Kamer van Koophandel: 대규모 개발자 주도 보안

핵심 요약

Kamer van Koophandel(KVK)은 업계의 모범이 되는 현대적이고 개발자 우선적인 보안 프로그램을 구축했습니다. KVK는 Secure Code Warrior와의 파트너십을 통해 일상적인 개발 워크플로우에 보안 코딩 관행을 내재화하고, 조직 전반에서 수용되는 체계적인 인증 프로그램을 수립했으며, 보안에 대한 능동적이고 개발자 주도적인 접근 방식의 힘을 입증하는 측정 가능한 위험 감소 성과를 달성했습니다. 주요 내용은 다음과 같습니다.

"우리는 이미 탄탄한 보안 기반을 갖추고 있었지만, 이를 한 단계 더 발전시켜 모든 개발자에게 보안을 제2의 천성으로 만들고 싶었습니다. 이것이 바로 우리가 Secure Code Warrior와 협력하여 교육을 전략의 핵심으로 삼고, 우리 팀이 처음부터 자신 있게 안전한 소프트웨어를 구축할 수 있도록 역량을 강화한 이유입니다."

– Sebastiaan Rijnbout, 개발 서비스 제품 책임자(Product Owner)

‍과제

개발자 우선의 보안 마인드셋 구축

네덜란드 상공회의소인 KVK는 네덜란드 전역의 기업가를 지원하는 데 중추적인 역할을 합니다. 기업, 법인 및 경제 활동에 종사하는 조직을 등록하는 공식 기관으로서 KVK는 투명성을 증진하고 비즈니스 생태계의 무결성을 강화합니다. KVK는 등록 업무 외에도 법률 및 규제 지침부터 금융, 최신 동향, 사이버 보안에 이르기까지 기업가에게 중요한 주제에 대한 유용한 정보와 조언을 제공합니다. 신뢰할 수 있는 데이터를 제공하고 국가 및 지역 경제 이해관계자들과 협력함으로써 KVK는 기업가가 성공할 수 있는 안전하고 정보가 잘 갖춰진 환경을 조성합니다. KVK가 애플리케이션 보안을 더욱 강화하기 위한 여정을 시작했을 때, 이미 모의 해킹을 포함한 기본적인 보안 조치를 갖추고 있었습니다. 이러한 조치가 유용한 통찰력을 제공했지만, KVK는 개발 수명 주기 초기에 보안을 확장하고 개발자가 위험 감소에 대한 주도권을 갖도록 할 기회를 포착했습니다.

2022년, KVK는 Secure Code Warrior를 선정하고 개발자 중심의 접근 방식을 취한 첫 번째 보안 코딩 교육 이니셔티브를 시작했습니다. 개발자들의 참여를 유도하기 위한 풀뿌리 노력으로 시작된 이 활동은 곧 경영진과 CISO 사무국의 지원을 받는 부서 간 프로그램으로 발전하여, 보안 개발을 단순한 열망에서 조직의 표준으로 탈바꿈시켰습니다.

해결책

단순한 프로그램이 아닌 문화 구축

CISO의 후원 아래, KVK의 보안 소프트웨어 개발 수명 주기 팀은 Secure Code Warrior와 협력하여 조직 전체의 전략을 정의하고 다음과 같은 필수 역할 기반 인증 프로그램을 구축했습니다.

KVK는 Secure Code Warrior 플랫폼의 유연성을 활용하여 고유한 조직적 요구에 맞춘 인증 프로그램을 만들었습니다. 교육 프로그램을 특정 역할에 매핑하여 신입 사원은 OWASP Top 10 인식 교육부터 시작하고, 숙련된 엔지니어는 실제 워크플로우에 매핑된 고급 시나리오 기반 연습을 수행합니다. 챔피언급 개발자는 동료를 멘토링하고 지식을 공유하며 팀 전반에 걸쳐 보안 전문성을 확장하도록 돕습니다. KVK의 프로그램에는 기술을 최신 상태로 유지하기 위한 연례 재인증이 포함되어 있으며, 조직이 계속해서 범위를 확장하고 AI 기반 취약점 및 새로운 위협과 같은 새로운 위험에 적응함에 따라 전체 구현이 진행 중입니다.

“인증을 개발 프로세스에 통합한 것은 전환점이었습니다.” Sebastiaan은 말했습니다. “이는 모든 개발자에게 보안이 공동의 우선순위이자 우리가 소프트웨어를 구축하는 방식의 자연스러운 일부임을 보여주었습니다. Secure Code Warrior와 함께라면 학습은 일회성 이벤트가 아니라 지속적이고 맥락적이며, 우리의 일상적인 개발 문화에 매끄럽게 녹아들어 있습니다.”

결과: 교육은 관련성이 높고 달성 가능하며 개발자의 일상 업무와 직접적으로 연결되었습니다. 2024년 초까지 KVK 개발자의 90%가 기초 수준 인증을 획득했으며, 이는 전략과 개발자 주도 보안을 향한 문화적 변화를 모두 입증하는 이정표가 되었습니다.

성과

실질적인 영향, 측정 가능한 진전

Secure Code Warrior와 함께한 KVK의 보안 개발 투자는 강력한 성과를 거두었습니다.

KVK는 조직의 보안 코딩 관행에 대한 헌신도를 주요 보안 지표를 바탕으로 측정하는 벤치마크인 SCW Trust Score®를 활용합니다. 6개월 동안 KVK의 Trust Score는 크게 상승하여 전 세계 상위 12% 조직에 이름을 올렸습니다.

“SCW Trust Score는 위험 요소가 어디에 있는지, 그리고 가장 중요한 교육 분야에 어떻게 집중해야 할지에 대한 명확하고 데이터 중심적인 가시성을 제공합니다.” Sebastiaan이 설명했습니다. “단순한 벤치마크를 넘어, 우리가 성과를 입증하고 안전한 개발이 가진 실질적인 비즈니스 가치를 증명할 수 있도록 돕는 로드맵입니다.”

KVK는 Secure Code Warrior와의 파트너십을 통해 개발자 주도 보안의 새로운 표준을 정립했습니다. 강력한 리더십, 명확한 전략, 측정 가능한 성과를 결합하여 안전한 개발을 핵심 비즈니스 역량으로 탈바꿈시켰으며, 이는 규정 준수 요구 사항을 충족할 뿐만 아니라 업계의 모범 사례가 되었습니다. ISO 27001/27002 인증 표준에 맞춘 SCW의 보고 기능을 통해 KVK는 감사 과정에서 프로그램의 효과를 검증하며, 안전한 개발이 단순한 권장 사항이 아닌 필수 요건임을 입증하고 있습니다.

KVK는 인증 프로그램을 엔지니어링 부서 너머로 확장하여 QA 테스터, DevOps, 로우코드 개발자까지 포함함으로써 조직 전체가 보안에 대한 책임을 공유하도록 강화할 계획입니다. 또한 개발자가 GitHub Copilot과 같은 도구를 사용하면서 안전하게 코딩할 수 있도록 SCW의 AI/LLM 중심 콘텐츠를 도입하고, SCW 전문 서비스 팀과 협력하여 Trust Agent 도입을 최적화할 예정입니다. 이러한 노력은 안전한 코딩이 개발자뿐만 아니라 조직 전체의 공동 책임이 될 때 어떤 성과를 낼 수 있는지 잘 보여줍니다.

“Secure Code Warrior와의 파트너십은 원활하고 생산적이었습니다.” Sebastiaan이 말했습니다. “그들은 우리가 교육 프로그램을 구현하고 개선하도록 도와주었으며, 그 결과 측정 가능한 위험 감소와 더 강력한 보안 개발 문화를 구축할 수 있었습니다.”

Secure Code Warrior와 함께 KVK는 안전한 개발을 위한 탄탄한 기반을 마련했으며, 이제 막 시작 단계에 있습니다.