혁신적인 보안 인증 경험 구축

Tier-1 금융 기관이 혁신적인 보안 인증 경험을 구축한 방법

보안 규정 준수라는 과제 앞에서 게임이 개발자의 마음을 사로잡는 열쇠가 될 수 있을까요?

수백만 명의 고객을 보유하고 신뢰받는 글로벌 금융 기관으로서의 유구한 역사를 자랑하는 이 Tier-1 은행 고객은 혁신과 디지털 전환에 발맞추기 위해 Secure Code Warrior를 조직 내 독보적인 교육 경험의 일부로 활용했습니다.

이들은 수천 명의 직원이 머신러닝과 사이버 보안을 비롯한 여러 분야에서 실용적이고 최첨단 기술을 습득할 수 있도록 지원하는 사내 기술 교육 이니셔티브를 구축했습니다.

금융 서비스 업계는 현재 급격하고 근본적인 변화의 시기를 겪고 있으며, 많은 기업이 신흥 기술의 빠른 발전에 발맞추어 서비스 제공 방식을 바꾸고 있습니다. 본질적으로 이들은 금융에 중점을 둔 완전한 기술 기업으로 거듭나고 있습니다. 우리 고객사는 이러한 접근 방식을 통해 트렌드를 따라잡았을 뿐만 아니라, 대부분의 기업보다 더 나은(그리고 더 스마트한) 성과를 달성했습니다. 이들은 필수적이고 급부상하는 분야의 최신 지식을 유지하기 위해 인재 양성에 막대한 투자를 했으며, 그 결과 핀테크 혁신과 전문성 분야에서 선두를 달리고 있습니다.

이 프로그램을 성공적으로 실행하기 위해 고객사와 전체 팀은 개발자가 보안 코딩에 정통하고 높은 수준의 사이버 보안 인식을 갖추도록 해야 할 필요성을 느꼈습니다. 보안 인식 관리자는 팀이 보안에 대해 처음부터 긍정적으로 참여하고 흥미를 느끼도록 유도하고자 했습니다.

과제

고객사의 보안 인식 관리자는 보안 업계에서 오랜 경력을 쌓아왔으며, 대기업과 중소기업을 막론하고 온라인 애플리케이션 도입이 폭발적으로 증가하고 디지털 중심 팀이 급격히 늘어나는 과정을 현장에서 지켜보았습니다. 그는 이러한 초고속 성장 과정에서 필연적으로 발생하는 전문성 파편화 문제를 직접 목격했으며, 이는 많은 보안 및 개발 팀의 고질적인 문제였습니다. 그는 "온라인 도입 초기 단계에서 개발자들은 보안을 고려하고 이를 소프트웨어 빌드에 적용했습니다. 하지만 점점 파편화되는 환경 속에서 한 팀이 운영 체제를 작업하면 보안 팀이 이를 분석하고, 수정 사항이 담긴 수많은 빨간 표시와 메모가 돌아오는 경우가 많습니다. 결국 보안은 확보되지만, 그 과정에서 얻은 결과와 지식은 블랙홀로 사라지고 똑같은 일이 반복됩니다."라고 말했습니다.

그는 자신의 역할에서 자주 목격하는 보안 문제에 대해 이야기하며 "사람의 문제"를 언급했습니다.

Software engineers are paid to build features, and security can be seen as a huge impediment to agile development. They are busy with their own priorities, and often view the security aspect as someone else’s job. On the most extreme end of the scale, some take the view of ‘Well, nothing has happened yet. Why are we so worried about securing this software, and why is it interrupting my development lifecycle?’ In a world of increasing digitization, this attitude has to change. Rather than being looked at as a nuisance, we need to drive home the importance of sharing responsibility for software security.

디지털 삶을 유지하기 위해 개발에 대한 의존도가 높아짐에 따라 그는 다가올 미래를 예견했습니다. 우리 사회는 해커들의 공격에 무방비로 노출되어 있으며, 선의의 개발자들에게는 점점 더 불리한 환경이 조성되고 있습니다. 개발자들은 보안을 진지하게 받아들이고 깊은 관심을 가져야 하며, 조직(그리고 모든 진지한 기술 기업)의 최전선 방어선이 되어야 합니다.

그래서 그는 기존의 교육 방식을 완전히 뒤집기로 했습니다.

실행

보안 인식 관리자는 소프트웨어 품질의 새로운 기준을 세우겠다는 고객사의 전반적인 철학을 주도했습니다. 구체적으로는 소프트웨어에 내재된 보안 수준이 제품의 전반적인 품질과 생존 가능성을 나타내는 지표라는 개념입니다. 현재 대부분의 경우 보안은 품질 측정과 밀접하게 연관되어 있지 않으며, 소프트웨어를 평가할 때 UI, 속도, 서비스 용이성을 고려하는 것과는 확실히 다른 대우를 받고 있습니다.

"보안은 높은 소프트웨어 품질을 위한 필수 불가결한 요구 사항이 되어야 합니다."라고 그는 말했습니다. "보안은 신뢰성과 직결되며, 이는 대부분의 기업, 특히 급격하게 변화하고 디지털화되는 비즈니스 모델을 가진 기업에게 매우 중요한 문제입니다."

커밋된 코드의 취약점을 수정하는 비용은 처음부터 안전하게 작성했을 때보다 최대 30배까지 비싸질 수 있기 때문에, 개발 팀 내에 실행 가능한 보안 문화를 '내재화'하는 것이 핵심 목표가 되었습니다. 결국 스캔 도구로는 감지할 수 없는 취약점들이 존재하며, 이를 해결하는 가장 효율적인 방법은 보안 의식을 갖춘 개발 팀을 만드는 것입니다.

보안 인식 관리자는 개발자들이 보안 문제를 해결하도록 준비시키기 위해 여전히 흔히 사용되는 다른 형태의 교육에 대한 경험을 자세히 설명했습니다. "개발자들이 이론 위주의 방대한 교육이나, 더 나쁜 경우 '형식적인 체크리스트' 수준의 일회성 규정 준수 교육을 통해 보안을 배우게 되면, 지속적인 영향을 미칠 만큼 충분한 실습이나 시간을 확보하기 어렵습니다. 저는 더 효과적인 솔루션을 적용하여 이를 바꾸기로 결심했습니다."라고 그는 말했습니다.

높은 참여도가 가져오는 이점

노련한 보안 인식 관리자와 그의 팀의 조언에 따라, 우리 고객사는 Secure Code Warrior 플랫폼을 핵심 요소로 포함하는 맞춤형 인증 프로그램을 구현했습니다.

더 효과적이고 참여를 유도하는 개발자 교육 솔루션을 모색하던 이들은 게임화(Gamification)를 조기에 도입했으며, 자체적인 체계적이고 본격적인 커리큘럼을 통해 그 잠재력과 효과를 극대화했습니다.

“높은 참여도를 이끌어내는 교육을 조직 문화의 일부로 정착시키고, 수강생들이 지속적으로 학습을 이어가게 하는 것이 무엇보다 중요했습니다. 이 시스템은 지식과 기술을 체계적으로 쌓고 보안에 대한 가치를 내재화하도록 설계되었으며, 결과적으로 개발자들이 매일 다루는 실제 소스 코드를 활용해 실무 역량을 키울 수 있게 합니다.”라고 그는 말했습니다.

업계 표준 보안 모범 사례와 내부 지침을 모두 아우르는 포괄적인 솔루션을 구축함으로써, 고객사는 교육을 신속하게 도입하여 조직 내 소프트웨어 보안 수준을 성공적으로 향상시켰습니다.

결과

고객사의 인증 프로그램은 사내 기술 교육 시설과 같은 혁신적인 이니셔티브에 최적화된, 지속적으로 발전하는 성공적인 교육 모델입니다. 재미있고 상호작용이 활발하며 보상이 따르는 이 심층 과정은 수강생들의 학습 기억력을 극대화할 뿐만 아니라, 보안을 최우선으로 생각하는 문화와 마인드셋을 정착시킬 수 있도록 지원합니다. 게이미피케이션을 통해 학습의 즐거움을 더했지만, 프로그램의 핵심 목적은 개발자들이 애플리케이션의 고위험 취약점을 식별하고 차단하는 데 필요한 실무 역량을 갖추도록 하는 데 있습니다.

이 교육은 의무 사항이 아니었으며, 개발자 스스로의 동기 부여가 중요했습니다. 인센티브와 보상이 큰 역할을 했지만, 프로그램이 팀 전반에 성공적으로 안착할 수 있었던 것은 구성원들의 자발적인 지지와 공감대가 형성되었기 때문입니다.

필수 역량 강화는 물론, 개발팀과 보안팀 사이의 간극을 좁히는 데도 기여하고 있습니다. 두 팀이 같은 목표를 공유하고, 같은 언어로 소통하며, 상호 이해를 바탕으로 협력하는 계기가 되었습니다.

단순히 규정 준수를 위한 형식적인 교육을 넘어, 이 프로그램은 직원들의 경력 개발을 지원하는 핵심적인 토대가 되었습니다. 세계에서 가장 빠르게 성장하는 분야 중 하나인 사이버 보안 영역에서 실질적인 역량 향상을 제공합니다. 이러한 교육 프로그램은 향후 소프트웨어 보안을 초기 단계부터 개선하기 위한 새로운 표준이 될 것입니다.

핵심 요약

• 인증 과정을 마친 수강생들이 직접 강사가 되겠다고 나서는 등 전례 없는 호응이 이어지고 있습니다. 이러한 자발적인 확산은 입소문을 통한 참여 확대와 전사적인 보안 인식 제고에 강력한 원동력이 되고 있습니다.
• 현재 고객사는 조직 내 2,500명 이상의 개발자를 대상으로 프로그램을 확대 운영 중이며, 90% 이상이 이미 시스템을 활발히 이용하고 있습니다.
• 이들은 교육을 통해 직원들의 경력 개발을 돕고, 급변하는 기술 환경에서 필요한 역량을 발휘할 수 있도록 지원합니다.