30만 명의 개발자는 실제로 어떤 보안 관행을 실천하고 있을까요?

BSIMM 8이 출시되었습니다! 정말 멋진 일이죠. 대규모 조직이 안전한 소프트웨어를 만들기 위해 어떤 보안 관행을 도입하는지 다루는 유일무이한 대규모 연구입니다.

이 연구는 애플리케이션 보안 전문가들이 게리 맥그로(Gary McGraw)의 감독하에 수행하며, 수집된 데이터의 일관성과 정확성을 보장하여 30만 명의 개발자가 매일 수행하는 업무에 대한 통찰력을 제공합니다. 최근 발표에서 저는 BSIMM 수치를 인용하며, 평균적으로 개발자 100명당 2명의 애플리케이션 보안 전문가가 있다고 언급했습니다.

하지만 BSIMM4 이후로는 상황이 달라졌습니다. BSIMM8 보고서에 따르면 이 수치는 개발자 100명당 1.6명으로 더욱 줄었습니다. 인재 부족 현상으로 인해 단순히 애플리케이션 보안 전문가를 더 채용하는 것만으로는 해결되지 않습니다. 이제는 그 어느 때보다 개발자들에게 실무 중심적이고 즉시 활용 가능하며 조직 규모에 맞게 확장할 수 있는 안전한 코드 작성 도구와 교육을 제공해야 합니다.

또한 보고서에 따르면 교육 분야에서 가장 흔한 활동은 전체 직원의 67%를 대상으로 하는 인식 제고 교육입니다. 저는 Secure Code Warrior(SCW)에서 수행하는 업무를 교육 분야에 매핑해 보았고, 우리 솔루션이 레벨 1(대부분의 기업이 수행)부터 레벨 3(소수의 기업만 수행)까지 교육 분야의 12가지 활동을 모두 충족할 수 있다는 것을 깨달았습니다.

하나의 솔루션으로 전체 분야를 커버할 수 있습니다! 12가지 교육 관행 중 Secure Code Warrior 솔루션에 가장 흥미로운 관행은 다음과 같습니다.

• 레벨 1: 인식 제고 교육 제공
• 레벨 1: 온디맨드 개별 교육 제공
• 레벨 2: 교육을 통한 위성 조직 강화(SCW 지표)
• 레벨 3: 커리큘럼을 통한 진도 보상(SCW 배지)
• 레벨 3: 공급업체 또는 외주 인력 대상 교육 제공(SCW 평가)
• 레벨 3: 외부 소프트웨어 보안 이벤트 주최(SCW 토너먼트 모드)
• 레벨 3: 교육을 통한 위성 조직 식별(SCW 지표)

현재 사용 중인 솔루션이 이러한 관행을 모두 해결하고 있다고 확신하시나요?