비계 학습이 보안이 강력한 개발자를 양성하는 이유

기술 뉴스를 몇 분만 살펴보아도 위협 환경이 얼마나 위험해지고 있는지 금방 알 수 있습니다. 매일 주요 침해 사고, 새로운 취약점, 사이버 공격자와 범죄자에 의한 실제 악용 위협에 대한 보고가 쏟아지는 것 같습니다. 거의 모든 업계 지표와 보고서는 점점 더 위험해지는 사이버 위협의 수를 보여주고 있으며, 대부분의 전문가는 이러한 추세가 앞으로도 수년간 지속될 것으로 예측합니다.    

이러한 새로운 위협에 맞서야 할 IT 보안 인력은 부족하고 인력난에 시달리고 있습니다. 높은 연봉을 받고 어떤 기업이나 조직에서도 없어서는 안 될 존재임에도 불구하고, 보안 인력은 항상 부족합니다. 전략국제문제연구소(CSIS)가 실시한 최근 설문조사에 따르면, IT 의사 결정권자의 82%가 조직 내 사이버 보안 기술 부족을 겪고 있다고 답했으며, 71%는 이러한 부족 현상이 조직에 직접적이고 측정 가능한 피해를 주었다고 답했습니다. 보고서에 따르면 미국에서만 약 94만 명만이 종사하는 분야에서 52만 개 이상의 사이버 보안 일자리가 채워지지 않은 상태입니다.

전 세계적으로 현재 약 350만 개의 사이버 보안 일자리가 채워지지 않은 상태이며, 이는 최고 수준의 전문가를 채용하고 유지하기 위해 막대한 비용을 지불할 의사가 있는 조직조차도 적합한 후보자를 찾는 데 어려움을 겪고 있음을 의미합니다. 평균적으로 사이버 보안 직무를 채우는 데는 다른 직무보다 약 21% 더 오랜 시간이 걸리며, 그마저도 채용이 불가능한 경우가 많습니다.

개발자 역량 강화는 너무 오랫동안 무시되어 왔습니다

우리는 이전의 많은 블로그에서 개발자를 활용하여 사이버 보안 방어의 중요한 공백을 메울 수 있다고 언급했습니다. 단지 전통적으로 개발자들은 사이버 보안 교육을 받은 적이 없었을 뿐입니다. 그들의 업무 성과는 거의 전적으로 속도와 배포 시간에 기반을 두었습니다. 보안은 그 이후 단계에 있는 AppSec 팀의 업무였습니다.

안타깝게도 단순히 태도를 바꾸어 개발자에게 갑자기 애플리케이션과 프로그램에 보안을 추가하라고 요구하는 것만으로는 해결되지 않습니다. 설문조사에 따르면 많은 개발자가 변화를 원하고 있지만, 이를 실현하려면 교육이 필요합니다. 또한 경영진의 격려와 지원도 필요하지만, 의미 있는 학습을 통해 역량을 강화하는 것이 첫 번째이자 가장 큰 걸림돌인 경우가 많습니다.

전 세계적으로 수백만 개의 고연봉, 고보안 IT 보안 직무가 채워지지 않는 데는 이유가 있습니다. 쉬운 일이었다면 누구나 그 분야로 뛰어들었을 것입니다. 코드 내의 위협에 대응하고 취약점을 제거하는 방법을 배우는 것은 어렵고, 위협 환경은 끊임없이 변화합니다. 상대적으로 기술에 밝은 개발자에게조차 사이버 보안을 가르치는 일은 빠르게 구식이 되고 기억에 남지 않으며 긍정적인 영향이 미미한 정적 교육 방식으로는 효율적으로 수행할 수 없습니다. 특히 이미 과중한 업무 일정에 이러한 요구 사항까지 추가된다면 더욱 그렇습니다.

더 높은 곳에 도달하기 위한 발판을 마련하세요

전통적인 방식으로 사이버 보안 기술을 가르치는 것은 발을 땅에서 떼지 않고 고층 빌딩을 지으려는 것과 같습니다. 학생들이 사이버 보안과 같은 복잡한 분야의 많은 상위 개념을 마스터하는 데 필요한 기초가 없기 때문에 불가능합니다. 이를 보완하기 위해 비계 학습(scaffolded learning) 개념을 활용할 수 있습니다.

비계 학습 또는 "계층적" 접근 방식을 사용하여 기술을 향상할 때는 일반적으로 더 큰 주제를 개별적인 학습 경험이나 개념으로 세분화합니다. 이를 통해 학생들은 적절한 연습과 지도를 통해 각 개념을 마스터할 수 있으며, 각 구성 요소에 필요한 모든 지원을 제공받게 됩니다. 건물이 높아질수록 물리적 비계가 설치되는 것처럼, 이미 마스터한 개념 위에 새롭고 더 발전된 개념이 층층이 쌓입니다. 이러한 방식으로 학생들은 도움 없이 학습할 때보다 더 높은 수준의 이해력과 기술 습득을 달성할 수 있습니다.

물리적 비계와 마찬가지로, 이러한 지원은 더 이상 필요하지 않을 때 점진적으로 제거되며, 학생들이 점점 더 능숙해짐에 따라 더 많은 책임이 학생들에게 부여됩니다.

비계 학습은 주로 학생들이 도움 없이 어려운 작업을 시도하다가 좌절하거나 위축되거나 낙담할 때 겪을 수 있는 부정적인 감정과 자기 인식을 줄이기 위해 사용됩니다. 하지만 현대 사이버 보안과 같이 매우 어려운 개념을 다룰 때도 큰 가치를 지닙니다. 개발자를 어린아이 취급하는 방식과는 거리가 멀며, 보안 팀과의 경험이 좌절감과 낙담을 줄 수 있는 상황에서 매우 유용합니다. 특히 그들의 노력이 버그 수정과 새로운 비판과 함께 돌아올 때는 더욱 그렇습니다.

개발자에게 보안 코딩 기초(보통 OWASP Top 10부터 시작)를 이해할 수 있는 도구가 제공되면, 보안 버그가 어떻게 발생하는지, 왜 위험한지, 그리고 프로덕션에 반영되기 전에 어떻게 수정해야 하는지 스스로 확인할 수 있습니다. 거기서부터 더 복잡한 취약점을 해결하고 좋은 수정 사항을 적용하는 실무 경험을 쌓으며 지식을 확장할 수 있습니다. 계층은 조금씩 성장하며, 안전하지 않은 소프트웨어 아키텍처나 위협 모델링 참여와 같은 고급 보안 문제에 직면했을 때 이러한 도약은 더 이상 위협적으로 느껴지지 않으며 정밀하게 해결할 수 있습니다.

업계 차원에서 개발자에게 보안 전문가가 되기를 기대해서는 안 되지만, 조직은 개발자가 더 높은 품질의 소프트웨어를 개발할 수 있도록 개발자 역량 강화를 위한 새로운 표준을 도입할 수 있습니다. 기술을 향상하는 엔지니어링 조직을 위한 추가적인 이점으로, 각 단계 또는 각 비계 수준은 학습함에 따라 더 나은 사이버 보안으로 직접 연결됩니다. 결과를 보기 위해 코스가 끝날 때까지 기다릴 필요가 없습니다.

사이버 보안에 대해 배우는 것은 어렵고, 올바른 도움과 지도 없이는 마스터하기가 거의 불가능합니다. 비계 학습을 포함한 보안 프로그램을 도입하면 혜택을 거의 즉시 체감할 수 있어 효과를 극대화할 수 있습니다. 개선 사항은 거의 즉시 나타나기 시작하며 시간이 지남에 따라 지속적으로 향상될 것입니다.

보안이 강력한 개발자를 함께 양성해 보세요. 다음을 확인하세요:

코스
미션
개발자 교육

... 등 더 많은 정보!