Thales가 개발자 주도 보안을 구현한 방법

배경

Thales Group은 항공우주, 방위, 교통 및 보안 분야를 위한 전기 시스템과 장비, 기기를 설계, 개발 및 제조하는 프랑스의 다국적 기업입니다. Viswanath S. Chirravuri는 Thales의 소프트웨어 보안 기술 이사입니다. 'Vis'라는 애칭으로 불리는 그는 프로그래머로 보안 분야 경력을 시작했습니다. 현재는 18년 이상의 보안 업계 경력을 보유한 Thales의 고위 보안 리더로서 CISSP, PMP, GSE를 포함한 30개 이상의 자격증을 보유하고 있습니다. 그는 18개국 이상에서 3,000명이 넘는 소프트웨어 전문가를 교육했습니다. 또한, Vis는 국제 사이버 보안 토너먼트(Netwars 등)에서 10개 이상의 SANS 챌린지 코인을 획득했으며, GIAC 자문 위원회의 활동적인 멤버이기도 합니다. 우리는 Vis와 이야기를 나누며 그가 어떻게 사람, 프로세스, 기술을 조화시켜 Thales에서 성공적인 보안 코딩 학습 프로그램을 개발했는지 알아보았습니다.

상황

Thales에서 근무를 시작했을 때, Vis는 기술 부채를 줄이기 위한 해결책으로 모의 해킹을 통해 발견된 취약점의 근본 원인을 파악하도록 비즈니스 부서들을 코칭했습니다. 애플리케이션 보안 팀은 IAST/DAST 도구부터 모의 해킹 도구에 이르기까지 보안 태세를 강화하기 위해 7개의 서로 다른 공급업체와 협력하고 있었습니다. Vis는 시장 동향을 파악하고 확장 가능한 방식으로 위협을 관리하여 프로세스와 기술의 강력한 통합을 통해 완화 전략을 개발하고자 했습니다. 이는 단순히 도구 중심의 접근 방식에서 강력한 학습 요소가 포함된 전략으로 전환하는 것을 의미했습니다. 그는 많은 개발자가 보안 배경지식이나 기술을 갖추지 못했다는 점을 발견했습니다. 초기 접근 방식은 OWASP Top 10과 같은 주제에 대해 개발자 대상 대면 교육을 제공하는 것이었으나, 전 세계 수천 명의 개발자에게 교육하기 위해 필요한 출장과 교육의 확장성 문제를 곧 깨닫게 되었습니다. Vis는 다음과 같이 언급했습니다.

“보안과 개발 사이의 비율 불균형은 항상 존재할 것입니다. 보안 인력과 개발자 비율을 1:1로 맞춘다 해도 그들을 항상 참여시킬 수는 없습니다. 새로운 공격 벡터, 모범 사례, 새로운 언어, 새로 발견된 취약점에 대해 개발자들의 지식을 최신 상태로 유지하려면 개발자가 스스로 학습하고 자신의 속도에 맞춰 진행할 수 있도록 지원해야 합니다. 도움이 필요할 때 제가 도와줄 수는 있지만, 발견되는 모든 취약점을 수정하는 방법을 일일이 가르치는 사람이 될 수는 없다는 것을 깨달았습니다.”

초기에는 많은 개발자가 기초부터 시작해야 한다는 점을 고려할 때, 보안 코딩 학습에 투자해야 하는 시간에 대해 개발 관리자들의 반발이 있었습니다. Vis는 보안 코딩 학습에 대한 전념이 소프트웨어 릴리스 주기를 방해하거나 미션 크리티컬한 스프린트를 늦출 수 있다는 인식을 관리해야 했습니다. 그는 조직이 보안 코딩을 위한 애자일 학습에 시간을 투자하도록 적절히 동기를 부여할 방법을 찾아야 했습니다. Vis는 취약점을 근본적으로 해결하기 위해 사람 중심의 태도를 취했습니다. “사람들은 종종 보안이 개발 시간을 뺏는다고 말합니다. 제 생각에 보안이 취약한 소프트웨어를 개발하는 것은 애초에 시간 낭비입니다. 항상 보안을 고려하여 소프트웨어를 개발해야 쉽게 피할 수 있었던 취약점을 수정하는 시간을 절약할 수 있습니다. 우리 모두는 신뢰할 수 있는 코드를 배포한다는 공통의 목표를 가져야 합니다.”

실행

Vis는 소프트웨어 보안 강화와 Thales 개발 팀의 보안 인식 제고라는 두 가지 주요 목표를 염두에 두었습니다. 개발자가 독립적으로 자신의 속도에 맞춰 학습할 수 있는 프로그램을 구현하는 것이 중요했습니다. Vis의 전략은 시간이 지남에 따라 보안 커뮤니티를 구축하고, 보안 코딩을 기업 정책과 연결하며, 조직 내 보안 코딩 학습을 의무화하는 것이었습니다. 개발자, 테스터, 아키텍트, 엔지니어를 연결하는 커뮤니티 문화를 장려함으로써 그는 동기 부여의 승수 효과를 확인했습니다. 보안을 본업의 일부로 여기는 열정적인 보안 챔피언들이 등장하여 조직 전반에 보안 코딩 관행에 대한 인식을 확산시켰습니다. Vis는 12개 이상의 보안 교육 업체를 평가한 후 2019년에 SCW 고객이 되었습니다. Thales에게는 파편화된 솔루션 대신 환경 내의 모든 프로그래밍 언어와 프레임워크를 다루는 업체를 확보하는 것이 큰 이점이었습니다. Vis는 Secure Code Warrior의 방대한 콘텐츠를 활용하여 보안 프로그램 내 개발자들이 접근할 수 있는 교육 및 자기 주도 학습 과정을 구축했습니다.

“OWASP Top 10은 단순히 알아야 할 10가지 항목이 아닙니다. OWASP가 다루는 취약점의 깊이와 다양성은 수많은 프로그래밍 언어와 결합되어 압도적일 수 있습니다. 우리가 가진 광범위한 도전 과제와 커버리지는 SCW를 선택하는 핵심 요소였습니다. 그들은 항상 새로운 내용을 추가합니다. 깊이, 주제의 다양성, 최신 콘텐츠, 그리고 보안 코드 설계 원칙에 대한 집중은 SCW를 차별화하는 요소입니다. 그들과 함께라면 일회성 교육이 아닌 지속적인 프로그램을 구축할 기회를 얻게 됩니다.”

Vis와 그의 팀은 각 엔지니어링 역할에 맞는 마일스톤을 설정하여 4단계의 보안 코딩 학습 프로그램 롤아웃을 구성했습니다.

중요한 점은 SCW가 취약점 수정을 위한 진실의 원천(source of truth)이 되었다는 것입니다. 문제 해결을 위해 구글 검색에 의존하는 대신, Vis는 AppSec 팀의 가이드라인과 SCW 콘텐츠 라이브러리의 가이드라인을 모두 게시하여 개발자들이 코드 내 취약점 수정을 위해 신뢰할 수 있는 출처를 참조할 수 있도록 했습니다. Vis의 말에 따르면 다음과 같습니다.

“개발자가 취약점 수정 방법을 마음대로 결정하여 그 과정에서 새로운 취약점을 도입하게 해서는 안 됩니다. 우리는 SCW의 SCORM 통합을 통해 SCW 비디오를 LMS에 통합하여 개발자들이 올바른 방식으로 취약점을 수정하는 방법을 배우도록 했습니다. 이는 또한 보안 소프트웨어를 제공하는 개발자가 인정받을 수 있는 방법을 마련해 주었습니다. 우리는 그들에게 일정 수준의 보안 코딩 역량을 달성하도록 요구하며, 그들이 해결하고 재발시키지 않는 취약점을 통해 이를 추적할 수 있습니다. 그렇게 함으로써 그들의 노력이 회사 내에서 인정받고 가치 있게 평가받게 됩니다.”

성과

Vis와 그의 팀은 매달 보안 코딩 뉴스레터를 발행하여 회사 내 최고의 학습자를 선정합니다. 그들은 SCW를 사용하여 평가 점수, 토너먼트 참여도, 수행한 챌린지를 확인하여 성과를 강조합니다. 이는 다른 개발자들도 학습하도록 동기를 부여합니다. 그가 초기에 설정한 KPI는 2년 동안 전체 취약점 수를 줄이는 데 중점을 두었습니다. SCW를 구현한 후, 그는 취약점이 감소하는 추세를 확인했습니다. 이러한 취약점은 소스 코드 수준에서 다시 발생하지 않습니다. Vis는 이렇게 설명합니다.

"우리가 경영진에게 제시하는 KPI는 우리가 내린 현명한 선택을 잘 반영하고 있습니다. 우리는 고객에게 비즈니스 신뢰를 제공하는 보안 코딩 교육을 갖추고 있다는 점을 자랑스럽게 생각합니다. 우리는 포괄적인 보안 코딩 교육 프로그램으로 인정받고 있으며 고객과 동료들로부터 존경받고 있습니다. 이러한 프로그램을 갖추는 것은 회사에 큰 가치를 더해줍니다.”

핵심 요약

Vis는 사람, 프로세스, 기술 모두가 보안 이니셔티브에서 중요한 역할을 한다는 점을 인식했습니다. 소프트웨어 보안, 개발자 지식, 규정 준수에 집중함으로써 시간이 지남에 따라 소스 코드의 취약점을 줄이는 애자일 보안 코딩 학습 프로그램을 구축할 수 있습니다. Vis는 개발 팀의 보안 역량을 강화하려는 동료 전문가들에게 다음과 같은 권장 사항을 제시합니다.