모든 개발자가 잠재적 고용주에게 반드시 물어봐야 할 핵심 질문

신입 개발자든 베테랑 개발자든 모든 개발자가 반드시 던져야 할 질문이 있습니다. 그리고 그 질문에 대한 답은 매우 중요합니다. 애자일 환경에서는 이 질문이 더욱 중요해졌습니다. 여러분이 소프트웨어 엔지니어로서 얼마나 성공할 수 있을지, 그리고 다음 직장에서 얼마나 가치 있는 인재가 될지를 직접적으로 결정하기 때문입니다.

이는 수백만 달러짜리 질문입니다. 아니, 수천만 달러 이상의 가치가 있는 질문이죠!

보안 코딩을 할 수 있도록 저를 지원해 주실 의향이 있으신가요?

데이터 유출 사고의 평균 피해액은 현재 360만 달러에 달합니다. 올해 여러분의 회사가 해킹당할 확률은 4분의 1이나 됩니다. 이러한 사실을 고려할 때, 대학에서 보안 코딩 역량과 보안 의식을 갖추지 못한 채 졸업하는 개발자들에 대해 많은 이들이 느끼는 좌절감에 깊이 공감합니다.

왜 이런 일이 벌어질까요? 소프트웨어 엔지니어링은 아직 비교적 젊은 직업군입니다. 지금까지는 코드를 얼마나 빠르고 우아하며 기능적으로 잘 짜느냐에만 집중해 왔고, 코드를 안전하게 만드는 데에는 관심이 매우 부족했습니다. 방법론, 기술, 언어, 기회가 빠르게 변화하는 환경은 이러한 핵심 역량의 격차를 더욱 벌리고 있습니다.

학계 시스템을 단기간에 바꾸기는 어렵습니다. 따라서 개발자와 기업 모두 개발자가 실무를 통해 보안 코딩 기술을 익혀야 한다는 점을 인지해야 합니다. 어떤 직업은 실수를 통해 배울 수 있지만, 그렇지 않은 분야도 있습니다. 사이버 보안이 바로 그렇습니다.

현실을 보면 실무에서의 개발자 보안 교육 또한 제대로 이루어지지 않고 있습니다. 전 세계 주요 보안 사고의 대부분은 해커가 컴퓨터 네트워크의 권한을 탈취하여 귀중한 데이터를 훔칠 수 있게 만드는 코딩 오류 때문입니다.2017년 버라이즌 데이터 유출 조사 보고서(DBIR)에 따르면, 전체 유출 사고의 30%가 웹 애플리케이션 보안 취약점으로 인해 발생하며, 이러한 결론은 2013년부터 DBIR 보고서에서 일관되게 나타나고 있습니다.

2017년 8월에 발표된 2017 글로벌 DevSecOps 기술 설문조사는 우리가 이미 알고 있던 사실을 재확인시켜 주었습니다. DevOps 전문가의 65%가 IT 분야 진출 시 DevSecOps 지식을 갖추는 것이 매우 중요하다고 생각하지만, 70%는 오늘날의 DevSecOps 환경에서 성공하는 데 필요한 교육을 정규 교육 과정을 통해 받지 못하고 있다고 느낍니다.

설문에 참여한 채용 담당자의 거의 40%가 보안 테스트에 대한 충분한 지식을 갖춘 다재다능한 고급 개발자를 찾기가 가장 어렵다고 답했습니다. 응답자의 70%는 자신이 받은 보안 교육이 현재 직무를 수행하기에 부족하다고 답했습니다. 실제로 교육 기회조차 제대로 제공받지 못한다고 답한 비율은 4% 미만이었습니다.

저는 10년 가까이 화이트 해커 팀들과 함께 일하며 이를 직접 목격했습니다. 대기업, 스타트업, 정부 기관을 가리지 않고 침투 테스트를 수행할 때마다 매번 똑같은 취약점이 발견되는 것을 보며 안타까움을 금할 수 없었습니다.

이것이 바로 개발자들이 채용 과정에서 당당하게 요구해야 하는 이유입니다. 만약 잠재적 고용주가 개발자 보안 교육을 진지하게 고려하지 않는다면, 여러분이 입사하려는 회사가 어떤 곳인지 다시 한번 생각해 보아야 합니다.

두 번째로 물어봐야 할 질문은 교육을 어떻게 진행할 것인가입니다. 실습 위주의 대화형 교육인가요? 슬라이드, 영상, 클릭형 애니메이션 또는 추상적인 이론 위주의 보안 교육은 실제 코딩에 직접적인 도움이 되지 않습니다. 최신 취약점에 대해 지속적으로 업데이트를 제공하나요? 보안 길드나 학습할 수 있는 커뮤니티가 있나요? 도움이 필요할 때 조언을 구할 수 있는 보안 전문가가 있나요?

보안 코딩 역량을 키우려면 특정 코딩 프레임워크를 활용한 실습 과제와 다양한 시나리오 속의 취약점을 마주하는 지속적인 학습이 필요합니다. SQL 인젝션은 단 하나의 예시만으로는 배울 수 없습니다. 위험한 코딩 패턴을 인식할 수 있도록 다양한 유형의 사례를 충분히 접해야 합니다.

저희 고객 중 한 곳은 개발자들이 두 달 동안 매일 5분씩 하나의 실습 과제를 수행하도록 했습니다. 교육 전후로 역량을 테스트한 결과, 수백 명의 개발자 그룹에서 보안 코딩 능력이 60% 향상되었습니다. 이는 개발 생명 주기 후반에 보안 버그를 찾고 수정하는 데 드는 리소스를 줄여 장기적으로 큰 비용 절감 효과를 가져옵니다. 또한 해커가 여러분의 코드를 악용하여 회사의 데이터를 탈취하는 일을 막을 수 있습니다.

IDC 조사에 따르면 2014년 전 세계 전문 개발자 수는 1,100만 명이었습니다. 2015년 버닝 글래스(Burning Glass)의 조사에 따르면 코딩 기술을 요구하는 직무는 700만 개에 달하며, 프로그래밍 관련 일자리는 시장 평균보다 12% 더 빠르게 증가하고 있습니다.

소프트웨어 관련 일자리는 많습니다. 그러니 당당하게 요구하고, 보안과 여러분의 안전, 그리고 고객의 보안을 진지하게 생각하는 회사를 선택하세요. 더 나아가, 여러분에게 투자하는 회사를 선택하십시오.

신입 개발자든 베테랑 개발자든 모든 개발자가 반드시 던져야 할 질문이 있습니다. 그리고 그 질문에 대한 답은 매우 중요합니다. 애자일 환경에서는 이 질문이 더욱 중요해졌습니다. 여러분이 소프트웨어 엔지니어로서 얼마나 성공할 수 있을지, 그리고 다음 직장에서 얼마나 가치 있는 인재가 될지를 직접적으로 결정하기 때문입니다.

그것은 백만 달러짜리 질문입니다. 사실, 수천만 달러짜리 질문이죠!

보안 코딩을 할 수 있도록 저를 지원해 주실 의향이 있으신가요?