애플리케이션 보안을 위한 "개발자를 첫 번째 방어선으로" 접근하는 호주 은행들

호주 보안 소프트웨어 전도사이자 호주 스타트업 시큐어 코드 워리어(Secure Code Warrior)의 공동 창업자인 피터 단히욱(Pieter Danhieux)에 따르면, 호주 은행들이 소프트웨어 개발자들의 강력한 보안 의식을 고취하는 데 앞장서고 있습니다.

단히욱은 호주 6대 은행 중 5곳이 현재 시큐어 코드 워리어의 온라인 자기 주도형 게임 기반 학습 환경을 통해 개발자들의 보안 코딩 역량을 강화하고 있으며, 실시간 지표와 보고서를 검토하여 개발자와 팀의 강점 및 약점을 파악하고 있다고 전했습니다. 2016년 8월 한 주요 은행과의 첫 계약을 시작으로 이후 4곳의 은행과 추가 계약을 체결했습니다.

"전통적인 은행들은 비전통적 경쟁사들로부터 시장 출시 속도를 높이고 품질을 개선하며 유연성을 증대하라는 강력한 압박을 받아왔습니다. 이로 인해 보안을 희생하면서 기능과 특징을 빠르게 개발하는 데 초점을 맞춘 애자일(Agile) 개발 프레임워크를 도입하게 되었습니다"라고 단히욱은 말했습니다.

"데이터 유출 사고의 평균 비용은 현재 360만 달러에 달하며, 기업이 피해를 입을 확률은 4분의 1에 이릅니다. 전 세계 주요 보안 사고의 대부분은 코딩 오류로 인해 발생하며, 이는 해커들이 컴퓨터 네트워크에 대한 권한을 획득하여 중요한 데이터를 탈취할 수 있게 만듭니다"라고 그는 덧붙였습니다.

단히욱은 카타르 국립은행, 브이텍(VTech), 모삭 폰세카(파나마 페이퍼스), 톡톡(TalkTalk) 등 해커들이 소프트웨어 보안 관행의 허점을 이용했던 최근의 사례들을 언급했습니다.

오랜 기간 윤리적 해커로 활동해 온 단히욱은 SANS 인스티튜트의 수석 강사이자 AISA 선정 2016년 올해의 사이버 보안 전문가로서, 많은 기술 기업과 금융 서비스 기관들이 채택하고 있는 '보안을 처음부터 통합하는 애자일 개발 방법론'을 강력히 지지합니다.

"애자일 개발로의 전환은 기업과 고객에게 속도 측면에서 큰 이점을 주지만, 보안 취약점 예방과 관련해서는 새로운 과제를 안겨주었습니다. 이제 모든 개발자는 보안을 자신의 DNA에 내재화하여 속도를 유지하면서도 수정 비용이 많이 드는 보안 버그를 줄여야 합니다."

시큐어 코드 워리어는 2015년 시드니와 런던에서 설립되었습니다. 단히욱과 그의 사업 파트너 존 피츠제럴드, 그리고 세 명의 호주 사이버 보안 전문가들은 소프트웨어 개발자들이 보안을 업무의 핵심 책임으로 받아들이도록 돕고자 이 회사를 시작했습니다.

"현재의 애플리케이션 보안 도구들은 소프트웨어 개발 수명 주기(SDLC)에서 오른쪽에서 왼쪽으로 이동하는 데 집중하고 있습니다. 이는 작성된 코드의 취약점을 탐지하고 수정하는 사후 대응 방식입니다. 우리는 SDLC의 가장 왼쪽 단계에 집중하여 개발자를 조직의 첫 번째 방어선으로 만들고, 취약점이 애초에 발생하지 않도록 예방하는 데 도움을 줍니다"라고 단히욱은 말했습니다.

빠르게 성장 중인 이 스타트업은 현재 시드니, 런던, 벨기에, 보스턴에 사무소를 두고 있으며 9개국에서 주요 금융 서비스, 통신 및 기술 기업 고객을 확보하고 있습니다. 현재 1만 명의 활성 사용자를 보유하고 있으며, 지난 6개월 동안 고객 수는 두 배, 매출은 세 배 증가했습니다.

호주 사이버 보안 성장 네트워크(AustCyber)의 CEO인 크레이그 데이비스는 이러한 실습 중심의 증거 기반 교육이 애플리케이션을 개발하는 조직의 필수 활동이 될 것이라고 예측합니다.

"처음부터 안전하게 코딩하는 기업은 위험을 크게 줄일 뿐만 아니라 제품 혁신 과정에서 발생하는 막대한 비용과 지연을 제거할 수 있습니다"라고 데이비스는 말합니다.

단히욱은 호주 은행들이 위험의 실체를 인식하고 신속하게 노출을 줄여온 점에 깊은 인상을 받았습니다. "전 세계적으로 시큐어 코드 워리어를 도입하는 신규 고객의 속도를 보면, 금융 서비스 기관들이 모든 코드 라인에 보안 우수성을 구축하는 것의 중요성을 깨닫고 있으며, 시큐어 코드 워리어가 이 과제를 신속하고 지속 가능하게 해결할 수 있는 쉬운 솔루션임을 인정하고 있다는 점이 분명합니다."

‍