골드를 향하여: Paysafe의 보안 코드 표준을 높이다

Paysafe는 금융 거래를 신뢰 기반의 경험으로 전환하는 데 앞장서고 있으며, 연간 1,520억 달러 이상의 거래량을 처리하는 안전하고 원활한 플랫폼을 제공하는 것이 단순한 규정 준수 이상의 의미를 갖는다는 점을 잘 알고 있습니다. 지난 4년간 Paysafe는 Secure Code Warrior와의 파트너십을 통해 개발자 위험 관리에 대한 전체론적 접근 방식을 지속적으로 추진해 왔으며, 애플리케이션 보안 프로그램은 다음과 같은 비즈니스 요구 사항 전반에 긍정적인 영향을 미치고 있습니다.

‍
도전 과제: Paysafe 전사적 보안 코드 표준 강화

다국적 온라인 결제 제공업체인 Paysafe는 보안 코딩을 단순히 PCI DSS 규정 준수 요건을 충족하는 것을 넘어선 전략적 우선순위로 간주해 왔습니다. 초기에는 전문가 주도의 대면 교육 세션과 기술 평가를 진행했으나, Paysafe의 목표는 항상 보안 코딩 이니셔티브의 범위와 규모를 지속적으로 확장하여 업계 최고 수준의 애플리케이션 보안 접근 방식을 구축하고 엔지니어들이 처음부터 안전한 코드를 작성하도록 하는 것이었습니다.

Paysafe의 인재 개발 파트너인 Boyan Hristov는 “우리에게 교육은 단순히 의무 사항을 확인하는 절차가 아닙니다. 우리의 목표는 직원들이 지속적인 기술 발전을 인지하도록 돕는 것입니다. 우리는 항상 더 나은 결과를 위해 노력하며, 엔지니어링 팀과 보안 팀의 협업을 지향합니다. 스스로 역량을 개발할 수 있는 팀은 더 많은 정보를 바탕으로 더 나은 코드를 설계합니다”라고 말했습니다.

Paysafe의 비전은 보안을 개발 초기 단계로 앞당기는 '시프트 레프트(Shift Left)'를 실현하여, 소프트웨어 개발 수명 주기의 모든 단계에 보안 코딩 관행을 내재화하는 보안 인식 엔지니어를 양성하는 것이었습니다. 이를 위해 PCI 규정 준수를 위한 감사 증거를 제공할 뿐만 아니라, 깊고 지속적인 문화적 변화를 이끌어낼 수 있는 확장 가능하고 참여 중심적인 지속적 교육 프로그램이 필요했습니다. 여기에는 게임화된 학습 경험, 정기적인 토너먼트, 그리고 개발자의 참여를 유도하고 업계 보안 트렌드를 선도하도록 돕는 상시 교육이 포함되었습니다.

해결책: Secure Code Warrior를 통한 최첨단 접근 방식

Paysafe는 Secure Code Warrior의 개발자 위험 관리 플랫폼을 도입하여 보안 코딩 관행을 확장하고, 엔지니어의 참여를 유도하며, 개발 수명 주기 초기 단계에 보안을 내재화했습니다. 보안 챔피언 프로그램은 시간이 지남에 따라 성장했으며, Secure Code Warrior는 사이버 위험 예방 목표를 달성하는 데 핵심적인 역할을 수행했습니다.

Paysafe는 개발자들이 플랫폼에 자연스럽게 참여하도록 유도했으며, 매력적인 상품이 걸린 토너먼트와 같은 게임화된 활동을 통해 개발자들의 흥미와 참여를 이끌어냈습니다. 프로그램 초기 도입 시에는 PCI 규정 준수를 위해 일부 평가를 의무화하고, 그 외의 콘텐츠와 활동은 선택적으로 제공했습니다.

프로그램이 자리를 잡으면서 경영진은 추가적인 지원을 제공하여 개발 팀과 정보 보안 팀의 목표를 더욱 긴밀하게 정렬했습니다. 이를 통해 Paysafe 팀은 프로그램을 한 단계 더 발전시켜, 지정된 KPI와 성과 인센티브가 포함된 보다 공식적인 인증 프로그램을 도입할 수 있었습니다.

프로그램의 다음 단계는 업계 표준인 OWASP Top 10 주제에 집중했으며, 인증 단계를 통해 개발자들이 다양한 성취 수준으로 나아갈 수 있도록 했습니다. 현재 이 프로그램은 새로운 규모와 성숙도에 도달하여 정규직 직원부터 계약직 근로자에 이르기까지 모든 개발자의 기본 보안 표준을 한층 높였습니다.

‍Paysafe의 최고 정보 보안 책임자(CISO)인 Alan Osborne은 “지난 4년간 SCW와 구축한 파트너십을 매우 소중하게 생각합니다. 우리는 함께 목표 지향적인 애플리케이션 보안 교육을 제공하고, 보안 팀과 엔지니어링 팀 간의 관계를 강화할 수 있었습니다. 이는 SDLC 초기 단계부터 안전한 코드를 작성하겠다는 공동의 약속에 기반하고 있습니다”라고 전했습니다.

CISO, CTO 및 엔지니어링 부문 경영진의 지속적인 지원과 협력을 바탕으로, Paysafe는 Secure Code Warrior와 파트너십을 맺고 프로그램을 지속적으로 발전시켜 왔습니다. 오늘날 이 프로그램은 비즈니스 요구 사항과 긴밀하게 연계되어 실질적인 성과를 창출하며, 내부 팀에게 여전히 유용하고 흥미로운 교육으로 자리 잡고 있습니다.

결과: 조직 전반의 새로운 보안 코드 표준 수립

Paysafe의 애플리케이션 보안 이니셔티브는 4년 전 여정을 시작한 이래 크게 개선되었습니다. Secure Code Warrior와의 파트너십을 통해 Paysafe는 개발자 위험 관리에 대한 전체론적 접근 방식이 조직 전반에 얼마나 큰 영향을 미칠 수 있는지 입증했습니다.

Paysafe의 SAST 스캔 데이터 분석 결과, Secure Code Warrior 교육을 받은 팀이 개발한 애플리케이션에서 초기 개발 단계 스캔 시 발견되는 취약점이 눈에 띄게 감소한 것으로 나타났습니다. SCW 플랫폼에 더 적극적으로 참여한 개발자가 속한 팀일수록 첫 스캔에서 발견되는 취약점 수가 더욱 감소했습니다.

Secure Code Warrior에서 가장 높은 활동량과 참여도를 보인 팀은 초기 개발 단계에서 발견되는 취약점이 전년 대비 크게 감소했으며, 이는 지속적인 기술 기반 교육이 보안 코딩 습관을 강화하는 데 추가적인 가치를 제공함을 보여줍니다. 처음부터 안전한 코드를 작성함으로써 팀과 SDLC 전반의 다른 팀들은 상당한 시간을 절약할 수 있었습니다. 개발 초기 단계에서 취약점을 예방함으로써 이를 식별, 기록 및 수정하는 데 드는 수천 시간의 개발 시간을 절약했습니다. 그 결과 개발자 생산성이 45% 향상되었으며, 이는 보안 코딩 역량 강화의 이점을 입증하고 일상적인 개발 프로세스를 개선하는 데 기여했습니다. 엔지니어링 팀과 애플리케이션 보안 팀 모두에게 윈-윈(win-win)인 결과입니다.

Paysafe는 보안 코드에 대한 헌신을 바탕으로 Banking & Financial Services 벤치마크에서 SCW Trust Score^®  4위를 차지하며 두각을 나타냈습니다. 이는 자랑스러운 성과이지만, Paysafe의 보안 코드 이니셔티브를 향한 노력은 여기서 멈추지 않습니다. Secure Code Warrior와의 파트너십을 통해 확인한 성과에 힘입어, Paysafe는 해당 프로그램을 더욱 발전시키고자 합니다. 

Paysafe의 최고 정보 보안 책임자(CISO)인 Alan Osborne은 "Secure Code Warrior는 개발자 생산성을 높이고 제품 출시 및 개선 속도를 가속화하며, 장기적으로 비용과 위험을 크게 줄이는 데 도움을 주었습니다"라고 말합니다. 또한 "우리는 향상된 개발자 교육을 기반으로 한 보안 코딩이 단순히 '있으면 좋은 것'이 아니라, 개발자의 기술과 경험, 역량을 강화하는 동시에 실질적인 투자 수익(ROI)을 창출하는 검증된 투자임을 입증했습니다"라고 덧붙였습니다.

다음 단계로 Paysafe는 프로세스에 추가적인 거버넌스 및 위험 관리 조치를 통합하여 보안 표준을 더욱 체계화할 계획입니다. 이를 위해 SCW Trust Agent를 활용하여 Secure Code Warrior와의 오랜 파트너십을 심화하고 사이버 보안 우수성을 향한 의지를 보여줄 것입니다.