개발 팀의 우선순위 목록에서 보안 코드는 어느 정도의 비중을 차지하고 있나요?

사이버 보안 공격의 증가와 그 정교함은 전 세계 모든 분야와 산업의 변화를 촉발했습니다. 모두가 보안을 프로세스와 절차의 가장 초기 단계부터 통합하는 '시프트 레프트(shift left)'를 실천하려 노력하고 있습니다.DevSecOps와 같이 보안을 새로운 소프트웨어 및 애플리케이션 개발의 핵심 요소로 내재화하여 사이버 방어를 개선하려는 완전히 새로운 움직임까지 생겨나고 있습니다.

이러한 변화의 상당 부분은 개발자 커뮤니티의 몫이 되고 있습니다. 새로운 소프트웨어와 애플리케이션을 직접 설계하고 코딩하는 주체인 개발자들에게 더 안전한 코딩 관행을 도입하도록 요구하는 것은 매우 합리적인 방안으로 보입니다. 결국, 새로운 애플리케이션이 처음 만들어지는 단계보다 더 앞선 시점으로 보안을 옮길 수는 없기 때문입니다.

하지만 이러한 책임을 맡게 된 개발자들은 어떻게 생각할까요? 전통적으로 코딩 속도를 기준으로만 평가받아 온 개발자들은 보안 챔피언이라는 새로운 역할에 대해 어떤 생각을 가지고 있을까요? 또한, 그들은 회사의 경영진이 양질의 교육, 강화된 보상, 그리고 이 중요한 새로운 책임을 맡은 데 따른 정당한 인정을 통해 이러한 노력을 지원하고 있다고 느낄까요?

2년 연속으로 Evans Data Corp.와 협력하여 전 세계 개발자 커뮤니티를 대상으로 포괄적인 설문조사를 실시했습니다. 보안 코딩 관행에 관한 기술, 인식, 행동을 비롯해 소프트웨어 개발 수명 주기(SDLC) 내에서의 체감 영향력과 관련성을 조사했습니다. 결과는 여러 면에서 매우 놀라웠습니다.

2022년 개발자 주도 보안 현황 설문조사

Secure Code Warrior의 개발자 주도 보안 현황 설문조사는 2021년 12월 Evans Data Corp에 의해 수행되었습니다. 아시아 태평양, 유럽, 북미 지역에서 활동 중인 소프트웨어 개발자 1,200명을 대상으로 소프트웨어 코딩, 보안 인식, 교육, 지원, 동기 부여 및 기타 문제에 관한 질문을 던졌습니다. 설문조사는 영어로 진행되었으며, 정확한 글로벌 관점을 얻기 위해 필요에 따라 번역되었습니다. 응답자에는 새로운 애플리케이션을 개발하는 개발자뿐만 아니라 개발 커뮤니티 내의 관리자들도 포함되었습니다.

놀라운 조사 결과

설문조사의 모든 측면을 심층 분석한 상세 백서(소프트웨어 보안 개선을 위한 과제와 기회)와 보고서(2022년 개발자 주도 보안 현황)가 4월 11일 월요일에 공개될 예정입니다.이 백서에는 보안 코딩 관행과 관련하여 커뮤니티가 제기한 분석 결과와 우려 사항이 포함되어 있으며, 조직이 개발자 팀의 역량을 강화하여 소프트웨어 보안을 개선할 수 있도록 돕는 권장 사항을 담고 있습니다.

이러한 과제 중 일부는 개발자와 함께 일하는 조직 관계자뿐만 아니라 개발자 커뮤니티 내부의 사람들에게도 의문을 불러일으킬 것입니다. 저희에게도 분명 그랬으니까요.

예를 들어, 응답자의 14%만이 오늘날 애플리케이션 보안을 최우선 순위로 꼽았습니다. 대신 애플리케이션 성능이나 기능 및 기능 우선순위 지정과 같은 전통적인 지표가 여전히 전반적인 초점으로 남아 있었습니다.

보안의 우선순위가 너무 낮아 설문조사에 참여한 개발자의 67%가 알려진 취약점과 익스플로잇을 코드에 그대로 방치한 적이 있다고 인정했습니다. 이는 촉박한 마감 기한, 보안보다 기능을 우선시하는 경향, 또는 보안 문제를 해결하는 방법에 대한 교육이나 지식 부족 때문이었습니다.

많은 경우 개발자들은 소속 조직이 무엇이 안전한 코드인지 정의하지 않았으며, 이러한 상황을 개선하기 위한 적절한 교육이나 지원을 제공하지 않았다고 답했습니다.

그러나 일부 부정적인 결과에도 불구하고 태도가 변화하고 있다는 점은 분명했습니다. 대다수의 개발자(66%)는 향후 12~18개월 동안 보안이 더 중요한 우선순위가 될 것으로 예상했으며, 설문에 참여한 채용 담당자의 82%는 보안 지식을 갖춘 개발자를 그렇지 않은 개발자보다 선호한다고 답했습니다.

설문조사 결과에서 개발자 커뮤니티와 그들이 속한 조직이 엄청난 변화에 직면해 있음이 분명하지만, 다행히도 가까운 미래와 장기적인 미래를 위한 계획이 빠르게 구체화되고 있습니다.

전체 설문조사 결과와 현재의 보안 코딩 관행에 관한 과제, 그리고 조직이 개발자의 보안 기술을 향상시켜 궁극적으로 소프트웨어 보안을 강화할 수 있는 기회에 대한 전문가의 견해가 담긴 백서와 보고서를 기대해 주십시오.

더 많은 정보를 원하시면 Secure Code Warrior 블로그 페이지를 확인해 보세요. 사이버 보안과 점점 더 위험해지는 위협 환경에 대한 통찰력을 얻고, 혁신적인 기술과 교육을 활용하여 조직과 고객을 더 안전하게 보호하는 방법을 배울 수 있습니다.

‍