보안 챔피언으로 가는 길: Workday가 애자일 학습을 활용해 개발자 역량을 강화한 방법

상황

Secure Code Warrior를 통한 애자일 학습을 도입하기 전, Workday는 OWASP 10대 취약점과 의사 코드 예제를 다룬 파워포인트 녹화 강의로 구성된 사내 교육을 활용하고 있었습니다. 보안 개발자 교육 프로그램 관리자인 Alex Uda는 이러한 방식이 팀과 전체 보안 팀이 Workday의 전반적인 보안 태세를 개선한다는 목표를 달성하는 데 도움이 되지 않는다는 사실을 깨달았습니다. 개발자들이 교육에 흥미를 잃어가고 있었기 때문에, 그들은 피드백을 수집하기로 결정했고 지속적으로 제기되는 두 가지 사항을 확인했습니다.

1. 더 많은 실습형 교육의 필요성
2. 더 많은 언어별 콘텐츠의 필요성
   

실행

Alex와 그의 팀은 개발자들과 협력하며 매력적이고 성공적인 보안 코드 학습 프로그램을 만들기 위해 개발자의 동의를 얻는 데 필요한 두 가지 주요 우선순위를 파악했습니다.

명확성과 단순성

대부분의 개발자는 입사 시 보안 지식을 갖추고 있지 않습니다. 좌절감을 주거나 시간이 많이 걸리는 모든 것은 개발자가 우회 방법이나 편법을 찾게 만듭니다. Workday가 SCW에 대해 주목한 점은 개발자가 프로세스를 명확하게 이해하고, 주도적으로 참여하며, 이를 자신의 워크플로우에 통합할 수 있게 해주었다는 것입니다.

실행 가능성과 가치

개발자는 무엇보다도 코드베이스나 수명 주기에 영향을 미치는 문제를 즉시 해결하고 싶어 합니다. 이를 위해서는 개발자가 해결 방법을 교육받아야 합니다. 개발자가 보안과 같은 분야에 관심을 갖게 하려면 이러한 주제의 가치를 강조해야 합니다.

프로그램 구조화와 관련하여, Alex와 그의 팀은 먼저 보안 챔피언 파일럿 그룹으로부터 플랫폼에 대한 피드백을 수집하고 고객 성공 관리자와 협력하여 제안 사항을 구현했습니다. 그런 다음 Alex와 팀은 SAST 도구와 사고 및 보안 이벤트 수에 대한 다양한 지표를 검토하여 현재 환경에서 가장 높은 위험이 무엇인지, 업계 전반에서 어떤 일이 일어나고 있는지 평가했습니다. 그들은 초기에는 OWASP 10대 취약점과 Workday에서 가장 흔하고 위험도가 높은 취약점에 집중했습니다.
‍

“개발자에게 학습과 자율성을 부여함으로써 SCW는 우리가 소프트웨어 보안을 적극적으로 개선할 수 있게 해주었습니다. 이는 단순히 코드를 작성하는 것뿐만 아니라 성장과 커리어 기회에 관한 것이기도 합니다. Workday가 보안 프로그램을 지원하는 이유는 전사적으로 공감대가 형성된 분야이기 때문이며, 덕분에 개발자들은 학습과 개발을 위한 시간을 확보할 수 있었습니다. 일주일에 두 시간씩 꾸준히 학습하는 것은 근육 기억을 형성하는 데 도움이 됩니다.”
‍

성과

전통적으로 보안은 개발 프로세스의 마지막 단계에서 고려하기 쉽습니다. 이제 Workday의 개발자들은 보안 팀과 협력하며 보안을 개발 주기의 중요한 구성 요소로 인식하고 있습니다. 그들은 SDLC 초기 단계에서 보안 항목을 신속하게 처리할 수 있게 되었으며, 이것이 프로그램의 가장 큰 성과였습니다. 더블린에 위치 한 한 팀의 경우, 개발자들이 18개월 동안 보안 문제를 4,662건(하루 평균 약 31.08건)에서 0건으로 줄였습니다.

Alex는 프로그램의 성장을 이렇게 설명했습니다. “보안 챔피언들을 중심으로 시작한 후 눈덩이처럼 불어나는 효과를 보았습니다. 프로그램과 그 이점을 리더십 팀에 알리고 참여자를 계속 늘려가면서 입소문을 통해 자연스러운 성장을 경험했습니다. 교육 측면에서 우리의 목표는 개발자가 안전하게 코드를 개발하는 데 필요한 기술을 제공하는 것입니다. 이는 Workday가 계속 성장함에 따라 더욱 중요해지고 있습니다.”

핵심 요약

Alex에 따르면, “보안을 성공적으로 확장하려면 개발자가 소프트웨어 개발 설계 단계에서 보안 위험을 식별할 수 있는 보안 마인드셋을 갖추는 것이 필수적입니다. 이는 개발자가 시간과 비용을 절약하고 불필요한 고생을 줄이도록 돕는 우리의 ‘시프트 레프트(shift left)’ 이니셔티브와 일치합니다. 보안 코드 학습을 잘할수록 스캔 및 모의 해킹 결과에서 발견되는 취약점은 줄어듭니다.”

개발자에게는 보안을 학습할 때 즐거움을 느끼는 것이 중요합니다.
SCW는 보안 학습이 얼마나 흥미로울 수 있는지 잘 보여줍니다. 보안 학습에 참여한다면 이를 완전히 받아들이세요. 이를 개발 프로세스의 일부이자 커리어 성장의 일부로 생각하십시오.

‍보안에 대해 궁금한 점이 있다면 팀에 문의하도록 개발자들을 독려하세요.
대화를 나누고 협업을 시작하세요.‍

보안을 블랙박스로 취급하거나 프로젝트에 덧붙이는 방식은 구시대적이며 결과적으로 소프트웨어에 해를 끼칩니다.
TDD, 애자일, 린팅을 수용하는 것과 마찬가지로 보안을 개발 프로세스의 일부로 받아들이면 소프트웨어의 흐름이 개선되고 고객에게 제공되는 소프트웨어의 품질이 향상될 것입니다.