소프트웨어 보안 역량을 강화하는 핵심, 게임화

소프트웨어 개발 및 보안 분야에서 경력을 쌓아오면서 전 세계 다양한 기업에서 근무하는 수많은 앱 보안(AppSec) 관리자, CISO, CIO, 사이버 보안 전문가들을 만나왔습니다.

상황이 아무리 다르고 팀의 숙련도가 어떠하든, 급변하는 디지털 환경 속에서 시간이 얼마나 흐르든 변하지 않는 한 가지 문제가 있습니다. 바로 개발 팀이 보안에 대해 긍정적으로 참여하도록 만드는 것이 매우 어렵다는 점입니다. 보안은 여전히 팀 간 갈등의 원인이자 업계의 골칫거리로 여겨지는 부정적인 단어입니다.

하지만 소프트웨어 보안은 우리의 전반적인 사고방식을 바꿀 만큼 매우 중요합니다. 우리는 보안을 모든 개발자의 업무 생활에 필수적인 부분으로 만들기 위해 대화의 방식을 바꿔야 합니다. 이를 위한 가장 좋은 방법 중 하나는 게임화와 같은 방식을 통해 개발자들에게 보안에 대한 권한을 부여하고 적극적으로 참여하도록 유도하는 것이라고 생각합니다.

현재의 상황

개발자들은 대학에서 안전한 코드를 작성하는 데 필요한 실무 지식을 거의 배우지 못한 채 졸업합니다. 또한 보안 교육이 우선순위가 아닌 환경에서 일하게 되죠(교육이 있더라도 보통은 지루하기 짝이 없는 의무적인 보건 및 안전 관련 영상 교육이라 보안 코딩에 관심을 가질 리가 없습니다). 개발자들이 처음 접하는 보안 경험은 대개 출시를 앞두고 갑자기 진행되는 감사나 테스트 버그 리포트인 경우가 많으며, 이는 창의적인 업무 흐름을 방해하는 최우선 순위의 골칫거리가 됩니다. 보안 담당자와 대립하게 되면서 개발자들에게 '보안'은 곧 '비판'과 동의어가 되어버립니다. 정말 안타까운 일이죠.

소프트웨어 보안에 대한 이러한 부정적인 인식이 널리 퍼져 있다는 것은 정말 안타까운 일입니다. 사실 제 경력에서 가장 기억에 남는 순간들은 소프트웨어 보안을 배우던 때와 관련이 있습니다. 해킹을 처음 시작했을 때 컨퍼런스에 참석해 실력을 테스트하고(솔직히 말하면 조금 뽐내기도 하면서) 저처럼 소프트웨어의 취약점을 찾는 것을 즐기는 사람들과 만나 즐거운 시간을 보냈던 기억이 생생합니다.

BruCon, DefCon, BlackHat 같은 행사들은 저와 같은 사람들에게 친선 경쟁을 통해 실력을 발휘할 기회를 제공했습니다. 물론 제가 그런 반사회적인 행동에 참여했다고 인정하는 것은 아니지만, 어떤 이들은 다른 참가자의 휴대폰을 해킹해 그 정보를 발표 화면에 띄우는 방식으로 자신의 해킹 실력을 과시하기도 했습니다. 취약점을 찾고, 이를 악용하거나 수정하며 소프트웨어를 더 좋게 만드는 과정 자체가 하나의 게임이 된 것입니다. 몇 년 전, 저는 중동에서 수백 명의 아이들에게 사이버 보안을 가르칠 기회가 있었습니다. 그때 게임을 통해 비밀번호 무차별 대입 공격과 base64 인코딩을 배우던 여덟 살 소녀의 모습이 아직도 기억에 남습니다.

게임화는 코딩 기술을 가르치는 데도 사용됩니다. 전 세계 교육 기관에서는 아주 어린아이부터 고등학생까지 코딩을 가르치기 위해 이 방식을 활용하고 있습니다. 네 살배기 아이들도 정기적으로 CodeCamp와 같은 방학 프로그램에 참여하며, 파이썬이나 다른 언어를 가르치는 훌륭한 온라인 프로그램도 많이 있습니다. 저는 제 네 살짜리 딸을 위해 화면이 없는 코딩 도구인 Cubetto를 사주기도 했습니다.

하지만 이렇게 재미있고 발전적인 상황 속에서도 한 가지 공백이 있습니다. 바로 게임화를 활용해 개발자들에게 안전한 코딩 방법을 교육할 생각은 아무도 하지 못했다는 점입니다.

음... 거의 아무도 생각하지 못했죠. 몇 년 전, 저는 보안을 다시 흥미로운 분야로 만들고 개발자들이 직접 참여하여 즐길 수 있도록 동기를 부여해야겠다는 깨달음을 얻었습니다.

게임화: 나아갈 수 있는 간단한 길.

개발자들에게 보안 지식을 전달하고 그들의 역량을 강화하고 싶다는 깊은 열망이 있었고, 바로 그 열정이 저를 Secure Code Warrior를 만들게 했습니다. 소프트웨어 보안은 매우 중요하며, 충분히 흥미로운 분야가 될 수 있습니다.

저만 이렇게 생각하는 것은 아닙니다.

게임화는 가장 지루한 작업조차 재미있게 만들 수 있으며, 사람들이 계속해서 게임을 즐기고 승리하며 발전해 나가도록 몰입하게 합니다. 포켓몬 고(Pokémon Go!)가 가장 게으른 사람조차 소파에서 일어나 밖으로 나가 가상의 생명체를 찾게 만든 사례나, 핏빗(FitBit)이 많은 사람에게 매일 걸음 수를 채우는 것을 목표로 삼게 만든 사례를 보세요. 목표를 달성하지 못하거나 연속 기록이 깨지고 배지를 얻지 못하면 큰 아쉬움을 느끼게 됩니다.

다시 보안 교육 이야기로 돌아가 보겠습니다. 우리는 많은 고객사를 통해 게임화가 조직 내 보안 문화를 혁신하고, 앱 보안 팀과 개발 팀 사이의 가교 역할을 하며, 전반적으로 더 높은 수준의 소프트웨어를 구축하는 데 핵심적인 역할을 한다는 것을 입증했습니다.

현재 보안은 개발자들의 우선순위가 아닙니다. 교육 방식에 친근하고 경쟁적이며 흥미로운 요소를 추가하면, 개발자들은 단순히 '게임을 하는' 것을 넘어 더 많은 점수를 얻고, 최고 기록을 경신하며, 더 정확한 코드를 작성하고, 동료들과 경쟁하기 위해 계속해서 교육에 참여하게 될 것입니다.

성공적인 교육이 어떤 모습인지 우리는 이미 알고 있습니다.

• 개발자는 실제 코드 환경에서 자신이 사용하는 언어 및 프레임워크로 작업할 수 있습니다.
• 챌린지는 짧고 핵심적인 보안 취약점을 모두 다룹니다.
• 챌린지는 지속적으로 확장 및 업데이트되므로 개발자는 꾸준히 역량을 강화할 수 있습니다.
• 챌린지의 난이도가 다양하여 숙련된 개발자와 초급 개발자 모두 흥미롭게 참여할 수 있습니다.
• 개발자와 관리자는 완료한 챌린지, 강점과 약점, 교육 시간, 전반적인 정확도 등 학습 진행 상황을 확인할 수 있습니다.

가장 큰 고객사 중 한 곳은 게임화된 플랫폼의 진가를 보여주었습니다. 개발자들에게 테마별 팀 장비를 제공하고, 우승자에게는 멋진 상품을 증정하며 토너먼트를 잊지 못할 축제로 만들었습니다. 이후 국제 대회를 개최하기도 했으며, 현재까지도 팀 전체가 꾸준히 교육 시간을 쌓아가고 있습니다.

소프트웨어 혁신은 여기서 시작됩니다. 호주 금융 업계는 잘못된 코드를 바로잡기 위해 게임화된 교육을 도입하며 혁신적인 변화를 이끌고 있습니다. 지루한 기존 교육 방식을 완전히 뒤바꾼 사례를 확인해 보세요. 우리 고객사가 진행한 차원이 다른 토너먼트를 살펴보세요.팀의 역량을 한 단계 높일 준비가 되셨나요?

우리는 보안을 모든 개발자의 일상 업무에 필수적인 요소로 만들기 위해 대화의 방식을 바꿔야 합니다. 이를 위한 가장 좋은 방법 중 하나는 게임화와 같은 방식을 통해 개발자에게 보안에 대한 권한을 부여하고 적극적으로 참여를 유도하는 것이라고 생각합니다.