소프트웨어 개발에서 보안 코드가 새로운 성공 지표가 된 이유

지난 몇 년간 시장 출시 속도를 높이기 위해 네트워크 보안, 테라바이트 단위의 민감한 고객 데이터, 그리고 무엇과도 바꿀 수 없는 브랜드 평판 등 많은 것들이 희생되었습니다. 새로운 기능과 서비스를 빠르게 출시해야 한다는 압박으로 인해 복잡하고 분산된 팀들이 신속한 개발에만 집중하게 되었고, 이 과정에서 발생할 수 있는 취약점이나 막대한 위험에 대해서는 거의 인지하지 못하고 있습니다. 그 어느 때보다 새로운 업무 방식이 절실합니다. 이에 Secure Code Warrior는 2020년 Evans Data Corp.와 협력하여 개발자와 관리자의 보안 코딩, 보안 코딩 관행 및 보안 운영에 대한 태도를 조사하는 기초 연구*를 수행했습니다(백서 다운로드는 여기를 클릭하세요).

프로젝트 성공을 위한 성과 지표 – 보안은 어디에 위치할까요?

개발자와 관리자 모두 보안 코딩의 중요성을 인식하고 있지만, 다른 요소들에 비해 우선순위가 낮습니다. 소프트웨어 개발 과정에서 가장 중요한 우선순위가 무엇인지 질문했을 때의 결과는 다음과 같습니다.

• 76%가 애플리케이션 성능을 꼽았고
• 62%는 기능 및 성능을 선택했으며
• 50%를 조금 넘는 응답자가 보안 코드를 선택했습니다
  

프로젝트 성공을 위한 다른 성과 지표와 비교했을 때, 보안 코딩은 현재 세 번째로 밀려나 있습니다.

현재 개발자들은 프로젝트가 완료된 후의 코드만을 평가하는 성과 지표를 기준으로 프로젝트의 성공 여부를 판단하고 있으며, 이는 어찌 보면 당연한 결과일지도 모릅니다.

하지만 미래에 이 상황이 어떻게 바뀔지에 대한 질문에는 완전히 다른 결과가 나타납니다. 조직이 보안을 성공의 척도로 삼는 방식이 변화하고 있으며, 보안 코딩의 우선순위가 높아지고 있습니다.

미래의 프로젝트 성공을 측정하는 가장 중요한 우선순위에 대해 질문했을 때, 응답자의 79%가 보안 코딩의 중요성이 커질 것이라고 답했습니다. 놀라운 점은 다른 어떤 성과 지표보다 보안의 중요성이 미래에 더 크게 증가할 것이라고 보는 비율이 압도적으로 높다는 것입니다. 보안 코딩에 대한 인식이 확산되면서 '시프트 레프트(Shifting Left)' 움직임도 활발해지고 있습니다. 보안 코딩은 본질적으로 SDLC 초기 단계부터 보안을 고려하는 것을 의미합니다. 즉, 보안을 나중으로 미루는 것이 아니라 소프트웨어를 작성하는 시작 단계부터 보안을 적극적으로 구축하는 것입니다.

CIO들이 조직의 민첩성을 높이기 위해 노력함에 따라, 보안 코딩 역량은 혁신을 위한 핵심 무기가 될 것입니다. CIO와 CISO는 개발 팀이 위험의 첫 번째 관문인지, 아니면 방어의 첫 번째 보루인지 신중하게 고민해야 합니다.

이러한 통찰은 조직이 개발자를 교육하는 방식에 중요한 시사점을 줍니다. 팀은 최근 확인된 취약점에 대해 배우고, 자신이 사용하는 언어와 프레임워크 환경에서 학습해야 합니다. 즉, 매일 작업하는 환경 내에서 알려진 취약점을 찾고 식별하며 수정하는 방법을 이해해야 합니다.

보안 코딩의 변화를 주도하는 Secure Code Warrior는 개발자가 보안 코딩 기술을 배우고 구축하도록 적극적으로 참여시키는 인간 중심적 접근 방식을 취합니다. 보안을 타협하지 않으면서도 더 빠르게 보안 코드를 배포하고 시프트 레프트를 실현할 수 있는 잠재력을 확인하고 싶다면, 지금 데모를 예약하세요.

‍

‍*반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상. Secure Code Warrior 및 Evans Data Corp. 2020