보안 코딩과 관련하여 개발팀이 가장 고민하는 문제는 무엇일까요?

보안이 취약한 코드는 기업에 수백만 달러의 손실을 입힙니다. 그렇다면 보안 코딩 관행을 도입하는 데 걸림돌이 되는 것은 무엇일까요?

거의 모든 것이 소프트웨어에 의존하는 세상에서, 코드의 보안을 보장하는 것은 매우 중요합니다. 브랜드 평판과 재무적 생존 가능성이 여기에 달려 있기 때문입니다. 하지만 보안 코딩에 대한 우려와 이를 완전히 효과적으로 도입하는 데는 많은 장벽이 존재합니다. 그 어느 때보다 새로운 업무 방식이 절실히 요구되는 시점입니다. 이에 2020년, Secure Code Warrior는 Evans Data Corp.와 협력하여 개발자와 관리자의 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 태도를 파악하기 위한 기초 연구*를 수행했습니다(백서 다운로드 여기).

‍현재 조직들은 보안 코드 관행을 구현하는 데 어려움을 겪고 있습니다. 개발자와 관리자 모두 취약점을 처리하고 코드에 대한 책임을 지는 것을 특히 부담스러워합니다.

분명 더 나은 교육과 보안 코드 관행을 지원하는 프로그램이 필요합니다. 이러한 필요성은 개발자와 관리자에게 보안 코딩에 대한 우려 사항을 물었을 때 더욱 명확해집니다. 연구* 결과에 따르면 두 그룹 모두 기본적인 우려 사항을 공유하고 있지만, 각자의 역할에 따라 가장 시급하게 느끼는 문제는 서로 달랐습니다.

개발자의 가장 큰 고민은 '이전 취약점을 반복하는 코드를 포함하는 것'입니다. 개발자는 코드 품질로 평가받기 때문에 이는 놀라운 일이 아닙니다. 어떤 개발자도 보안에 취약하거나 재작업이 필요해 팀의 속도를 늦추는 코드의 원인이 되고 싶어 하지 않습니다.

개발자가 꼽은 두 번째로 큰 우려 사항은 동료가 만든 실수에 대응하는 것입니다. 마감 기한 준수와 코드에 대한 책임 역시 높은 순위를 차지했으며, 보안 코딩 학습 자체가 어렵다는 점도 주요 고민거리였습니다. 이는 새로운 방식의 보안 코드 교육이 필요하다는 점을 다시 한번 시사합니다.

반면 관리자들은 좀 더 거시적인 관점에서 문제를 바라봅니다.

팀 관리자이자 리더로서 그들의 가장 큰 고민은 코드에 대한 책임입니다. 팀이 부실한 코드를 작성하면 그 최종 책임은 관리자에게 있기 때문입니다.

이전의 취약점이 반복되는 코드가 두 번째 고민이며, 학습 과정이 어렵다는 점이 세 번째입니다. 기존의 보안 코드 교육 방식이 효과를 거두지 못함에 따라, 관리자들은 새로운 접근 방식이 필요하다는 것을 깨닫고 있습니다. ‍

보안 코딩 관행 도입의 장벽

관리자들에게 조직 내 보안 코딩 관행 도입의 장벽에 대해 물었을 때, 의사소통과 교육이라는 두 가지 문제가 명확하게 드러났습니다.

45%는 이해관계자와 경영진 간의 소통 부족을 심각한 장애물로 꼽았습니다. 42%는 신입 사원의 보안 코딩 기술 부족을 지적했습니다. 동시에 40%는 교육 시간과 자원이 부족하다고 답했습니다.

조직 전반에 보안 코드 관행을 성공적으로 도입하는 데는 프로세스 및 인사 관련 장벽이 존재합니다.

하지만 이러한 난제들 속에서도 개선의 여지는 있습니다. 신입 사원의 보안 코딩 기술 부족이나 교육 자원 부족과 같은 문제는 상대적으로 해결하기 쉽기 때문입니다.

개발자는 취약점을 막는 최전선에 있습니다. 하지만 그들이 보안이라는 공동의 책임을 다할 수 있도록 충분한 지원과 도구, 교육을 받고 있을까요?

그들의 우려를 고려할 때, 짧은 대답은 '아니오'입니다.

사실, 올바른 교육은 지루한 강의처럼 느껴져서는 안 됩니다.

보안 코딩의 변화를 이끄는 Secure Code Warrior는 개발자가 능동적으로 참여하여 보안 코딩 기술을 배우고 쌓을 수 있도록 인간 중심의 접근 방식을 취합니다. 당사의 검증된 학습 플랫폼은 개발 및 보안 팀이 선호하는 워크플로우 내에서 상황에 맞고 매우 유용한 학습을 제공합니다. 이를 통해 단순히 취약점을 찾는 것을 넘어, 애초에 취약점이 발생하지 않도록 예방할 수 있는 역량을 길러줍니다.

이러한 실무 교육은 개발자에게 더할 나위 없는 역량 강화의 기회입니다. 보안 취약점을 근본적으로 차단하고 팀과 협력하여 더 높은 수준의 코드를 작성하고자 하는 개발자에게는 커리어 성장을 위한 최고의 선택이 될 것입니다.

보안을 초기 단계부터 통합하여 안전한 코드를 더 빠르게 배포하는 것이 팀에 어떤 변화를 가져올 수 있는지 자세히 알아보려면 지금 데모를 예약하세요.

‍*반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상. Secure Code Warrior 및 Evans Data Corp. 2020