‘Game of Codes’가 이끄는 IAG 그룹의 더 안전한 코딩 미래

IAG 그룹은 아시아 태평양 지역의 여러 선도적인 보험사를 이끄는 기업으로, 매년 약 114억 호주 달러 규모의 보험료를 인수하며 수백만 고객에게 보험 서비스를 제공하고 있습니다. 비앙카 워스(Bianca Wirth)는 IAG 그룹의 기업 보안 교육 및 인식 관리자입니다. 개발 팀 내에서 철저한 보안 인식과 실천의 필요성을 깊이 이해하고 있던 그녀는 팀원들이 필수적인 보안 코딩 기술을 배울 수 있는 진정으로 혁신적이고 최적화된 환경을 조성하기 시작했습니다.

도입: 게임 오브 코드(Game of Codes)

과제

개발자들은 종종 여러 결과물과 프로젝트를 동시에 진행하느라 시간에 쫓기곤 합니다. 하지만 보안 모범 사례를 최신 상태로 유지하는 것은 모든 조직에 있어 매우 중요하며, 특히 수백만 명의 민감한 고객 데이터를 해커로부터 보호해야 하는 기업에게는 더욱 그렇습니다. 비앙카와 그녀의 팀은 사이버 보안 이니셔티브를 더욱 강화하기 위해 명확한 목표를 설정했습니다. 그들은 IAG가 개발한 애플리케이션의 공격 표면을 최소화하는 것을 최우선 과제로 삼았으며, 이를 위해 개발자들이 중요하고 위험도가 높은 취약점을 식별하고 수정하도록 교육하는 방식을 택했습니다. 기존의 긴 보안 코딩 교육 과정은 존재하지만, 이는 번거롭고 지루할 수 있으며 엄격한 마감 기한을 지켜야 하는 개발 프로젝트에서 핵심 인력을 빼내야 하므로 비즈니스 전반에 부담을 줍니다. 업무와 운영에 미치는 영향을 최소화하면서 개발 팀의 역량을 빠르게 향상해야 할 필요성이 분명해졌습니다. 또한 호주와 뉴질랜드 전역에 흩어져 있고 서로 다른 시스템을 다루는 개발자들을 대상으로 하는 것은 결코 쉬운 일이 아니었습니다.

“올해 저는 소스 코드를 수정하여 SQL 인젝션 취약점을 제거했습니다. 이 성과는 '게임 오브 코드' 덕분입니다. 보안 코딩을 항상 염두에 두는 것만으로도 큰 도움이 됩니다. 이 대회는 사람들이 최선을 다하도록 독려하는 좋은 방법입니다. 솔직히 말해서 보안은 모두가 즐거워하는 주제는 아니니까요. 그래서 사람들의 참여를 끌어내기에 아주 좋은 방식입니다.” R, IAG 개발자

실행

비앙카는 팀 및 Secure Code Warrior와 협력하여 게임화된 교육 경험을 도입하는 전략을 세웠고, 사내 개발자들의 역량을 강화하기 위한 토너먼트와 교육을 실행했습니다. 이를 위해 탄탄한 커뮤니케이션 전략을 수립하는 것은 물론, 완전히 새로운 플랫폼을 도입하고 이를 최대한 활용하는 과정에서 직원들이 가진 다양한 동기와 성향을 고려하는 것이 필수적이었습니다.

“우리는 직원과 주요 이해관계자들에게 알아야 할 핵심 사항, 주요 메시지, 그리고 참여를 유도하기 위한 인센티브를 어떻게 전달할지에 대한 커뮤니케이션 계획을 설계했습니다. 대부분의 사람들은 게임화된 경험을 정말 즐깁니다. 이는 개인의 성향, 동기, 그리고 무엇이 그들을 움직이게 하는지에 따라 다릅니다. 그래서 우리는 사람들의 다양한 동기를 충족시키기 위해 노력했습니다. 어떤 이들은 상품을 좋아하고, 어떤 이들에게는 성취감 자체가 충분한 요소가 되기도 합니다.” 그녀가 말했습니다.

비앙카와 IAG는 Secure Code Warrior의 게임화된 학습 플랫폼을 전문적으로 선보이며, 토너먼트를 '게임 오브 코드'라는 재미있는 경쟁 경험으로 탈바꿈시켰습니다. 직원들은 중세 테마의 가문으로 나뉘어(브랜드 굿즈까지 제공됨) HBO 드라마의 제목을 딴 전투만큼이나 치열한 대결을 펼쳤습니다.

이 토너먼트는 국제적인 무대로까지 확장되어 곧 호주 대 뉴질랜드 매치업이 시작될 예정입니다. 이를 통해 IAG는 양국 전역에서 최고의 보안 챔피언을 발굴하고 팀들이 함께 역량을 키워나갈 수 있도록 보장하고 있습니다.

결과

게임 오브 코드는 사실상 전문화된 교육 프로그램입니다. 대화형의 재미있는 토너먼트 방식으로 진행되어 직원들이 다양한 방식으로 몰입할 수 있었지만, 이 활동의 핵심 실용성은 그대로 유지되었습니다. 바로 개발자들에게 IAG가 개발한 애플리케이션의 고위험 취약점을 식별하고 차단하는 데 필요한 기술을 제공하는 것입니다.

개발자와 보안 팀 모두가 보안을 최우선으로 생각하는 사고방식을 갖추고, 취약점을 단순히 식별하는 것을 넘어 처음부터 수정할 수 있는 역량을 갖추게 함으로써, IAG는 비용이 많이 드는 모의 해킹 횟수를 줄이고 이를 수행하는 팀의 부담을 덜 수 있을 것으로 기대하고 있습니다.

이러한 필수 역량이 지속적으로 개발되는 것 외에도, 게임 오브 코드는 관계 구축에도 기여했습니다. 참여 팀 간에 동료애와 건전한 경쟁심을 불어넣었으며, 점수 기반의 토너먼트 환경에서 자신의 능력을 측정해 봄으로써 개인들이 보안 코딩 능력에 대해 더 큰 자신감을 느끼도록 도왔습니다.

비앙카는 경영진으로부터 긍정적인 반응을 얻는 등 프로그램에 대한 내부 지원이 엄청났다고 밝혔습니다. 이는 또한 프로그램을 홍보하고 조직 내 보안을 옹호하고자 하는 개인들이 참여할 수 있는 앰배서더 프로그램으로 이어졌습니다.

“일부 개발자들에게는 환상적인 노출의 기회였고, 그들의 기술을 훌륭하게 홍보할 수 있었습니다. 그들은 자신의 업무에서도 그 혜택을 얻고 있으며, 이는 매우 중요한 성과입니다.”

게임 오브 코드는 단순히 '게임'에 그치거나 부서 관리자들이 규정 준수 교육을 처리하는 더 즐거운 방식에 머무르지 않습니다. 이 프로그램은 보안 초보자를 빠르게 보안 챔피언으로 변화시키는 높은 유지력과 참여형 솔루션을 제공하며, 이는 대규모 보안 사고의 위험을 최소화하는 데 필수적입니다.

비앙카가 전하는 마지막 조언입니다.

“어떤 프로그램을 도입하면서 사람들이 알아서 잘 쓰겠지라고 생각하면 절대 성공할 수 없습니다. 변화를 유도하고 동기를 부여할 수 있는 체계적인 프로그램을 함께 설계해야 하죠. 저희가 만든 것은 본질적으로 보안에 초점을 맞춘 개발자 변화 관리 프로그램이었습니다.”

“Game of Codes 교육 세션을 마친 후, 보안에 더 큰 관심을 갖게 되었고 자동화 테스트를 작성할 때도 보안을 먼저 고려하게 되었습니다. 애자일 팀의 시니어 테스터로서 이번 교육은 보안 테스팅을 더 깊이 공부하고 전문 분야로 삼고 싶다는 동기를 부여해 주었습니다.” A, IAG 시니어 테스터

핵심 요약

• IAG는 게임화된 학습 외에도 개발자 채용 시 Secure Code Warrior를 역량 평가 도구로 활용하고 있습니다.
• 현재 전체 개발팀을 대상으로 프로그램 도입을 진행 중이며, 이미 55%가 시스템을 활발히 이용하고 있습니다.
• 또한 내부 핵심 지표를 개발하여 시간이 지남에 따라 리스크를 최소화하고 비용을 절감하는 프로그램의 성과를 측정하고 있습니다.
  ‍