DevSecOps의 부상과 조직에 있어 '시프트 레프트(shift left)'가 갖는 진정한 의미.

충격적인 통계 하나를 소개해 드립니다. 중소기업의 60%가 성공적인 사이버 공격을 받은 후 6개월 이내에 폐업합니다*. 대기업은 수백만 달러(심지어 수십억 달러!)의 손실을 입고 브랜드 평판은 추락합니다. 조직들이 보안 코딩 관행을 적극적으로 도입함에 따라 '시프트 레프트(Shift Left)' 현상이 일어나고 있습니다. 데브섹옵스(DevSecOps)의 부상과 함께, SDLC 초기 단계부터 보안 코드가 핵심으로 자리 잡고 있습니다. 이러한 추세가 실제 현장에 미치는 영향을 조사하기 위해, Secure Code Warrior는 Evans Data Corp***와 함께 개발자의 보안 코딩에 대한 태도, 보안 코딩 관행 및 보안 운영에 관한 최근 연구를 의뢰했습니다.

시프트 레프트(Shifting Left) – 다각적인 변화

기업들은 사후에 취약점을 수정하는 비용이 30배 더 많이 든다는 사실을 깨닫고, 예방적 조치를 새로운 표준으로 삼고 있습니다*. 하지만 이러한 조치가 효과를 거두려면 모든 구성원이, 특히 개발자가 보안 의식을 갖추어야 합니다.

‍첫 번째 변화 – 이제 누가 책임을 질 것인가?

데브섹옵스(DevSecOps)의 부상과 함께 조직들은 보안 코딩 관행을 도입하고 있습니다. 그 결과, 우리 연구에서 확인된 첫 번째 변화는 코드 보안에 대한 책임이 운영 수준으로 이동하고 있다는 점입니다.

개발자와 개발 관리자에게 "코드 보안에 대한 최종 책임은 누가 져야 하는가?"라고 질문했을 때, 46%가 프로젝트/팀 리더를 꼽았습니다. 이는 애플리케이션 보안 팀이 책임을 유지해야 한다고 답한 비율보다 거의 두 배나 높은 수치입니다.

이는 보안 책임이 기존의 애플리케이션 보안 팀에서 개발 팀 리더로 이동하고 있음을 명확히 보여줍니다.

두 번째 변화 – 관리자 역할의 변화

보안 코드 교육을 시행해야 한다는 압박이 여러 방면에서 관리자들에게 가해지고 있습니다.

41%는 보안 코드 교육에 대한 조직적 요구가 경영진으로부터 나온다고 밝혔습니다. 규제 준수에 대한 요구 증가 또한 하나의 요인입니다.

관리자는 기존 개발 방식에서 데브섹옵스로 전환하는 과정에서 중요한 역할을 하며, 교육 및 도구 구매 결정을 내리는 핵심 의사결정자로 부상하고 있습니다.

‍세 번째 변화 – 개발자의 역할 확대

하지만 변화에 대한 압박은 아래로부터도 올라오고 있습니다. 관리자의 24%는 개발자들의 제안과 권고에 따라 보안 코딩 관행을 도입한다고 밝혔습니다. 이 점은 기업의 보안 프로그램에 기여하는 개발자의 역할이 점점 더 중요해지고 있음을 강조합니다. 예방적 보안 코딩 관행을 강조하는 데브섹옵스로의 전환은 개발자를 '최전방 방어선'의 역할로 이동시킵니다.

네 번째 변화 – 향상된 팀 역학

보안 코드 관행을 도입하는 것은 소프트웨어 품질에 실질적인 영향을 미칠 뿐만 아니라, 팀이 일하는 방식을 긍정적으로 변화시킵니다. 설문에 참여한 개발자의 60%는 보안 코드 관행을 도입함으로써 다른 개발자들과의 소통이 늘었다고 답했으며, 그 이점은 여기서 그치지 않습니다.

Half of all developers and managers surveyed agreed that secure coding practices led to more cooperation between developers and their leaders. 46% claimed more collaboration between developers and stakeholders. At the same time, 41% pointed to more cooperation between leaders and stakeholders.

데브섹옵스는 팀, 리더, 이해관계자를 새로운 방식으로 연결하여 소프트웨어 개발 수명 주기의 다양한 역할과 단계 전반에 걸쳐 협력을 향상시킵니다.

설문조사에 참여한 관리자의 62%는 보안 코딩 관행이 코드 릴리스 속도를 높이는 데 도움이 된다고 답했습니다. 이 사실 하나만으로도 DevOps 방식으로 전환해야 할 명확한 이점이 드러납니다. 하지만 앞서 언급했듯이 이러한 조치가 효과를 거두려면 모든 구성원이 SDLC 전반에서 보안 의식을 갖춰야 합니다. 이는 조직이 개발자를 교육하는 방식에 중요한 시사점을 줍니다. 팀은 최근 확인된 취약점에 대해 배우고, 자신들이 사용하는 언어 및 프레임워크 환경에서 직접 학습해야 합니다. 즉, 매일 작업하는 환경에서 알려진 취약점을 찾고 식별하며 수정하는 방법을 이해해야 합니다. 이러한 교육을 통해 팀은 위험의 첫 번째 노출 지점에서 보안의 최전선으로 거듭날 수 있습니다.

보안 코딩의 변화를 주도하는 Secure Code Warrior는 사람 중심의 접근 방식을 통해 조직이 '시프트 레프트(shift left)'를 실현하고, 전반적인 보안 전략을 사후 대응에서 사전 예방으로 전환하도록 돕습니다.

관리자, 개발자, 조직의 요구 사항을 조율하여 DevSecOps의 미래를 실현하는 실무 중심의 검증된 보안 코딩 교육에 대해 더 알고 싶으시다면, 지금 데모를 예약하세요.

‍

*소기업의 60%는 해킹 후 6개월 이내에 폐업합니다.
‍https://cybersecurityventures.com/60-percent-of-small-companies-close-within-6-months-of-being-hacked/

**IBM Software Group; 소프트웨어 품질 향상 및 개발 비용 절감을 위한 코드 결함 최소화.
‍https://docplayer.net/11413245-Minimizing-code-defects-to-improve-software-quality-and-lower-development-costs.html

***사후 대응에서 예방으로의 전환: 2021년 변화하는 애플리케이션 보안의 양상. Secure Code Warrior 및 Evans Data Corp.
https://scw.buzz/3169uzS