사람이 작성했든 AI가 생성했든, 개발자에게 코드 내 실제 위험을 교육하세요

적응형 학습은 실제 소프트웨어 위험에 맞춘 초개인화 교육을 통해 반복되는 취약성을 줄이는 데 도움을 줍니다.

개발 팀은 그 어느 때보다 빠르게 코드를 배포하고 있지만, 많은 조직이 시간이 지나도 동일한 취약성이 반복적으로 발생하는 문제를 해결하는 데 여전히 어려움을 겪고 있습니다.

대부분의 보안 교육 프로그램은 개발자가 일상적으로 만드는 위험과 동떨어져 있습니다. 교육은 광범위하게 할당되고 취약성은 계속 반복되며, 조직은 보안이 취약한 코드가 이미 개발 워크플로를 통과한 후에야 뒤늦게 동일한 문제를 해결하는 상황에 놓이곤 합니다.

적응형 학습은 조직이 AI 지원 개발 활동, 취약성 발견 사항, 변화하는 개발자 행동 등 실제 소프트웨어 개발 활동 및 위험 신호에 맞춰 보안 코딩 학습을 조정할 수 있도록 지원합니다.

이 게시물에서는 특히 취약성 신호를 활용한 적응형 학습에 초점을 맞춥니다. 이는 해당 위험을 유발하는 개발자에게 맞춤형 취약성 교육을 자동으로 할당하는 기능입니다.

적응형 학습의 실제 적용

취약성 신호를 활용한 적응형 학습은 취약성 발견 사항을 Trust Agent: Commits 활동과 연결하여, 소프트웨어 위험도가 높은 리포지토리에 적극적으로 기여하는 개발자가 누구인지 식별합니다. 그런 다음 개발자가 실제로 유발하는 취약성 패턴을 기반으로 맞춤형 교육이 자동으로 할당되어, 개발자가 사용하는 언어, 기여하는 리포지토리, 그리고 일상 업무와 관련된 실제 소프트웨어 위험에 맞춰 학습을 조정할 수 있도록 돕습니다.

학습이 개발자가 적극적으로 기여하는 특정 위험에 맞춰 조정되므로, 교육의 관련성과 시의성이 높아지고 일상적인 엔지니어링 워크플로 내에서 적용하기가 더 쉬워집니다.

완료 지표에서 실제 위험 가시성 확보까지

적응형 학습은 보안 코딩 학습과 실제 엔지니어링 활동 간의 강력한 연결 고리를 만듭니다.

개발자에게 학습이 할당되면, 커밋 시점에 할당된 취약성 교육이 완료되었는지 여부를 기준으로 해당 리포지토리에 대한 커밋 점수를 매길 수 있습니다. 이를 통해 보안 리더는 기존 교육 지표로는 확인하기 어려웠던 정보, 즉 현재 코드를 작성 중인 개발자가 자신의 환경에 존재하는 특정 위험을 처리할 준비가 되어 있는지에 대한 가시성을 확보할 수 있습니다.

이는 논의의 초점을 다음과 같이 전환합니다.

“개발자가 교육을 완료했는가?”

에서:

“고위험 리포지토리에 기여하는 개발자가 자신이 배포하는 코드와 가장 관련성이 높은 취약성을 식별하고 예방할 준비가 되어 있는가?”

조직은 단순히 일반적인 완료 보고서에 의존하는 대신, 시간이 지남에 따라 실제 소프트웨어 위험 및 커밋 활동과 함께 개발자의 역량을 측정하기 시작할 수 있습니다.

이는 보안 코딩 프로그램을 근본적인 예방 역량 구축 단계로 한 걸음 더 나아가게 합니다. 즉, 사후 대응적인 수정 워크플로에만 전적으로 의존하는 대신, 취약성이 프로덕션에 도달하기 전에 안전한 개발 관행을 강화하는 것입니다.

더 예방적인 보안 개발 관행 구축

취약점 신호를 활용한 적응형 학습은 취약점 탐지 결과, 커밋 활동, 개발자 기여도, 보안 코딩 학습 및 커밋 점수를 단일 워크플로우 내에서 연결해 줍니다.

조직은 실질적인 소프트웨어 위험에 맞춘 학습을 통해 반복되는 취약점을 줄이고, 개발자의 역량을 강화하며, 엔지니어링 팀 전반에 걸쳐 더욱 예방적인 보안 개발 관행을 정착시킬 수 있습니다.