업무 흐름을 방해하지 마세요! 적절한 시기에 올바른 보안 교육을 받는 방법

업무 중에 겪었던 일을 떠올려 보세요. 아마도 불가능한 마감 기한을 맞추기 위해 소프트웨어 프로젝트 팀에서 일하고 있었을 겁니다. 그때 관리자가 다가와 필수 보안 교육을 받아야 한다고, 그것도 다른 모든 업무와 병행해서 오늘 중으로 끝내야 한다고 말합니다.

관리자도 알고, 여러분도 압니다. 정말 성가신 일이죠. 하지만 규정 준수를 위해 코딩을 하면서 배경음악처럼 지루한 교육 영상을 틀어놓고, 두 가지 작업 사이를 오가며 어느 것 하나에도 집중하지 못하게 됩니다. 이는 흔한 시나리오입니다. 매우 방해가 되고 모두의 시간을 낭비하게 만들죠. 대부분의 보안 교육은 너무 일반적이라, 실질적인 가치 없이 업무 흐름을 끊어놓는 교육은 무시하기 쉽습니다.

우리 회사의 목표는 더 나은, 더 효과적인 유형의 보안 교육을 제공하는 것입니다. 이는 AppSec 팀이 중요하다고 말하는 내용이 정작 여러분의 우선순위와 맞지 않을 때 느끼는 괴리감을 누구보다 잘 알기 때문에 시작되었습니다. 흥미로운 점은, 필요할 때 교육을 받는 장벽을 어떻게 낮출 수 있을지 고민했다는 것입니다. 우리 플랫폼을 완전히 활용하더라도 업무에서 잠시 벗어나야 하는 단계가 있고, 도움이 필요하지만 교육 세션에 온전히 집중할 시간을 낼 수 없는 순간들이 있기 때문입니다.

우리는 마이크로 러닝을 IDE나 이슈 트래커와 같은 워크플로우에 어떻게 더 자연스럽게 구현할 수 있을지 고민했고, 그 결과는 다음과 같습니다.

이는 적시(Just-in-Time, JiT) 원칙에 기반을 두고 있습니다. 즉, 즉각적으로 효과적이고 유용한 지식을 필요한 순간에 바로 제공하는 것입니다. 이는 만약을 대비한 학습 방식과는 정반대이며, 만약을 대비한 학습은 종종 정보 과부하를 일으켜 기능을 개발하는 데 필요한 소중한 시간과 집중력을 앗아갑니다.

품질 좋은 코드는 곧 안전한 코드입니다. 가끔 협업할 수 있는 비침해적인 보안 파트너가 필요하다면, 직접 경험해 보시는 것도 좋을 것입니다.

장벽을 없애고, 교육을 여러분의 업무 현장으로 가져오세요.

사이버 보안은 누군가에게는 관심사일 수 있지만, 모두에게 그런 것은 아닙니다. 개발자가 보안 전문가가 되어야 한다고 기대해서는 안 됩니다. 그 역할은 여전히 전문 AppSec 팀의 몫입니다. 하지만 보안을 의식하는 개발자는 그들의 기술과 코드 작성 단계부터 조직을 보호할 수 있는 능력으로 존경받습니다. 이는 수요가 매우 높은 직무이며, 맥락 중심의 마이크로 러닝을 통해 시간이 지남에 따라 그 기반을 다질 수 있습니다.

혹시 통합 교육을 보고 클리피(고인의 명복을 빕니다)를 떠올리셨나요? 그렇다면 Secure Code Warrior의 통합 기능은 개발자가 개발자를 위해 만들었기 때문에, 성가신 요소는 이미 고려되어 완전히 제거되었다는 점을 말씀드리고 싶습니다.

실제로 어떻게 작동하는지 확인해 보시죠.

GitHub용 Secure Code Warrior는 이슈의 라벨, 제목, 본문에서 CWE(Common Weakness Enumeration) 또는 OWASP 참조를 검사하여 맥락에 맞는 적시 교육을 제공합니다. 취약점 참조가 발견되면 이슈에 댓글이 달려 신속한 해결과 취약점 재발 방지를 돕습니다. 이 기능은 업무 흐름을 방해하거나 복잡한 절차를 거치지 않고도 이슈와 자연스럽게 통합됩니다.

Jira를 사용하신다면 과정은 비슷합니다.

이미 보안을 잘 알고 계신 슈퍼스타분들께, 마법 같은 결과를 만드는 것이 오직 여러분의 몫만은 아니라는 점을 기억해 주세요. 여러분에게도 지원과 교육, 그리고 보안을 진지하게 받아들이고 워크플로우에 녹여낼 이유가 필요합니다. 다행히 이 모든 것은 기능적인 DevSecOps 프로세스의 일부이며, 많은 조직이 이미 주목하고 있습니다. 한발 앞서 시작해 보는 건 어떨까요?

지금 다운로드하여 의견을 들려주세요.