Secure Code Warrior 연구: 주요 기반 시설 산업의 Secure-by-Design 개발자 준비 태세 진전 상황

Paladin Global Institute와 공동으로 진행한 새로운 분석에 따르면, Secure-by-Design(설계 단계부터 보안 적용)의 진척도를 정확히 측정하기 위해서는 개발자 역량 강화가 필수적인 것으로 나타났습니다 

‍

보스턴 – 2024년 10월 15일 - 오늘, Secure Code Warrior는 개발자 중심의 글로벌 보안 선도 기업으로서, 개발자 역량 강화가 조직의 Secure-by-Design(SBD) 이니셔티브에 미치는 영향에 대한 새로운 연구 결과를 발표했습니다. 2024년 4월 이후, Secure Code Warrior를 포함한 200개 이상의 기업이 Secure-by-Design 서약에 동참했습니다. 이번 분석에 따르면 금융 서비스, 국방, 의료, IT 등 주요 기반 시설 산업 분야의 조직들이 SBD 이니셔티브를 추진하기 위해 개발자 역량을 강화하는 데 진전을 보이고 있습니다. Secure Code Warrior는 이들 산업의 개발팀이 SCW Trust Score(개발팀의 보안 역량을 정량화하는 글로벌 벤치마크)를 기준으로 측정했을 때, 다른 산업군보다 높은 수준의 보안 태세를 갖추고 있음을 확인했습니다.

최고정보보호책임자(CISO)들은 SBD 이니셔티브 초기 단계에서 실질적인 투자 수익률(ROI)을 입증하는 데 점점 더 큰 어려움을 겪고 있습니다. 최근 몇 년간 조직이 업계 표준에 맞춰 어떻게 나아가고 있는지 평가할 벤치마크가 없다는 점이 주요 과제였습니다. Secure-by-Design 이니셔티브를 성공시키기 위해서는 개발자에게 안전한 코드를 작성할 수 있는 기술을 제공할 뿐만 아니라, 해당 기술이 제대로 갖춰져 있음을 업계 및 정부 규제 기관에 보증하는 것이 핵심입니다.

Paladin Capital Group의 수석 전략 고문이자 전 국가사이버국장인 크리스 잉글리스(Chris Inglis)는 "이제 그 어느 때보다 SBD 역량 강화 프로그램을 마련해야 할 국가적 책임이 있습니다."라고 말했습니다. "이번 분석의 핵심은 위험 감소에 있으며, Secure Code Warrior는 개발자 보안 학습을 강화하고 사이버 공격을 예방하며 국가의 주요 기반 시설을 보호하는 데 앞장서고 있습니다."

주요 결과: 전 세계 600개 이상의 기업 고객과 25만 명 이상의 현직 개발자로부터 얻은 2천만 개 이상의 데이터 포인트를 바탕으로 한 Secure Code Warrior의 주요 기반 시설 산업 개발자 역량 강화 분석 결과는 다음과 같습니다.

• 현재 개발자 중심의 SBD 역량 강화 이니셔티브에 참여하고 있는 개발자의 수는 전 세계 전체 개발자의 4% 미만입니다.
• 금융 서비스 산업과 같은 특정 주요 기반 시설 분야는 SCW Trust Score로 측정했을 때 비기반 시설 평균 대비 가장 높은 보안 태세를 갖추고 있었습니다. 예를 들어, 금융 서비스 분야의 평균 Trust Score는 336점이었습니다.
• 놀랍게도 규정 준수 및 규제 요구 사항이 있음에도 불구하고, 금융 서비스 분야는 다른 여러 주요 기반 시설 분야와 유사한 보안 태세를 보였습니다.
• 대규모 및 소규모 Secure-by-Design 역량 강화 이니셔티브 모두 성공할 수 있으며, 연구에 따르면 소규모 이니셔티브가 더 빠르게 시작하고 진행될 수 있습니다. 그러나 이러한 이니셔티브가 성공하여 측정 가능한 투자 수익률(ROI)을 조기에 달성하려면 반드시 의무화가 뒷받침되어야 합니다.
• 역량 강화 이니셔티브가 확고히 자리 잡으면 개발자가 애플리케이션에 도입하는 위험이 상당히 줄어듭니다. 분석 결과, 대규모 역량 강화 이니셔티브(단일 기업 내 7,000명 이상의 개발자)에 참여하는 개발자는 취약점을 47~53%까지 예측 가능하게 줄일 수 있는 것으로 나타났습니다.

Secure-by-Design은 전 세계적으로 추진력을 얻고 있으며, 각국은 이를 자국의 광범위한 사이버 보안 전략에 유사한 지침으로 포함하고 있습니다. 그러나 개발자에게 안전한 기본 설정을 제공하고 보안을 이해하는 소프트웨어 개발 인력을 육성하는 것은 개발자 기술 벤치마크를 뒷받침할 적절한 데이터 포인트 없이는 달성하기 어렵습니다. 확립된 기준을 바탕으로 개발자가 직면한 실제 문제를 해결하는 실습 세션을 통해 민첩한 역량 강화 프로그램을 운영한다면 개발자들의 공감을 얻을 수 있을 것입니다.

Paladin Global Institute 회장이자 전 국가사이버국장 대행인 켐바 월든(Kemba Walden)은 "전례 없는 글로벌 사이버 위협 속에서 이번 연구 결과는 디지털 인프라 전반에 걸쳐 SBD 이니셔티브를 강화하여 치명적인 취약점을 줄여야 할 필요성을 보여줍니다."라고 말했습니다. "이번 연구는 인력 역량 강화와 주요 사이버 보안 목표 달성을 위한 벤치마크 마련을 촉구하는 분명한 행동 지침입니다."

Secure Code Warrior의 공동 창립자이자 CTO인 마티아스 마두(Matias Madou)는 "기준과 벤치마크는 안전한 코딩을 조직의 DNA로 만들어 보안 태세를 크게 최적화할 수 있습니다."라고 말했습니다. "SBD 이니셔티브가 실질적인 진전을 이루고 있는지 확인하려면 개발자 역량 강화 노력이 효과적이며, 보안 모범 사례가 업무 습관에 녹아들고 있다는 정량적 증거가 필요합니다. 개발자가 진정으로 코딩할 자격을 갖추었는지에 대한 완전한 확신이 있어야 합니다."

많은 보안 리더들은 기업 보안 프로그램의 대부분, 특히 지속적인 역량 강화와 개별 인력 평가를 포함하는 요소들을 확장하는 것이 어렵다고 지속적으로 강조합니다. 이는 타당한 우려이지만, 개발자가 검증된 보안 기술을 갖추어야 한다는 전 세계적인 법률 개혁과 지침이 잇따르는 상황에서 반드시 극복해야 할 과제입니다. 전 세계 많은 조직이 이미 행동에 나서 대규모 역량 강화 이니셔티브를 구현하고 있으며, 상당한 성과를 거두고 있습니다.

Secure Code Warrior의 최신 분석 및 SCW Trust Score에 대해 자세히 알아보려면 여기를 클릭하세요.

‍

Secure Code Warrior 소개:

Secure Code Warrior는 디지털 세상을 안전하게 지키는 표준을 제시하는 보안 코딩 플랫폼입니다. 우리는 개발자가 소프트웨어 보안 원칙을 학습하고, 적용하며, 유지할 수 있도록 가장 효과적인 보안 코딩 솔루션을 제공하는 세계 최고의 애자일 학습 플랫폼을 운영합니다. 600개 이상의 기업이 Secure Code Warrior를 신뢰하여 애자일 보안 학습 프로그램을 구현하고 출시하는 애플리케이션의 취약점을 제거하고 있습니다.

Secure Code Warrior에 대한 자세한 정보는 www.securecodewarrior.com에서 확인하실 수 있습니다.