하나의 보안 문화: Sage는 어떻게 챔피언 프로그램을 구축했는가

Sage는 급여, 인사, 재무 분야에서 사용하기 쉽고 간편한 소프트웨어와 서비스를 기업에 제공하는 영국의 다국적 엔터프라이즈 소프트웨어 기업입니다. 2017년 기준 영국에서 두 번째로 큰 기술 기업이자 세계 3위의 전사적 자원 관리(ERP) 소프트웨어 공급업체이며, 전 세계 600만 이상의 고객을 보유한 중소기업 대상 최대 공급업체입니다.

상황

Secure Code Warrior와 협력하기 전, Sage는 약 10년 동안 보안 챔피언 네트워크를 구상해 왔습니다. 보안 중심 개발자들로 구성된 탄탄한 네트워크에도 불구하고, 교육은 산발적이었으며 위험 감소에 초점을 맞춘 체계적인 방식이 아니었습니다.

Sage는 유연한 접근 방식을 통해 시간을 두고 관계를 구축하고 보안을 내재화하는 것이 중요하다는 점을 인식했습니다. Sage의 프로그램은 목표를 위험 감소 및 그에 따른 실질적인 영향력과 연계했습니다. 특정 사업부에서 프로그램을 시범 운영할 때, 그들은 위험 감소를 측정하고 이를 경영진에게 보고하여 개발자와 고위 경영진의 동의를 얻는 데 집중했습니다.

실행

Sage의 피플 중심 보안 책임자인 Mads Howard는 개발자들과 협력하여 보안 챔피언의 페르소나를 파악했습니다. 그녀는 각 사업부의 개발자들을 만나 인터뷰를 진행하며 그들의 동기, 선호하는 학습 방식, 업무상 한계점 등을 이해했습니다. 그녀와 그녀의 팀은 개발자 및 팀 리더들과 관계를 구축하고 유연한 접근 방식의 중요성을 강조하기 위해 노력했습니다.

Mads는 관계 구축 중심의 접근 방식을 강조합니다.

“우리는 개발 팀 리더, 엔지니어링 팀 리더, 제품 관리자 등 스프린트 주기 동안 교육에 할애할 시간을 결정하는 사람들과 관계를 구축하는 데 많은 시간을 투자했습니다.”

Mads에 따르면, 핵심은 보안 챔피언 네트워크를 확장하는 것이었습니다.

“보안 챔피언 네트워크는 프로그램의 핵심 통제 수단으로 간주되었습니다. 따라서 제품이 이 프로그램을 통과하려면 보안 챔피언을 임명하는 역할을 진지하게 받아들이고, 그들에게 탄탄한 보안 교육을 제공해야 했습니다.”

Sage 글로벌 보안 팀의 목표는 복잡한 기술 환경에 있는 개발자들의 학습 요구 사항을 고려한 보안 통제 프로그램을 구현하고, 취약점 관리를 지원하기 위해 기존 보안 도구와 함께 작동하는 파트너를 선택하는 것이었습니다.

교육을 성숙한 보안 통제 프로그램의 중요한 측면으로 인식시키는 것이 중요했습니다. 그들은 다음과 같은 지표를 통해 위험 감소를 측정하는 데 집중했습니다.

• 위험 점수 개선
• 취약점 경과 시간, 취약점 백로그 감소
• 해결 시간
• 종료된 취약점 대 미해결 취약점 비율
• Sage가 직접 작성한 코드 라인당 문제 수(타사 코드 제외)

Mads는 다음과 같이 말합니다.

“Sage의 다음 단계는 개발자 워크플로우에 내재된 보안 코딩 프로그램을 통한 역량 강화가 측정 가능한 위험 감소를 가져온다는 것을 입증하는 것입니다.”

성과

Mads는 Secure Code Warrior가 그녀와 그녀의 팀에게 제공한 파트너십과 지도의 중요성을 강조했습니다.

“솔직히 말해서, Secure Code Warrior의 지원 없이는 여기까지 올 수 없었을 것이며, 다양한 기술을 다루는 여러 개발 팀에 걸쳐 이 정도 수준의 성숙도를 갖춘 프로그램을 구축하지 못했을 것입니다.”

Mads와 그녀의 팀이 인터뷰를 마치고 개발자들의 동의를 얻은 후, 그녀는 Secure Code Warrior를 더 넓은 보안 문화 프로그램의 일부로 구현하기 시작했습니다.

Mads에 따르면 그 결과는 다음과 같습니다.

“현재 Sage에는 200명이 넘는 보안 챔피언이 프로그램에 참여하고 있습니다. 보안 챔피언이 매주 3.5시간(업무 시간의 10%)을 기술 역량 강화에 투자한다면, 안전한 코딩 프로그램을 주도하고 지속적인 교육을 장려하며, 이를 통해 얻는 가치를 적극적으로 알릴 수 있습니다.”

고위 경영진의 지원과 위험 감소에 관한 측정 가능한 목표를 바탕으로, Mads는 단순히 플랫폼 참여 인원이나 학습 시간뿐만 아니라 취약점 해결 소요 시간, 취약점 경과 시간 등을 측정하기 시작했습니다. 또한 이를 고객을 위해 구축된 새로운 기능과 비교하여 취약점 감소에 대한 종합적인 관점을 제시할 수 있었습니다. 한 팀의 경우, 취약점 해결 평균 시간이 82% 단축되는 엄청난 성과를 거두었습니다.

하지만 Howard는 무엇보다 중요한 것은 정량화할 수 없는 가치, 즉 팀의 참여도와 헌신, 그리고 프로그램에 기꺼이 동참하려는 의지라고 덧붙였습니다.

핵심 요약

Sage의 사례는 체계적으로 계획되고 실행된 보안 교육의 중요성과 유연하고 통합된 접근 방식의 가치를 잘 보여줍니다. 이는 탄탄한 보안 코딩 프로그램을 구축하려는 모든 조직이 배워야 할 교훈입니다. Mads에 따르면, 성공적인 보안 통제 프로그램을 구현하고 보안을 기업 문화로 정착시키는 핵심은 개발자와 대립하는 것이 아니라 협력하는 것입니다.

• 보안 문화는 하루아침에 만들어지지 않습니다. 관계를 구축하고 보안을 조직에 내재화하기 위해 충분한 시간을 투자하고 자원을 할당하는 것이 중요합니다.
• 모든 활동을 위험 감소와 연결하고 보안 코딩 프로그램이 실질적으로 어떤 영향을 미치는지에 집중하세요.
• 위험 감소 성과를 측정하여 경영진에게 공유함으로써, 개발자와 경영진 모두에게 프로그램의 성공과 가치를 인정받을 수 있도록 하세요.

보안 챔피언이 되고자 하는 개발자들에게 그녀와 그녀의 팀은 다음과 같은 조언을 전했습니다:

• 보안에 관심 있는 사람들과 네트워크를 구축하고 컨퍼런스나 강연에 참여하세요. 관심 있는 주제를 깊이 있게 학습하는 데 시간을 투자하세요.
• 조직 문화는 하루아침에 바뀌지 않으며, 발전하고 성숙해지기까지 시간이 걸린다는 점을 기억하세요.

‍