사이버 보안에서 인적 요소를 절대 간과해서는 안 되는 이유

최근 당사의 회장 겸 CEO인 피터 단휴(Pieter Danhieux)가 포브스 기술 위원회(Forbes Technology Council)에 기고한 첫 번째 글이 공개되어 매우 기쁩니다. 이 글은 사이버 공격과 데이터 유출을 방지하기 위해 개발자의 역량을 강화하여 더 안전한 코드를 작성하도록 하는 것이 핵심임을 상세히 다루고 있습니다. 뿐만 아니라, 보안 의식을 갖춘 개발자들이 어떻게 더 우수하고 안전한 코드를 많은 IT 부서의 예상보다 빠르게 제공할 수 있는지에 대해서도 밝혔습니다. 이러한 접근 방식의 필요성은 매우 설득력이 있습니다. 최근 한 연구에 따르면 사이버 공격은 현재 39초마다 발생하고 있으며, 우리 모두는 콜로니얼 파이프라인(Colonial Pipeline)에 대한 단 한 번의 성공적인 랜섬웨어 공격이 초래한 혼란을 목격했습니다. 이는 더 큰 관점에서 볼 때 솔라윈즈(SolarWinds) 해킹만큼 파괴적이지는 않았습니다.

‍

많은 일반적인 취약점이 여전히 존재하는 이유는 개발자들에게 잘못된 코딩 패턴을 더 안전하고 확실한 방식으로 대체하는 방법을 알려준 사람이 없었기 때문입니다. 소프트웨어 개발 후반부에 코드를 수정하는 것은 시간과 배포 지연 측면에서 비용이 매우 많이 듭니다. 특히 공격자가 이전에 발견되지 않은 취약점을 악용한 후 코드를 수정하는 것은 때때로 수백만 달러의 비용이 발생할 수 있습니다. 이는 대규모 유출 사고 이후 기업의 평판에 가해지는 타격은 고려하지 않은 수치입니다.

보안 교육을 받은 개발자는 자연스럽게 더 나은 코더가 됩니다. 물론 CISO가 보안 도구를 당장 포기해서는 안 되지만, 포용적이고 예방적인 보안 접근 방식을 주도함으로써 CISO는 기업의 가장 큰 자산인 '인적 요소'를 활용할 수 있습니다. 특히 소프트웨어 개발 수명 주기 초기부터 보안 코딩을 적용할 때 더욱 그렇습니다.

이를 위해 염두에 두어야 할 세 가지 주요 전략은 다음과 같습니다.

1. 사후 대응이 아닌 선제적 대응

기업은 종종 독창적인 비전을 개발하고 추구하기보다 경쟁사의 행동에 대응하는 등 사후 대응의 함정에 빠지곤 합니다. 많은 기업이 코드의 보안 취약점에 대해서도 이러한 방식을 취하며, 성공적인 유출 사고가 발생한 후에야 비로소 사이버 보안을 심각하게 고려합니다. 안타깝게도 그때는 이미 벌금, 복구 비용, 고객 이탈, 브랜드 이미지 실추 등으로 인해 막대한 피해를 입은 후입니다. 행동 대신 반응하는 또 다른 형태는 보안 코드를 처음부터 만드는 데 집중하는 대신, 기존 코드의 취약점을 찾기 위해 자동 또는 수동 코드 스캔에 의존하는 것입니다. 불행히도 코드 스캔은 완벽한 해결책이 아니며, 코드에 취약점이 많을수록 일부가 빠져나갈 가능성도 커집니다.

선제적인 접근 방식을 취하고 개발자와 협력하여 처음부터 안전한 코드를 작성하도록 도울 때만, 사용자에게 취약한 코드가 배포될 가능성을 크게 줄이는 소프트웨어 개발 수명 주기를 확립할 수 있습니다.

2. 역량 강화, 과도한 교육은 지양

개발자에게 안전한 코드를 작성하는 데 필요한 지식을 제공하기로 결정했다면, 접근 방식을 현명하게 선택해야 합니다. 코딩 작업을 중단시키는 사내 교육 워크숍은 개발자와 관리자 모두를 좌절시킵니다. 저녁이나 주말에 참석해야 하는 외부 교육은 인기가 훨씬 더 없습니다. 가장 좋은 방법은 점진적으로 코딩 기술을 구축하는 것으로, 코딩 과정 중에 관련 정보를 단계별로 제공하여 개발자의 집중력을 흐트러뜨리거나 개발 프로세스를 늦추지 않으면서 역량을 강화하는 것입니다.

3. 동기 부여, 가정은 금물

개발자가 보안 역량 강화를 처벌이나 지루한 잡무로 여겨서는 안 됩니다. 관리자는 안전한 코드가 기업의 성공에 중요한 역할을 한다는 점을 소통하여 개발자에게 영감을 주어야 합니다. 또한 보안 코딩 능력을 갖춘 개발자가 회사에 더 가치 있는 인재이며 향후 더 넓은 경력 기회를 누릴 수 있다는 점을 전달하는 것도 중요합니다.

바이든 행정부의 환영받는 행정 명령은 사이버 보안에 대한 집중도를 높였으며, "개발자와 공급업체 자체의 보안 관행을 평가하기 위한 기준을 포함하고, 보안 관행 준수를 입증할 혁신적인 도구나 방법을 식별해야 한다"는 필요성을 강조했습니다. 하지만 도구는 필수적일 뿐 충분하지는 않습니다. 어떤 도구도 개인이 시스템과 도구를 무시하거나, 오해하거나, 악용하거나, 우회하는 능력을 완전히 제거할 수는 없습니다. 기업의 보안을 극대화하기 위해 CISO는 인적 요소를 활용하고 개발자가 자발적인 보안 옹호자이자 실천가가 되도록 장려해야 합니다.