트러스트 스코어(Trust Score)로 확인하는 보안 중심 설계(Secure-by-Design) 역량 강화 이니셔티브의 가치

조직의 보안 태세를 개선하는 확실한 방법은 개발자에게 보안 코딩 모범 사례를 교육하는 것입니다. 이때 개발자에게 필요한 맞춤형 학습 경로를 제공할 수 있도록 기준과 벤치마크가 포함된 프레임워크를 활용해야 합니다. 하지만 보안 코딩은 일회성 해결책이 아닙니다. 이는 조직의 DNA에 새겨져야 할 삶의 방식이 되어야 합니다. 개발자는 단순히 '시프트 레프트(shift left)'를 실천하거나 시작 단계부터 보안을 고려하는 것을 넘어, 지속적으로 보안을 유지해야 합니다.

단순히 교육을 제공하는 것만으로는 충분하지 않습니다. 조직은 개발자가 교육 내용을 완전히 숙지하고, 일상적인 업무의 일부로서 소프트웨어 개발 수명 주기(SDLC) 초기 단계부터 모범 사례를 따르고 있는지 확인해야 합니다. 개발자의 성과를 추적하고 내부 표준 및 업계 벤치마크와 비교하여 진행 상황을 측정함으로써 교육 투자에 대한 ROI를 효과적으로 산출해야 합니다.

Secure Code Warrior의 Trust Score는 개별 개발자의 성과를 가시화하고 데이터를 집계하여 조직 전체의 성과를 평가할 수 있게 해줍니다. 이는 업스킬링 프로그램의 효과를 보여주는 동시에 개선이 필요한 영역을 식별합니다. 또한 일반 데이터 보호 규정(GDPR), 지불 카드 산업 데이터 보안 표준(PCI DSS), 캘리포니아 소비자 프라이버시법(CCPA) 등 다양한 규제 준수 요건을 충족하도록 지원합니다.

연구 결과에 따르면 보안 코딩 교육은 효과가 있습니다. 600개 이상의 조직에서 25만 명 이상의 학습자가 수행한 2천만 개 이상의 학습 데이터 포인트를 알고리즘으로 분석한 Trust Score는 취약점을 줄이는 데 있어 교육의 효과를 입증하며, 이니셔티브의 효율성을 더욱 높이는 방법을 제시합니다.

교육은 보안을 개선합니다 – 개발자가 제대로 이해한다면 말이죠

수년 동안 SDLC 초기 단계에서 보안 모범 사례를 적용하는 것은 소프트웨어 업계에서 대부분 이상적인 목표로 여겨졌습니다. 언젠가는 갖추면 좋지만 당장의 우선순위는 아니었던 것이죠. 그러나 소프트웨어 개발 속도가 끊임없이 빨라지고, 소프트웨어 취약점을 노리는 정교하고 파괴적인 사이버 위협이 가속화되면서 보안 코딩은 필수 요소가 되었습니다. 미국 사이버보안 및 인프라 보안국(CISA)은 Secure-by-Design 이니셔티브를 통해 보안 코딩을 핵심 과제로 내세웠으며, 이는 국제적인 움직임으로 확산되고 있습니다.

연구를 통해 Secure-by-Design 접근 방식과 소프트웨어 취약점 감소 사이의 명확한 상관관계가 입증되었습니다. SCW 고객 기반의 26%에서 취약점 감소 데이터를 분석한 결과, 개발자 교육을 통해 소프트웨어 취약점이 22%에서 84%까지 감소한 것으로 나타났습니다. 이 수치의 범위는 기업 규모(개발자 수가 적은 소규모 기업에서 더 극적인 결과가 나타남)나 학습 그룹이 특정 문제에 집중했는지 여부(특정 문제에 집중했을 때 더 높은 비율의 결함이 제거됨)와 같은 변수에 따라 달라졌습니다.

대기업의 결과는 상당히 일관적이었습니다. 7,000명 이상의 개발자를 보유한 기업은 개발자 보안 업스킬링을 통해 취약점이 47%에서 53%까지 감소할 것으로 기대할 수 있습니다. 예를 들어, 플랫폼 내 최상위권이나 최고 벤치마크를 기록한 기업이 아닌, 10,000명 이상의 개발자를 보유한 통계적 평균 수준의 한 기업은 취약점이 53% 감소하는 성과를 거두었습니다.

물론 가장 효과적인 교육은 광범위하고 일률적인 접근 방식을 취하지 않습니다. 개발자의 업무 환경과 수행하는 개발 유형에 맞춰 조정되어야 합니다.

기업은 개발자가 보안 코딩을 일반 코딩만큼 자연스럽게 수행할 수 있도록 필수적인 기본 역량을 확립하는 것부터 시작해야 합니다. 업스킬링 프로그램은 개발자가 수행하는 업무 유형과 사용하는 언어에 맞는 실제 시나리오 기반의 실습형 애자일 교육으로 구성되어야 합니다. 또한 업무 일정에 맞춰 교육 세션을 유연하게 배치할 수 있어야 합니다.

개발자에게 필요한 기술은 단순히 코드를 작성하는 것 이상입니다. 인공지능 어시스턴트나 오픈 소스 저장소와 같은 제3자가 생성한 소프트웨어를 검토할 수 있어야 합니다. 개발자들은 생성형 AI 모델을 적극적으로 활용하고 있으며, 더 빠르게 더 많은 코드를 작성하는 데 도움이 된다는 점을 높이 평가하고 있습니다. 그러나 Snyk 설문조사 응답자의 76%가 AI 생성 코드가 사람이 작성한 코드보다 더 안전하다고 답했음에도 불구하고, 56.4%는 AI가 때때로 또는 자주 오류를 발생시킨다고 답했습니다. 또한 같은 설문조사에서 개발자의 80%가 AI 코드 보안 정책을 적용하지 않는다고 답해, AI 코드의 문제점이 제대로 해결되지 않고 있음을 시사합니다.

Secure-by-Design 접근 방식에서는 개발자가 보안 팀과 분리되어 일하는 것이 아니라 협력하여 SDLC 초기 단계에서 이러한 문제를 해결하고, 코드가 프로덕션 환경에 배포되기 전에 결함을 식별 및 수정하게 됩니다.

개인 및 기업의 성과를 측정하는 Trust Score

교육이 지속적으로 이루어지는 것 또한 매우 중요합니다. 기업은 경영진부터 실무자까지 조직 전체에 적용되는 보안 우선 문화를 채택해야 합니다. 이는 지속적인 개선과 SDLC 전반에 걸친 보안 모범 사례 적용에 초점을 맞춰야 합니다. 기술과 사이버 범죄자는 진화를 멈추지 않으며, 사이버 보안도 마찬가지여야 합니다. 소프트웨어를 개발하는 조직에게 보안 교육을 받은 개발자는 가장 중요한 기반입니다.

그렇기 때문에 교육이 효과적으로 정착되었음을 입증하는 것은 교육 그 자체만큼이나 중요합니다. Trust Score는 개별 개발자와 조직 전체의 성과를 가시화할 뿐만 아니라, 성과 데이터를 세부적으로 분석하여 특정 언어, 개발자 팀 또는 소프트웨어 범주에 집중할 수 있게 해줍니다. 또한 개인 및 집계된 성과 결과 데이터는 교육이 개선되어야 할 영역을 식별하는 데 도움을 줍니다. 예를 들어, 개발자의 일상적인 업무 성과에 원하는 만큼의 효과를 내지 못하는 경우를 파악할 수 있습니다.

Trust Score는 조직이 개발자의 성과를 평가하고 필요한 보안 기술을 습득하여 활용하고 있는지 확인하여, 개발자가 코딩할 자격을 갖추었는지 검증할 수 있도록 지원합니다. 이를 통해 조직은 자격을 갖춘 개발자에게 가장 민감한 데이터와 중요한 소프트웨어 프로젝트에 대한 접근 권한을 자신 있게 부여하고, 아직 준비가 되지 않은 인원에게는 접근을 제한할 수 있습니다.

변화하는 보안 문화의 증거

사이버 보안은 더 이상 단순한 보안 문제가 아닙니다. 이는 기업의 가장 소중한 자산인 데이터의 무결성에 영향을 미치는 비즈니스 문제입니다. 심각한 침해 사고는 조직의 운영과 평판, 나아가 생존 가능성까지 위협할 수 있습니다. 이러한 사이버 보안의 중요성을 인지한 규제 당국은 점점 더 엄격한 규제를 시행하고 있으며, Uber와 SolarWinds의 사례처럼 CISO를 비롯한 경영진에게 형사 소송까지 제기할 의지를 보이고 있습니다.

오늘날과 같은 환경에서는 전사적 보안 문화를 도입하는 것이 필수적입니다. 기업 가치의 상당 부분이 데이터, 애플리케이션, 서비스에 달려 있는 만큼, 보안 코딩은 이러한 문화의 핵심 요소입니다. 문화적 사고방식의 일환으로 맞춤형 교육과 역량 강화를 실시하고, 이를 통해 문화가 어떻게 변화했는지 증명한다면 조직의 보안 태세를 한층 강화할 수 있을 것입니다.

개발자 주도의 보안 프로그램은 가치가 있습니다. 그 증거가 바로 Trust Score입니다.