개발자 보안 역량 벤치마킹의 이점

사이버 위협이 더욱 만연해지고 정교해짐에 따라, 사이버 보안의 초점은 보안 코드의 중요성으로 옮겨가고 있습니다. 백악관의 국가 사이버 보안 전략과 미국 사이버 보안 및 인프라 보안국(CISA)의 Secure-by-Design 이니셔티브는 물론, 여러 국가의 이니셔티브와 법안들은 보안에 대한 책임을 소프트웨어 생산자에게 명확히 지우고 있습니다. 소프트웨어 개발 수명 주기(SDLC) 초기부터 보안을 확보하는 '시프트 레프트(Shifting left)'—더 정확히는 '스타팅 레프트(Starting left)'—는 이제 선택이 아닌 필수입니다. 이는 조직이 데이터와 시스템을 보호하고 침해 사고 발생 시 규제 관련 문제로부터 벗어나기 위해 반드시 갖춰야 할 요소입니다.

보안 코딩 관행을 보장하는 핵심은 개발자 교육에 있습니다. 소프트웨어 엔지니어들은 일반적으로 사이버 보안 교육을 거의 또는 전혀 받지 못합니다. 특히 오늘날의 가속화된 DevOps 환경에서 그들의 업무는 생성형 AI 모델의 도움을 받아 새로운 애플리케이션, 업그레이드, 서비스를 최대한 빠르게 출시하는 것이었으며, 보안 문제는 SDLC 후반부에 보안 팀이 해결하도록 미뤄두는 것이 관례였습니다. 이는 엄청난 양의 코드가 생성되는 과정에서 발생하는 수많은 결함을 해결하기에는 비효율적인 방식이며, 결과적으로 소프트웨어 취약점이 생태계로 유출되는 원인이 됩니다.

개발자들은 처음부터 보안 코드를 작성하도록 교육받아야 하며, AI가 생성한 코드나 오픈 소스 및 기타 타사 소프트웨어에 포함된 보안 취약점을 식별할 수 있어야 합니다. 많은 개발 팀과 조직에게 이는 아직 개척되지 않은 영역입니다. 조직은 개발자들이 필요한 교육을 제대로 받고 있는지, 그리고 그 교육이 정기적으로 적용되고 있는지 어떻게 확인할 수 있을까요?

개발자 교육을 추진하는 일부 기업들은 개발자가 습득해야 할 기본 기술 수준을 설정하고 명확하게 정의된 벤치마크를 통해 진행 상황을 측정하는 것이 유익하다는 사실을 발견했습니다. 이러한 노력을 돕기 위해 Secure Code Warrior는 개발자의 보안 교육 진행 상황을 정확하게 측정하도록 설계된 벤치마크를 출시했습니다. SCW Trust Score를 통해 조직은 교육이 현업에 얼마나 잘 적용되고 있는지 측정하고, 보안 팀, 개발 팀, 엔지니어링 팀 간의 협업을 활성화할 수 있습니다.

이는 보안 코드 교육이 제대로 정착되고 있음을 증명하는 동시에 개선이 필요한 영역을 식별하는 방법입니다.

보안 설계의 필요성

소프트웨어 생산자들은 SDLC의 시작 단계부터 보안을 도입해야 할 충분한 이유가 있습니다. 애플리케이션과 서비스에 대한 수요 증가와 AI가 개발 프로세스에 가져온 속도는 개발자들에게 유용함이 입증되었지만, 이는 필연적으로 결함이 있는 소프트웨어가 파이프라인으로 배포되는 결과를 초래합니다. 생성되는 코드가 많아질수록 결함도 늘어납니다. 최근 연구에 따르면 거의 4분의 3에 달하는 애플리케이션(생성 방식과 관계없이)이 최소 하나 이상의 보안 결함을 포함하고 있으며, 그중 약 20%는 치명적인 것으로 간주됩니다.

SDLC 후반부에 취약점을 뒤늦게 발견하는 것은 엄청난 시간과 비용을 소모하게 만듭니다. 미국 국립표준기술연구소(NIST)는 테스트 단계에서 결함을 수정하는 것이 SDLC 초기 단계에서 보안을 확보하는 것보다 15배 더 오래 걸리며, 배포/유지보수 단계에서 수정할 경우 30배에서 100배까지 더 오래 걸릴 수 있다는 사실을 확인했습니다.

이 모든 사실은 개발 주기 초기에 보안을 적용하는 것이 위험을 줄이는 가장 효과적인 방법일 뿐만 아니라 가장 비용 효율적인 방법임을 강조합니다. 보안 팀과 별개의 조직으로 기능하는 대신 협력하는 개발자들이 SDLC 초기 단계에 보안을 도입할 수 있는 가장 좋은 위치에 있습니다. 보안 모범 사례를 교육받은 개발자들은 취약점을 줄이는 데 효과적임이 입증되었습니다. 문제는 교육을 받은 개발자가 너무 적다는 것입니다.

벤치마크의 이점

기업을 위한 기본적인 경로는 보안 기술의 기준을 설정하고, 교육을 제공하며, 개발자가 필요한 기술을 습득했음을 조직과 규제 기관 모두에게 검증하는 것입니다. 이는 모든 경제 분야의 많은 조직에게 어려운 과제였지만, 반드시 그래야만 하는 것은 아닙니다.

보안 리더들이 꼽는 과제 중 하나는 전체 기업에 교육 프로그램을 확장하는 것이 어렵다는 점입니다. 그러나 SCW의 연구에 따르면 조직, 특히 대규모 개발자 조직을 보유한 기업들은 보안 설계 접근 방식을 성공적으로 구현할 수 있습니다. 소규모 조직의 결과는 Secure-by-Design 원칙을 적용하는 수준에서 큰 편차를 보이는 경향이 있습니다. 그럼에도 불구하고 이들 역시 Trust Score를 포함한 접근 방식으로부터 혜택을 얻을 수 있으며, 더 빠르게 개선 사항을 확인할 수 있을 것입니다.

Trust Score는 벤치마킹 지표를 사용하여 개별 학습자의 진행 상황을 측정하고, 점수를 집계하여 전체 팀의 성과를 평가하며, 조직의 진행 상황을 업계 벤치마크 및 모범 사례와 비교합니다. 이는 단순히 교육을 추적하는 것을 넘어 개발자들이 새로운 기술을 일상 업무에 얼마나 잘 적용하고 있는지 보여줍니다. 또한 개선이 필요한 영역을 강조하여 조직이 교육 및 역량 강화 프로그램을 최적화할 수 있도록 지원합니다.

CISA의 핵심 인프라 부문 중 데이터가 확보된 분야를 살펴보면, 대부분의 조직이 보안 설계 원칙을 구현하는 수준은 비슷합니다. 금융 서비스, 방위 산업 기반, 의료, IT, 핵심 제조 등 다양한 부문의 Trust Score는 1,000점 만점에 300점대 초반으로 비슷한 범위에 머물러 있습니다. 가장 규제가 심한 산업인 금융 서비스가 훨씬 앞서 있을 것이라는 통념과 달리, 특정 산업이 다른 산업을 압도하지는 못하고 있습니다.

화학, 에너지, 원자력 운영과 같이 Trust Score 순위에 포함되지 않은 핵심 인프라 부문은 일반적으로 자체 소프트웨어를 직접 만들기보다는 다른 부문, 특히 IT 부문에 의존합니다. 그러나 이러한 부문 내에서 안전한 시스템을 유지하는 것의 중요성(원자력 발전소가 침해되는 것을 원하는 사람은 아무도 없습니다)은 그들이 사용하는 소프트웨어를 처음부터 안전하게 보호하는 것이 얼마나 필수적인지를 잘 보여줍니다.

결론

강화된 규제 압박과 사이버 위협 환경의 현실은 데이터, 시스템, 비즈니스 운영 및 평판을 보호하려는 조직에게 Secure-by-Design 접근 방식을 필수적인 것으로 만들었습니다. 소프트웨어 보안을 구축하는 것은 상당 부분 개발자의 손에 달려 있지만, 그들에게는 필요한 교육을 제공하고 그것이 어떻게 적용되는지 보여주는 철저한 역량 강화 및 교육 프로그램 형태의 지원이 필요합니다.

Trust Score와 같은 도구를 기반으로 벤치마크를 포함하는 프로그램은 개발 팀의 핵심적인 진척 상황을 명확하게 보여줍니다. 이는 개발자와 소속 기업 모두가 Secure-by-Design의 새로운 요구 사항을 충족하는 동시에 보안 소프트웨어 개발 역량을 지속적으로 향상시킬 수 있도록 보장하는 필수적인 새로운 접근 방식입니다.

‍