결, 동료와의 경쟁, 그리고 보상과 인정이라는 요소를 활용하세요. 그들의 강점을 살려 최고의 성과를 이끌어내야 합니다.

소프트웨어 엔지니어에게 지금은 매우 흥미로운 시대입니다. 이들은 디지털 혁신의 핵심적인 역할을 수행하며 놀라운 기업을 만들고, 자신만의 창작물로 세상을 변화시키고 있습니다. 정부 기관과 대기업이 소프트웨어 보안 표준 수립의 중요성을 인식함에 따라, 이제는 형식적인 절차에 그치는 교육이 아니라 안전한 코딩에 대한 열정을 키워주는 효과적이고 역동적인 교육 솔루션으로 개발자를 지원해야 합니다.