개발자가 보안 의식을 갖추고 코딩하기를 원하시나요? 교육을 개발 환경으로 직접 가져오세요.

소프트웨어 개발 수명 주기(SDLC)는 겉보기엔 평범한 프로세스처럼 보입니다. 우리 개발자들은 모두 힘을 합쳐 마법 같은 결과물을 만들어내고, 현대 사회가 없어서는 안 될 디지털 자산들을 세상에 내놓죠.

하지만 소프트웨어 개발 프로젝트에 참여해 본 사람이라면 누구나 알 것입니다. 그것은 마치 수많은 퀘스트를 깨고 용을 물리쳐야 하는 험난한 여정과 같다는 것을요. 처음에는 즐거울지 몰라도 결국 번아웃이 찾아오기 마련입니다. 특히 개발팀은 최상의 상황에서도 빛의 속도로 일해야 한다는 압박에 시달리죠.

여기에 '프로젝트 내 보안 책임'이라는 또 하나의 필수 과제까지 더해진다고 상상해 보세요. 최악의 경우, 공들여 쌓아 올린 탑이 무너질 수도 있습니다. 현실적으로는 보안이 우선순위에서 밀리고, 당장 눈앞의 마감 기한을 맞추는 일이 더 중요하게 여겨지기 마련이죠. 대부분의 개발자가 안전한 코딩 교육을 받지 못한 상태에서(관리자조차 보안을 우선시하지 않는다면 더욱 그렇습니다), 잦은 데이터 유출과 결함 있는 앱 출시, 그리고 버그 코드의 홍수 속에서 한계에 다다른 보안 전문가들의 이직이 발생하는 것은 어찌 보면 당연한 결과입니다.

개발자에게는 AppSec(애플리케이션 보안)을 돕는 조력자가 필요합니다.

위와 같은 상황을 고려하면, 왜 코딩 과정에서 보안이 '너무 어려운 일'로 치부되어 보안팀의 몫으로만 남겨지는지 이해할 수 있습니다. 쏟아지는 마감 기한, 부족한 교육, 그리고 다른 업무들로 인해 보안에 신경 쓸 여력이 없기 때문이죠. 하지만 이제는 코드에 대한 수요가 너무 많아져서 이런 현상을 더 이상 방치할 수 없습니다. 바로 이때가 뛰어난 개발자들이 동료들과 차별화하고, 새로운 기술을 익히며, 무엇보다 더 안전한 코드를 작성할 수 있는 기회입니다.

물론 소프트웨어 보안의 모든 책임을 개발자에게만 지울 수는 없습니다. 이는 여전히 AppSec 팀의 영역입니다(보안을 이해하는 개발자와 협업하면 보안팀도 반복적인 버그 수정에서 벗어나 더 여유롭게 일할 수 있습니다).성공적인 DevSecOps 프로세스를 위해서는 팀원 모두가 보안 책임을 공유할 수 있는 지원과 도구가 필요하며, 올바른 교육이 무엇보다 중요합니다. 적절한 도구와 교육의 균형을 맞추려면 개발자에게 영감을 주고 긍정적인 변화를 이끌어낼 수 있도록 긴밀히 협력하려는 AppSec 전문가의 통찰력이 필요합니다.

업무 흐름을 방해하는 교육은 효과보다 짜증을 유발하며, 개발자가 거부감을 느끼는 방식은 결코 성공할 수 없습니다. IDE나 이슈 트래커에 통합되어 핵심 지식을 짧게 전달하는 솔루션이 하나의 대안이 될 수 있습니다. 이는 개발자가 꼭 필요한 순간에 정확한 정보를 제공하기 때문입니다.

실제 작동 방식은 다음과 같습니다.

'만약을 대비한' 교육이 아닌, '적시(Just-in-Time)' 교육입니다.

맥락에 맞는 실습형 학습은 가장 효과적인 교육 방식입니다. 가장 필요한 순간에 핵심적인 내용을 짧게 전달하기 때문이죠. 이를 '적시(JiT) 교육'이라고 하며, 개발자의 안전한 코딩 학습에 매우 강력한 효과를 발휘합니다.

도요타의 린 제조 원칙에서 유래한 JiT 교육은 가장 중요한 순간에, 맥락에 맞춰 필요한 지식을 즉시 제공하도록 설계되었습니다. 개발자가 방금 부적절한 권한 설정이 포함된 코드를 작성했다면 어떨까요? 혹은 공격자가 원격으로 코드를 실행할 수 있는 작은 백도어가 열렸다면요? 개발자가 나중에 Confluence 문서를 뒤지거나 교육 때 들었던 내용을 구글링하는 것보다, 코드를 작성하는 바로 그 순간에 지식을 습득하는 것이 훨씬 더 기억에 오래 남을 것입니다.

'적시(Just-in-Time)' 교육은 '만약을 대비한(just in case)' 학습의 정반대 개념입니다. 후자는 지식을 전달하는 흔한 방식이지만 효율적이지는 않습니다. 우리는 개발자가 안전한 코딩 모범 사례를 쉽게 접하고, 현재 진행 중인 핵심 업무에 집중하면서도 커리어를 위해 역량을 강화할 수 있도록 도와야 합니다.

개발자가 교육을 찾아다니게 하지 마세요.

업무로 바쁜 개발자들에게 강의실로 직접 찾아가거나, 복잡한 5단계 과정을 거쳐 이론 위주의 교육을 들으라고 하는 것이 과연 얼마나 설득력이 있을까요?

데이터 유출을 일으키는 취약점의 수를 보면, 현재 대부분의 조직이 시행하는 교육 방식이 그다지 효과적이지 않다는 것이 중론입니다. Verizon의 2020년 데이터 유출 조사 보고서에 따르면 데이터 유출의 43%가 웹 취약점 때문인 것으로 나타났습니다. 개발자들은 대학 교육은 물론 직무 역량 강화 과정에서도 효과적인 보안 교육을 받지 못하고 있습니다. 만약 제대로 된 교육을 받았다면 SQL 인젝션이나 고전적인 경로 탐색(path traversal)과 같은 흔한 취약점들이 데이터 탈취에 악용되는 일은 없었을 것이며, 사이버 보안 인력 부족 문제도 이토록 심각하지 않았을 것입니다.

이처럼 개발자가 보안을 접하는 현재의 환경을 고려할 때, 왜 우리는 좋지 않은 결과에 놀라는 것일까요? Jira, GitHub, IDE 등 개발자가 실제로 일하는 공간에서 접근 가능한, 더 매끄럽고 통합된 교육 경험을 제공한다면 개발자와 조직 모두에게 긍정적인 변화가 있을 것입니다. 이제 업계는 보안 인식을 더 이상 선택이 아닌 필수적인 환경으로 만들고, 이를 훨씬 더 쉽게 접근할 수 있도록 나아가야 합니다.

개발 워크플로우를 안전하게 보호할 준비가 되셨나요?

보안을 고려하는 개발자는 그들의 기술과 코드 작성 단계부터 조직을 보호할 수 있는 능력으로 높이 평가받습니다. 특히 GDPR 과징금, PCI-DSS 규정 준수, NIST 거버넌스, 그리고 에퀴팩스(Equifax) 사례와 같은 수백만 달러 규모의 집단 소송 가능성을 고려할 때, 보안은 이제 선택이 아닌 필수입니다.

통합적인 접근 방식은 개발자들에게 부담이 적은 학습 경험을 제공하고, 심화 과정으로 나아갈 경로를 마련하며, 보안 챔피언을 양성하고, 전 세계의 데이터를 안전하게 보호하는 데 필요한 공동의 책임 의식을 고취하는 촉매제가 될 수 있습니다.

지금 Jira 및 GitHub용 통합 도구를 다운로드하고 의견을 공유해 주세요.