현재의 보안 코드 교육은 개발자들의 기대에 미치지 못하고 있습니다.

데이터 유출 사고와 그에 따른 비용이 계속 증가함에 따라, 전 세계적으로 생산되는 코드의 양은 보안 전문가 혼자 감당하기에는 너무 방대해졌습니다. 기업은 보안 코딩 기술을 갖춘 개발자를 필요로 하며, 개발자들 또한 커리어 발전을 위해 이러한 기술이 필수적임을 잘 알고 있습니다. 하지만 현재의 보안 코드 교육은 개발자들의 기대에 미치지 못하고 있습니다. 그렇다면 개발자들이 진정으로 원하는 보안 코드 교육은 무엇일까요? 이 질문에 답하기 위해 Secure Code Warrior와 Evans Data Corp*가 공동으로 진행한 개발자들의 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 태도 조사 결과를 살펴보겠습니다. (백서 다운로드 여기).

개발자가 원하는 교육의 형태에 대한 답은 매우 명확합니다. 개발자의 75%는 구조화된 직무 교육을 선호하며, 이를 가장 효과적이고 만족스러운 학습 방법으로 꼽았습니다. 또한 교육 내용에 관해서도 개발자들은 다음과 같이 매우 구체적인 요구 사항을 가지고 있습니다.

• 65%는 언어별 취약점 교육이 필요하다고 답했습니다.
• 65%는 OWASP Top 10에 대한 교육 확대를 원합니다.
• 많은 개발자가 NIST(58%), CIS(52%), PCI DSS(50%)를 포함한 규정 준수 보안 프레임워크에 대한 집중 교육을 원합니다.
• 78%는 교육의 일환으로 비공식적인 동료 코칭과 지도를 원합니다.
  

개발자들은 비구조화된 학습보다 구조화된 교육 과정을 강력히 선호하지만, 그 교육이 전달되는 방식 또한 매우 중요합니다. 물론, 이는 또 다른 중요한 질문을 던집니다.

개발자들은 어떤 학습 방식을 선호할까요?

개발자들은 강의를 듣기만 하는 것을 원치 않습니다. 직접 실습하며 경험해 보기를 원합니다. 현재 교육 프로그램에서 크게 부족한 실무 중심의 교육을 원하고 있습니다. 회사 제공 교육의 개선점을 묻는 질문에 응답자의 30%가 실제 업무 시나리오와 같은 실무 중심의 교육을 원한다고 답했습니다.

개발자 교육에는 실습 중심의 언어 및 프레임워크별 '게임화된' 코딩 챌린지를 포함하는 가이드 학습 경로를 제공하는 인간 중심의 접근 방식이 필요합니다. 역할별로 맞춤화된 게임화 교육은 개발자의 참여도를 크게 높이며, 조직이 특정 취약점에 맞춰 학습 모듈을 구성할 수 있게 해줍니다.

구조화된 기술 기반 경로를 통해 소프트웨어 보안을 개발 프로세스의 핵심 요소로 만들고 개발자가 원하는 교육을 제공하는 방법을 알아보려면, 지금 데모를 요청하세요 지금.

"대화형 시뮬레이션을 통해 코드의 보안 취약점을 식별하고, 비판적으로 사고하며 하나 이상의 해결책을 찾도록 도전하게 됩니다. 새로운 시각으로 코드를 보게 되었고, 직접 실습하는 과정에서 큰 즐거움을 느꼈습니다!"
‍소프트웨어 엔지니어, 금융 서비스 분야‍

‍
*반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상. Secure Code Warrior 및 Evans Data Corp. 2020