개발자 주도 보안의 투자 수익률(ROI)

나쁜 코드의 비용

기술의 비약적인 발전으로 개발자들은 그 어느 때보다 빠르게 코드를 배포할 수 있게 되었습니다. 이는 혁신 측면에서는 고무적이지만, 소프트웨어의 품질과 보안을 확장하는 데 있어서는 부담스러운 일이기도 합니다. 코드 배포 속도가 유지되는 상황에서 추가 도구, 교육 프로그램, 개발자 역량 강화에 대한 투자는 필수적인 비즈니스 기능이라기보다 '있으면 좋은 것' 정도로 치부되기 쉽습니다.

코드를 더 빨리 배포하는 것은 쉬워졌을지 몰라도, 안타깝게도 안전한 코드를 배포하는 것은 그렇지 못하며, 이로 인해 조직은 그 어느 때보다 많은 위협에 노출되어 있습니다. 전 세계적으로 사이버 범죄 비용은 엄청나며 빠르게 증가하고 있습니다. 실제로 2020년 사이버 범죄 비용은 약 1조 달러에 달했습니다. 데이터 유출 사고 발생 시 평균 비용은 435만 달러로, 기존 및 잠재 고객의 이탈은 물론 탐지, 에스컬레이션, 재작업에 투입되는 자원까지 포함하면 그 피해는 막대합니다.

이러한 천문학적인 비용에도 불구하고, 절반 이상의 조직이 개발자에게 매년 정기적인 보안 코딩 교육을 의무화하지 않고 있습니다.

보안 전문가라면 누구나 취약점을 찾고 수정하는 과정이 마치 두더지 잡기 게임처럼 느껴질 수 있다는 것을 잘 알고 있습니다. 이미 보안 프로그램과 대응 전략을 갖추고 있더라도 개선의 여지는 항상 존재합니다. 대부분의 조직은 재해 복구나 백업 역량을 시험해 볼 때, 자신들의 보안 접근 방식이 생각만큼 견고하지 않다는 사실을 깨닫습니다. 사이버 공격으로부터 조직의 회복탄력성을 강화하는 것이 최우선 과제라면, 개발자에게 보안 책임을 부여하는 '시프트 레프트(Shift Left)' 전략을 보안 강화 계획에 포함해야 합니다. 처음부터 안전한 코드를 작성하고, 취약점을 신속하게 찾아 수정할 수 있는 역량을 갖춘 개발자 팀이야말로 리스크를 완화하는 가장 비용 효율적인 수단입니다.

개발자 교육에 대한 흔한 오해 중 하나는 그것이 단순히 비즈니스 비용이나 보험 정책에 불과하다는 것입니다. 알리안츠(Allianz)의 DevSec 인식 전도사인 클라우스 클링거(Klaus Klinger)는 이렇게 말합니다. "모든 것은 경영진의 인식에서 시작되어야 합니다. 개발자 교육에 투자하는 것은 낭비가 아니라 품질, 생산성, 그리고 기업의 평판에 투자하는 것입니다."

이 분야에서 ROI를 정량화하기는 어려울 수 있지만, 궁극적으로 조직이 고민해야 할 점은 보안 태세가 어떻게 리스크를 줄이고, 접근 방식을 간소화하며, 개발 팀의 시간과 생산성을 절약해 줄 수 있는지입니다.

사이버 보안 비용의 ROI를 어떻게 정량화할 수 있을까요?

ROI를 고려할 때는 리스크 완화를 통한 비용 절감과 보안 교육의 영향력이라는 두 가지 측면에서 생각하는 것이 중요합니다.

매우 흔한 사례를 하나 살펴보겠습니다. 취약점이나 보안 사고로 인해 이커머스 사이트가 며칠 동안 오프라인 상태가 되어 팀 전체가 문제 해결에 매달리는 상황입니다. 이때 발생하는 비용은 서비스 중단 기간 동안의 매출 손실, 자격 증명 탈취로 인한 피해, 고객 신뢰 하락(장기적인 매출 감소로 이어짐), 그리고 문제 해결 과정에서 낭비된 생산성 등으로 정량화할 수 있습니다.

결국 이는 비용 대비 효과 분석으로 귀결됩니다. 평가해야 할 핵심 영역은 회사의 보안 성숙도 수준, 리스크 수용 범위, 그리고 유지보수나 개선이 필요한 코드 영역입니다.

사람들은 종종 성공과 가치를 판단할 때 잘못된 지표에 집중하곤 합니다. 프로그램의 초기 투자 대비 수익에만 매몰되기보다는, 프로그램 자체가 가져오는 영향력을 측정하는 데 더 관심을 기울여야 합니다.

영향력을 입증하기 위한 측정

ROI를 확립하려면 측정 가능한 목표를 세워야 합니다. 이는 개발자의 보안 코딩 지식을 평가하고 어떤 역량을 보완해야 할지 파악하는 것에서 시작됩니다.

첫 번째 단계는 참여도를 측정하여 더 풍부한 교육 프로그램을 구축하기 위한 전략적 결정을 내리는 것입니다. 가장 중요한 것은 영향력을 측정하는 것입니다. 프로그램 시작 전, 각 팀의 코드 분석, 버그 바운티, 또는 일반적인 취약점 테스트를 통해 소프트웨어 개발 수명 주기에서 발견되는 취약점의 수를 확인하는 것부터 시작하세요. 교육 프로그램이 원하는 성과를 내고 있는지 확인하는 가장 간단한 방법 중 하나는 코드베이스 전체에 유입되는 취약점의 감소 추이를 측정하는 것입니다.

‍

ROI 평가를 위한 핵심 질문:‍

1. 접근 방식을 간소화하고 있습니까?

‍단순히 더 많은 도구를 도입하고 있습니까, 아니면 근본적인 원인을 해결하고 있습니까? 기술 스택에 도구만 추가하는 것은 취약점을 찾고 수정하는 데 있어 '구멍 난 치즈'와 같은 임시방편에 불과합니다. 또한 이러한 도구는 운영 비용을 증가시키지만, 많은 취약점의 근원인 코드 자체에는 별다른 영향을 주지 못합니다. 물론 스캔 및 모의 해킹 도구는 보안 전략의 일부가 되어야 하지만, 그것이 최후의 방어선이 되어서는 안 됩니다.‍

2. 효율성과 생산성을 향상시키고 있습니까?

AppSec 팀으로부터 반송된 코드에 대한 철저한 검토와 재작업에 소요되는 시간은 생산성에 큰 손실을 초래할 수 있습니다. 개발팀이 보안 코드 교육을 직접 실습하도록 지원하여 불필요한 긴급 대응 상황을 줄이는 것은 보안 프로그램의 긍정적인 영향을 평가하는 좋은 지표가 될 것입니다.‍

3. 위험을 낮추고 있습니까?

취약점을 찾고 수정하는 것은 거대한 퍼즐을 맞추는 것과 같아서, 확실한 해결책을 찾기까지 며칠, 몇 주, 심지어 몇 달이 걸리기도 합니다. 개발자가 직접 근본 원인을 해결하도록 권한을 부여하면, AppSec 팀은 위험 모니터링과 조직의 전반적인 보안 태세를 강화하는 데 집중할 수 있습니다.

4. 속도를 높이면서도 품질을 유지하고 있습니까?

코드를 빠르게 배포하는 것이 항상 좋은 것은 아닙니다. 지름길을 택해 코드에 취약점을 도입하면 향후 많은 골칫거리가 발생하고 기술 부채가 쌓이게 됩니다. 단기적인 사고방식은 해결책이 아닙니다. 처음부터 코드를 안전하게 작성하여 위험을 완화하면 나중에 문제가 복합적으로 커지는 것을 방지할 수 있습니다.
‍

추천 추적 지표:

• 참여도 - 교육에 얼마나 많은 시간을 할애하고 있으며 개발자들은 어떻게 참여하고 있습니까? 과정과 평가를 완료하고 토너먼트에 참여하고 있습니까?
• 기술 역량 - 강점은 무엇입니까? 개선이 필요한 영역은 어디입니까?
• 취약점 감소 - 코드 검토 중 취약점이 눈에 띄게 줄었습니까? AppSec 팀으로부터 반송되는 재작업 건수가 감소했습니까?
• 생산성 - 문제를 해결하는 데 얼마나 걸립니까? 취약점 감소와 함께 생산성이나 배포 속도가 향상되었습니까?

시프트 레프트(Shift Left)로 가치 창출하기

침해 사고와 취약점은 매년 급격히 증가하고 있습니다. 코드부터 시작하여 보안에 대한 전체적인 접근 방식을 선제적으로 구축하는 것이 중요합니다. 이는 다음을 돕습니다:

• 문제의 일부만 해결하는 도구에 비용을 낭비하는 대신, 가장 소중한 자원인 인재에게 투자하여 복잡성 줄이기
• 코드가 배포된 후 AppSec 팀이 발견하게 될 재작업이나 수정을 제한하여 효율성과 전반적인 효과 개선하기
• 위험을 완화하고 규정 준수를 달성하여 값비싼 벌금, 고객 신뢰 상실, 또는 더 나아가 데이터 유출로 인한 피해 방지하기

단기적인 사고방식과 임시방편을 피하십시오. 이는 결국 기술 부채와 더 큰 비용으로 이어질 뿐입니다. 개발자의 역량을 강화하고 그들이 취약점과 사이버 범죄에 맞서는 최고의 방어선이 되도록 지원하여 장기적인 계획을 세우고, 그 효과와 비용 절감 효과를 직접 확인하십시오.

‍