보안 코드 교육이 효과적이지 않은 이유 (그리고 해결 방법)

지루하고, 지루하고, 또 지루하다! 보안 코드 교육에 대해 언급할 때마다 개발자들에게서 가장 흔히 듣는 반응 중 하나입니다. Secure Code Warrior는 더 나은 방법이 분명히 있다고 믿습니다. 그래서 Evans Data Corp.와 함께 개발자들의 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 태도를 조사하는 기초 연구를 진행했습니다(백서 사본은 여기에서 다운로드하세요).

곧 발표될 반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 양상에서 개발자들에게 현재 보안 코드 교육의 주요 문제점에 대해 질문했고, 그 답변은 매우 시사적이었습니다.

개발자의 의욕을 꺾는 교육

설문에 참여한 개발자의 40%는 보안 코딩 교육이 현실과 동떨어져 있다고 느꼈습니다. 또 다른 40%는 교육이 지나치게 이론적이며, 실제 업무와 관련이 없고, '실습' 위주가 아니라고 답했습니다. 30%는 매일 사용하는 언어 및 프레임워크에 대한 교육이 부족하다고 지적했습니다. 이는 현재의 보안 코드 교육이 맥락상 무관하며 개발자의 일상 업무와 의미 있는 연관성이 없음을 보여주기에 심각한 문제입니다.

많은 개발자에게 가장 큰 어려움은 효과적이지도 않고 보안을 최우선으로 생각하게 만들지도 못하는 지루한 이론 중심의 교육을 받는 동안 깨어 있는 것입니다.‍

현실과 동떨어진 교육은 개발자가 실험실 환경과 실제 세계 사이의 인지적 연결 고리를 만드는 것을 방해합니다.

개발자가 보안 코드 교육에서 원하는 3가지:

1. 압도적으로 많은 개발자가 더 실습 위주이며 일상 업무와 맥락적으로 더 관련 있는 교육을 원한다고 답했습니다.
2. 65%의 개발자가 언어별 취약점 및 OWASP Top 10에 대한 교육이 더 필요하다고 답했습니다.
3. 설문에 참여한 개발자의 75%는 구조화된 직무 내 교육을 선호합니다.

개발자의 역량을 높이는 교육

직무 내 교육의 경우, 개발자는 이미 일정 수준의 경험과 지식을 갖추고 있습니다. 이는 '스캐폴딩(scaffolded)' 학습의 필요성을 시사합니다. 이는 개발자가 이미 알고 있는 지식을 바탕으로 구조화된 학습을 제공하는 방식입니다. 스캐폴딩 교육은 이전 경험을 활성화하고 강화하는 동시에 새로운 기술을 작은 단위로 계속 쌓아 올립니다. 따라서 직무 내 학습에 가장 적합한 방법입니다.

오래 기억되는 기술 전수

개발자 보안 교육에 있어, 개발자들은 지루한 이론 중심의 정적 학습보다 직접 해보며 배우는 방식을 선호합니다. 그런 의미에서 매우 관련성 높고 맥락적인 환경에서 안전하게 코딩하는 법을 배우는 것이 핵심입니다. 보안 코딩의 변화를 주도하는 Secure Code Warrior는 개발자가 실제 업무에서 직면하는 상황을 모방한 챌린지를 통해 관련 프로그래밍 언어 및 프레임워크에 대한 맥락적 실습 교육을 제공합니다. 학습 콘텐츠에는 OWASP Top 10, OWASP Mobile Top 10, OWASP API Security Top 10, CWE/SANS Top 25를 포함하여 147개 이상의 취약점 유형을 다루는 5,500개 이상의 챌린지와 미션이 포함되어 있습니다.

팀의 역량 강화와 더 빠른 보안 코드 제공 가능성에 대해 확인하고 싶으시다면, 지금 데모를 예약하세요.