보안 개발을 선도하는 전문가들의 인사이트

지난 몇 년은 사이버 보안 표준을 혁신했다고 해도 과언이 아닙니다. 필수 사항은 아니지만 모든 조직이 이를 준수하고 자체 내부 보안 프로그램의 일부인 것처럼 공급업체 보안 관행을 면밀히 조사하는 것이 목표여야 합니다.

Business leaders need to make room for SBOMs as a priority, especially with so much change in the air for vendors and their ownership of security. However, while we’re at it, perhaps we need to look at how they can be improved going forward.

시리즈 C 투자 유치 소식을 전해드린 데 이어, 저희 회사의 여정에 있어 또 하나의 중요한 발걸음을 내딛게 되어 매우 기쁩니다. 보안 업계의 선두 주자인 Synopsys가 자사 제품군에 새로운 혁신을 더했습니다. 바로 Secure Code Warrior 기반의 Synopsys 개발자 보안 교육(Synopsys Developer Security Training)입니다.

핵심 인프라, 자동차, 의료 기술 및 그 사이의 모든 것을 지원하는 코드를 개발하는 대부분의 개발자가 보안 능력을 먼저 확인하지 않고 작업을 한다는 것은 당혹스러워 보입니다.반면에, 안전하게 구축하는 방법을 이해하고 있다는 것을 수차례 입증한 보안 전문 개발자들이 모든 보안 게이트 때문에 계속 느려지는 개발 파이프라인에서 다른 사람들과 함께 줄을 서야 하는 이유는 무엇일까요?

코드 취약점과 기술 부채를 해결하는 데 드는 비용은 매우 높으며, 이는 소프트웨어 개발 팀의 생산성을 지속적으로 저하시키고 있습니다. 보안 코딩을 위한 애자일 학습 플랫폼을 도입하여 개발자에게 보안 코딩 기술을 효과적으로 교육함으로써, SDLC 초기 단계에서 취약점을 더 빠르게 수정하고 애초에 발생하지 않도록 예방하여 상당한 비용 절감 효과를 거두는 방법을 알아보세요. 이 블로그에서는 애자일 학습 플랫폼의 재무적 영향과 투자 수익률(ROI)을 고려하는 방법을 설명합니다.

당사는 시리즈 C 투자 유치를 성공적으로 마무리했다고 발표했습니다. 이번에 확보한 5,000만 달러는 더 많은 선도적 기업들이 개발자 역량을 활용하여 일반적인 보안 취약점을 효과적으로 방어할 수 있도록 돕는 당사의 다음 단계 미션을 수행하는 데 사용될 예정입니다.

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

보안 코드 학습을 위한 애자일 학습 플랫폼을 개발자 워크플로우와 도구에 통합하는 방법을 알아보고, 보안 코드 학습 문화를 구축해 보세요.

올해 초, PCI 보안 표준 위원회(PCI Security Standards Council)는 지불 카드 산업 데이터 보안 표준(PCI DSS) 버전 4.0을 발표했습니다. 기업들이 2025년 3월까지 4.0 버전을 완전히 준수할 필요는 없지만, 이번 업데이트는 역대 가장 큰 변화를 담고 있어 대부분의 기업이 복잡한 보안 프로세스와 기술 스택의 일부를 평가하고 업그레이드해야 할 것입니다. 이는 역할 기반의 보안 인식 교육과 개발자를 위한 정기적인 보안 코딩 교육을 도입하는 것 외에도 추가로 요구되는 사항입니다.

SDLC 초기 단계부터 보안 코딩을 시작하여 개발자의 역량을 강화하고, 위험을 줄이며, 장기적으로 기술 부채를 낮추는 애자일 학습 플랫폼에 대해 알아보세요.

엄격한 계층 구조 내에서 앱과 소프트웨어의 책임을 정의하고 이러한 정책을 최소 권한으로 적용함으로써 위협 환경에도 불구하고 앱과 소프트웨어가 생존하고 번창할 수 있도록 할 수 있습니다.

CISA의 국가 사이버 보안 전략은 전반적인 소프트웨어 표준을 높이고 마침내 보안 역량을 갖춘 개발자들의 새로운 시대를 열 수 있는 최고의 기회입니다.

2023년 3월 20일, 스프링 시큐리티 어드바이저리는 내부적으로 발견된 취약점인 CVE-2023-20860 취약점을 언급하는 블로그 게시물을 게시했습니다.'MVCMatchers' 사용과 관련된 액세스 제어 문제라는 점을 제외하고 자세한 정보는 공개되지 않았습니다.Spring 개발자들이 이 문제를 해결했으며 버전 업데이트가 권장됩니다.Secure Code Warrior에서는 보안이 주안점이기 때문에 MVCrequestMatchers의 취약점을 자세히 살펴보고 핵심 문제가 어디에 있는지 알아보기로 했습니다.

Secure Code Warrior의 CEO이자 공동 창립자인 Pieter Danhieux와의 CyberNews Q&A.

소프트웨어 개발 수명 주기에서 가장 큰 문제 중 하나는 개발자가 처음부터 코드를 안전하게 보호하는 방법을 배울 시간이 부족하다는 점입니다. 개발자들은 재작업과 수정에 수많은 시간을 낭비하고 있으며, 이는 수백만 달러의 기회비용 손실로 이어집니다. 신속한 보안 코딩이 어떻게 이러한 격차를 해소하고 생산성을 가속화할 수 있는지 알아보세요.

Secure Code Warrior의 새로운 기능: 코스를 관리하고 추가 콘텐츠를 탐색하는 새로운 방법을 경험해 보세요.

최근 디지털 분야의 총아로 떠오른 메타버스는 코드 수준의 취약점과 사회 공학적 해킹을 위한 방대한 공격 표면을 새롭게 만들어내고 있습니다. 하지만 우리는 허상 위에 세워진 이 새로운 전장에서 싸울 준비가 전혀 되어 있지 않습니다.

보안이 취약한 코드와 그로 인한 기술 부채를 해결하는 비용은 오늘날 기술 업계가 직면한 가장 큰 장애물 중 하나입니다. 확장 가능한 보안 코드 교육 프로그램을 도입하여 잘못된 코딩 패턴을 개선하고 소프트웨어 개발 주기 초기 단계에서 취약점을 탐지함으로써 기술 부채를 줄이는 방법을 확인해 보세요.

무엇이 안전한 코딩 행위인가에 대한 인식은 여전히 논쟁의 대상입니다. Evans Data와 협력하여 진행한 최근 연구를 통해 이러한 견해가 명확히 드러났습니다. '2022년 개발자 주도 보안 현황(State of Developer-Driven Security 2022)' 설문조사는 1,200명의 현직 개발자들이 경험한 핵심 통찰을 심층적으로 다루며, 보안 영역에서 그들이 가진 태도와 직면한 과제를 조명합니다.

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

이번 주, Secure Code Warrior가 창립 8주년을 맞이했습니다. 8년이라는 시간은 아폴로 11호 임무 기간의 350배이자, 축구 경기 45,000회, 또는 슈퍼 마리오 오디세이를 5,696번 엔딩까지 플레이할 수 있는 긴 시간입니다. 반면, 자이언트 거북의 수명(참고로 250년입니다)과 비교하면 30분의 1에 불과하기도 하죠. 급성장하는 스타트업의 세계에서 지난 8년은 수많은 우여곡절과 교훈, 그리고 성취로 가득 찬 여정이었습니다. 사업 계획서를 처음 작성하던 당시에는 상상조차 하지 못했던 일들이 참 많았습니다.

Secure Code Warrior에서는 개발자와 조직이 오늘날의 끊임없이 변화하는 보안 문제를 해결하는 데 필요한 적절한 기술을 갖추도록 돕기 위해 끊임없이 혁신하고 있습니다.조직에서 소프트웨어 개발 주기가 시작될 때 개발자 중심 보안을 통해 소프트웨어를 보호할 수 있도록 올해 발표된 리소스 및 지침뿐만 아니라 플랫폼의 주요 기능 및 업데이트를 모아 놓았습니다.

기술 스택이나 추가 교육 프로그램에 투자할 때는 누구나 좋은 투자 수익률(ROI)을 기대하지만, 보안 분야에서는 단순한 ROI 계산을 넘어 장기적인 관점에서 접근해야 합니다. 개발자 주도형 보안에 대한 투자가 어떻게 값비싼 보안 사고와 생산성 손실, 누적된 기술 부채를 방지할 뿐만 아니라, 오늘날의 위협 환경에서 앞서 나갈 수 있는 선제적이고 비용 효율적인 전략을 구축하게 해주는지 확인해 보세요.

유명 Orion 관리 소프트웨어의 업데이트 프로세스를 악용하여 주요 기업 및 정부 기관을 포함한 18,000명 이상의 사용자를 감염시킨 SolarWinds 사태와 같은 대규모 보안 침해 사고에 대응하여, 개발자 주도의 보다 효과적인 보안 노력에 대한 요구가 거세지고 있습니다. 모든 규모의 조직이 '소프트웨어 공급망'에 의문을 제기하기 시작했으며, 소프트웨어를 개발하는 개발자들에게 검증된 보안 기술과 인식을 갖출 것을 요구하고 있습니다.

탄탄한 기술 스택의 중요성은 누구나 잘 알고 있습니다. 코드의 취약점을 찾아 해결하고, 평균 복구 시간을 단축하며, 신뢰할 수 있는 강력한 솔루션을 활용하는 것이 바로 Secure Code Warrior 통합의 목표입니다. 개발자의 워크플로우에 마이크로 러닝을 도입하는 것이야말로 더 나은 학습과 신속한 문제 해결의 핵심입니다.

요즘 거의 모든 개발팀은 어떤 형태로든 규정 준수 교육을 실시합니다. 이는 기업이 업계 프레임워크나 정부 규정의 테두리 안에서 운영되도록 보장하기 위한 초기 인증 과정의 일부일 수도 있고, 연례 필수 교육이나 검토의 일환일 수도 있습니다. 조직이 기본적인 규정 준수 요건을 충족하지 못하면 직원들이 현실적으로 업무를 수행할 수 없기 때문에, 이는 매우 중요한 단계입니다.

개발자가 취약점을 효과적으로 줄이려면 취약점이 어떻게 작동하는지, 왜 위험한지, 어떤 패턴이 취약점을 유발하는지, 그리고 개발자의 관점에서 어떤 설계나 코딩 패턴으로 이를 해결할 수 있는지에 대한 근본적인 이해가 필요합니다. 단계별 학습 접근 방식을 통해 지식을 체계적으로 쌓아감으로써, 안전한 코딩과 코드베이스 보호, 그리고 보안 의식을 갖춘 개발자로 성장하는 데 필요한 전체적인 밑그림을 그릴 수 있습니다.

2022년 가트너 소프트웨어 엔지니어링 부문 '쿨 벤더(Cool Vendors)' 보고서에서 개발자 보안 역량의 중요성이 강조되었습니다. 자세한 내용을 확인하고 전체 보고서를 읽어보세요.

디지털 비즈니스를 이끄는 소프트웨어, 애플리케이션, 프로그램을 개발하는 개발자들은 이제 많은 조직의 핵심 인력이 되었습니다. 오늘날 대부분의 기업은 경쟁력 있는 애플리케이션과 프로그램 없이는, 혹은 웹사이트와 기타 인프라에 대한 24시간 접근성 없이는 수익성 있는 운영이 불가능합니다.

최근 보안 연구팀이 Python의 tar 파일 추출 기능에서 15년 된 버그를 발견했다고 발표했습니다. 이 취약점은 2007년에 처음 공개되었으며 CVE-2007-4559로 추적되었습니다. 공식 Python 문서에 관련 주의 사항이 추가되기는 했으나, 버그 자체는 수정되지 않은 상태로 남아 있었습니다.

Secure Code Warrior의 새로운 소식: Coding Labs를 통해 실습형 개발자 교육을 경험하고, 보안 코딩 교육 프로그램을 LMS와 통합하는 등 다양한 기능을 만나보세요.

우버의 최근 보안 사고를 통해 하드코딩된 자격 증명 및 사회 공학적 해킹과 관련된 위험에 대해 알아보고, 조직이 왜 '시프트 레프트(shift left)'를 실천하고 개발자들에게 최신 보안 코딩 모범 사례를 교육하는 것이 중요한지 살펴보세요.

소프트웨어 개발은 더 이상 고립된 영역이 아닙니다. 클라우드, 가전제품 및 차량에 내장된 시스템, 국가 핵심 기반 시설, 그리고 이 모든 것을 연결하는 API에 이르기까지 소프트웨어 기반의 위험 요소를 고려하면, 공격 표면은 경계 없이 통제 불가능한 수준으로 확장되었습니다.

오픈 소스 소프트웨어 보안 동원 계획은 개발자 주도 보안을 위한 긍정적인 단계입니다.하지만 우리 모두 최신의 가장 뛰어난 방어 전략을 구현할 수 있을 만큼 조직의 성숙도가 높은지, 그리고 개발 팀이 적절한 수준의 보안 인식과 기술을 갖추고 있는지 재고하고 정직하게 평가해야 합니다.

시프트 레프트(shift-left)를 실현하려면 개발 팀 내 보안 지식과 기술을 지속적으로 함께 향상시켜야 합니다.

API 보안은 까다롭지만, 적절한 교육과 계획, 그리고 모범 사례에 집중한다면 가장 교묘한 취약점까지도 완화할 수 있습니다.

더 쉽고 강력해진 코스 제작 흐름, 얼리 액세스 토글, 그리고 SAP ABAP 교육 콘텐츠.

ABAP 개발자를 위한 실무 중심의 효과적인 보안 코딩 교육

Psychic Signature 취약점은 인증과 같은 중요한 작업을 수행하는 시스템을 보호하는 ECDSA 서명 암호화 방식에 존재합니다. 해커는 이 취약점을 이용해 모든 서명 확인 절차를 우회할 수 있습니다. 이번 게시물에서는 이 취약점이 무엇인지, 그리고 이를 어떻게 완화할 수 있는지 설명하겠습니다.

최근 NGINX에서 제로데이 취약점이 발견되었습니다. 이와 비슷한 시기에 Microsoft에서도 Windows RPC RCE 취약점이라는 또 다른 치명적인 취약점이 공개되었습니다. 이번 게시물에서는 이 두 가지 문제의 영향 범위와 위험을 완화할 수 있는 방법을 확인하실 수 있습니다.

제로데이 공격은 정의상 개발자가 악용 가능한 기존 취약점을 발견하고 패치할 시간을 전혀 주지 않습니다. 위협 행위자가 먼저 침투하기 때문입니다. 이미 피해가 발생한 후에는 소프트웨어 복구와 기업의 평판 회복을 위해 필사적으로 매달려야 합니다. 공격자는 항상 유리한 위치에 있으며, 이러한 격차를 최대한 줄이는 것이 무엇보다 중요합니다.

2년 연속으로 Evans Data Corp.와 협력하여 전 세계 개발자 커뮤니티를 대상으로 포괄적인 설문조사를 실시했습니다. 보안 코딩 관행에 관한 기술, 인식, 행동을 비롯해 소프트웨어 개발 수명 주기(SDLC) 내에서의 체감 영향력과 관련성을 조사했습니다. 결과는 여러 면에서 매우 놀라웠습니다.

최근 자바 커뮤니티에서 가장 널리 사용되는 라이브러리 중 하나인 Spring에서 원격 코드 실행(RCE)과 관련된 2가지 취약점이 공개되었습니다. "Spring4Shell" 및 "Spring Cloud Function"에 대해 알려진 세부 정보를 정리해 드립니다. 귀하의 시스템이 위험에 노출되어 있는지 확인하고, 만약 그렇다면 어떻게 대응해야 하는지 알아보세요.

사이버 범죄자와의 싸움에서 우리는 그들의 움직임을 최대한 앞서 파악하고, 예방적 사고방식으로 그들의 활동 영역을 선제적으로 차단해야 합니다. 내년에 그들이 어떤 방식으로 위협을 가할지 예측해 보았습니다.

사이버 보안 접근 방식을 목표로 삼고 있는 많은 팀

생일은 우리가 이룬 성과를 되돌아보고, 팀을 축하하며, 자신감을 가지고 다가올 한 해를 맞이할 수 있게 해주는 소중한 계기입니다. 창립 7주년을 맞이한 지금, 저는 스스로에게 묻습니다. 우리가 해낸 걸까요? 이제 정말 어엿한 기업이 된 걸까요? 물론 우리는 성숙해졌지만, 처음 시작할 때 가졌던 호기심과 열정, 그리고 괴짜 같은 면모를 결코 잃지 않기를 진심으로 바랍니다.

업계 차원에서 개발자에게 보안 전문가가 되기를 기대해서는 안 되지만, 조직은 개발자가 더 높은 품질의 소프트웨어를 개발할 수 있도록 새로운 역량 강화 표준을 도입할 수 있습니다.

2021년 12월, Java 라이브러리인 Log4j에서 Log4Shell이라는 치명적인 보안 취약점이 발견되었습니다. 이 글에서는 Log4Shell 취약점을 가장 이해하기 쉬운 형태로 분석하여 기본 개념을 파악할 수 있도록 돕고, 이 취약점에 대한 지식을 활용해 가상의 웹사이트를 직접 공격해 볼 수 있는 실습 환경을 소개합니다.

오늘날의 사이버 보안은 쉴 새 없이 쏟아지는 공격의 연속이지만, 우리는 이에 대응하기 위한 현실적인 조언이나 가장 빠른 해결책을 얻지 못하고 있습니다. 물론 각 보안 사고는 저마다의 특수성이 있고, 취약한 소프트웨어를 노리는 공격 경로 또한 무수히 많습니다. 범용적인 조언에는 한계가 있을 수밖에 없지만, 현재 업계의 모범 사례(best practice)라는 것조차 시간이 갈수록 그 허점이 더욱 분명하게 드러나고 있습니다.

보안 사고가 크게 발생하지 않은 상황이라면, 보안 팀 외부에서는 사후 대응보다는 예방 중심의 접근 방식이 왜 중요한지 충분히 이해하지 못할 수 있습니다.

Implement unit test coding guidelines uniformly and consistently

API 보안을 운에 맡기는 것은 나중에 반드시 문제를 일으키는 지름길입니다. 최악의 경우 치명적인 결과를 초래할 수 있으며, 최선의 경우에도 번거로운 재작업과 성능 저하를 피할 수 없습니다.

Joda-Time을 java.time으로 간편하게 마이그레이션하기

사이버 보안이 중요하다는 것은 누구나 알지만, 공급망이라는 맥락에서 그것이 실제로 무엇을 의미할까요?

개발자는 앱 보안(AppSec) 분야로 성공적으로 이직할 수 있는 유리한 위치에 있습니다.

보안 코딩에 대해 효과적으로 배우고 그 지식을 유지하는 것이 본질적으로 어려운 것처럼 보일 수 있지만 올바른 도구와 문화가 있다면 반드시 그럴 필요는 없습니다.하지만 이해관계자와 상사가 올바른 유형의 교육에 투자하도록 설득하는 것이 항상 쉬운 것은 아닙니다.다음은 이들의 충성도를 높이는 데 도움이 되는 몇 가지 유용한 팁입니다.

전문 개발자들은 DevSecOps를 도입하고 안전한 코드를 작성하기를 원하지만, 이러한 노력이 결실을 맺으려면 조직 차원의 전폭적인 지원이 뒷받침되어야 합니다.

10월 초, Apache는 경로 탐색(Path Traversal) 및 원격 코드 실행(RCE) 취약점을 해결하기 위해 2.4.49 버전을 출시했으나, 해당 수정 사항이 불완전하다는 점이 확인되어 2.4.50 버전을 추가로 발표했습니다. 저희는 실제 환경에서 이러한 위험을 직접 확인해 볼 수 있는 실습 환경을 마련했습니다. 지금 바로 체험해 보세요.

미카 마르티네즈(Micha Martinez)는 넬넷(Nelnet)의 사이버 보안 분석가이자 영상 촬영 감독입니다. 그는 개발자를 위한 보안 코딩 교육 프로그램을 기획하면서 팀원들의 참여를 이끌어내기 위해 창의적인 방법을 도입했습니다. 그의 보안 코드 교육 프로그램 운영 방식이 매우 인상 깊어, 자세한 이야기를 듣기 위해 인터뷰를 진행했습니다.

취약점 카테고리 중 가장 악명 높았던 인젝션 공격이 이제는 접근 제어 실패에 밀려 최악의 취약점 1위 자리를 내주었습니다. 개발자들의 각별한 주의가 필요한 시점입니다.

개발자는 코드뿐만 아니라 보안 구성 및 액세스 제어를 가장 가까이에서 다루는 사람들 중 하나입니다. 이들의 보안 역량을 강화해야 하며, NIST가 제시한 높은 기준을 달성하기 위해서는 특히 대규모 개발자 그룹의 경우 실습 위주의 교육 과정이 효율적인 해결책이 될 수 있습니다.

웹 기반 소프트웨어, API, 모바일 기기와 마찬가지로 임베디드 시스템의 취약한 코드 역시 공격자에게 발견될 경우 악용될 수 있습니다.

애플리케이션 보안 전문가로서 귀하의 업무는 조직 애플리케이션의 사이버 안전을 보장하는 것입니다. 하지만 애플리케이션이 구동되는 코드를 직접 작성하는 것은 귀하의 책임이 아닙니다. 이는 개발 팀 엔지니어들의 몫이죠. 그렇다면 보안을 고려하여 시스템을 개발하도록 하려면 어떻게 해야 할까요?

이 글에서는 임베디드 시스템 보안에 대한 전반적인 내용을 다룹니다. 임베디드 보안의 기본 정의부터 시작하여, 관련 과제와 일반적인 해결책, 그리고 아직 해결되지 않은 과제들에 대해 살펴보겠습니다.

이번 게시물에서는 MISRA C 2012 표준과 C2를 비교하고, 새로운 표준으로 전환하는 과정을 안내해 드립니다. 또한 안전한 임베디드 시스템 구축을 위해 왜 MISRA 준수가 필요한지 설명하겠습니다.

이 게시물에서는 임베디드 장치와 임베디드 시스템 개발에 대한 전반적인 내용을 다룹니다.

Contrast Security의 Larry Maccherone과 함께 맥락 기반 학습(contextual learning)을 통해 개발자에게 안전한 코딩 교육을 성공적으로 제공하는 방법에 대해 이야기를 나누었습니다. 개발자의 일상 업무와 워크플로를 방해하지 않으면서 핵심 보안 교육을 제공하는 방법을 확인해 보세요.

최근 당사의 회장 겸 CEO인 피터 단휴(Pieter Danhieux)가 포브스 기술 위원회(Forbes Technology Council)에 기고한 첫 번째 게시물이 공개되었습니다. 해당 게시물에서는 사이버 공격과 데이터 유출을 방지하기 위한 핵심 방안으로 개발자의 역량 강화를 통해 더욱 안전한 코드를 작성하는 방법을 상세히 다루었습니다.

API 보안은 대부분의 보안 전문가들이 항상 염두에 두고 있는 문제이며, 우리는 이에 대응할 수 있는 지식을 갖춰야 합니다.

최근 바이든 행정부의 사이버 보안 행정 명령은 보안 업계에서 큰 화제가 되고 있습니다. 특히 개발자들이 일상적인 업무에서 보안 코딩 모범 사례를 적용하는 것이 얼마나 중요한지 설득하려는 이들에게는 더욱 그렇습니다.

최근 저희는 Selligent Marketing Cloud의 소프트웨어 엔지니어인 Dimitri Vanderhaeghe와 이야기를 나누었습니다. Selligent Marketing Cloud는 고도로 통합된 AI 기반 옴니채널 마케팅 자동화 플랫폼으로, 야심 찬 B2C 마케터들이 오늘날의 연결된 소비자와의 모든 상호작용 순간을 극대화할 수 있도록 지원합니다. 빠르게 성장하는 B2C 기술 기업에게는 시장의 증가하는 요구를 충족하며 규모를 확장하는 것이 무엇보다 중요합니다. 이러한 요구를 충족하기 위해서는 사이버 보안, 특히 개발자 주도의 보안 역량 강화 프로그램에 중점을 두어야 합니다.

충격적인 통계 하나를 말씀드릴까요? 중소기업의 60%가 사이버 공격을 받은 후 6개월 이내에 폐업합니다. 대기업들은 수백만, 심지어 수십억 달러의 손실을 입고 브랜드 평판까지 무너지고 있습니다. 조직들이 보안 코딩 관행을 적극적으로 도입함에 따라 '시프트 레프트(shift left)' 현상이 나타나고 있습니다. DevSecOps의 부상과 함께, 이제는 SDLC 초기 단계부터 보안 코드가 핵심적인 요소로 자리 잡고 있습니다.

Discover more about the most loved features of Sensei.

IBM의 연구에 따르면 출시 후 취약점을 수정하는 것이 초기에 취약점을 찾아 수정하는 것보다 30배 더 많은 비용이 듭니다.이러한 점을 고려하면 미래 지향적인 CIO가 보안 코딩 관행을 구현하고 있다는 것은 놀라운 일이 아닙니다.이는 개발자들이 처음부터 더 안전한 코드를 작성할 수 있도록 교육하고 준비시키는 것을 의미하며, 이를 통해 개발자를 조직의 '1차 방어선'으로 만들 수 있습니다.

조직을 위한 고품질 보안 코드 교육의 잠재적 영향은 무엇이며, 과연 투자할 가치가 있을까요?

오늘날처럼 고도로 연결된 세상에서 거의 모든 조직은 공통된 아킬레스건을 가지고 있습니다. 코드 내의 단 하나의 취약점이나 허점만으로도 고객 데이터 유출, 평판 훼손, 막대한 재정적 손실이 발생할 수 있습니다. 보안 코딩을 중심으로 조직을 정렬하는 것이 그 어느 때보다 중요해졌지만, 이를 실현하는 것은 말처럼 쉽지 않습니다.

미국 연방 정부의 최신 행정 명령은 기능적 사이버 보안의 여러 측면을 다루고 있지만, 처음으로 개발자의 영향과 검증된 보안 기술 및 인식의 필요성에 대해 구체적으로 설명합니다.

현재 보안 코드 실행이 모든 사람의 책임이어야 한다는 데 동의하는 개발자는 15% 에 불과합니다.보안 위협이 증가하는 세상에서는 그것만으로는 충분하지 않습니다.뭔가 조치를 취해야 합니다.건전한 AppSec 문화를 조성하기 위한 한 가지 비결은 주요 영향력 (및 영향력 행사자) 을 이해하는 것입니다.작동 중.

사이버 보안 모범 사례에 대한 인간 주도의 접근 방식을 강화해야 합니다. 그러면 자동화, 도구, 이미 내장되어 발견된 문제에 대한 대응에 크게 의존하는 것보다 더 나은 결과를 얻을 수 있을 것입니다.

보안이 취약한 코드는 기업에 수백만 달러의 손실을 초래합니다. 그렇다면 안전한 코딩 관행을 도입하는 데 걸림돌이 되는 것은 무엇일까요? 소프트웨어 없이는 아무것도 할 수 없는 오늘날, 코드의 보안을 확보하는 것은 매우 중요합니다. 기업의 브랜드 평판과 재무적 생존 가능성이 여기에 달려 있기 때문입니다. 하지만 안전한 코딩에 대해서는 많은 우려가 존재하며, 이를 완전히 효과적으로 도입하는 데에는 여러 장벽이 있습니다. 그 어느 때보다 새로운 업무 방식이 필요한 시점입니다.

지난 몇 년간 시장 출시 속도를 높이기 위해 네트워크 보안, 테라바이트 단위의 민감한 고객 데이터, 그리고 무엇과도 바꿀 수 없는 브랜드 평판 등 많은 것들이 희생되었습니다.

사이버 보안 업계의 크리스마스를 망칠 만한 사건이 있다면, 그것은 바로 미국 정부 역사상 최대 규모의 사이버 첩보 사건으로 기록될 파괴적인 데이터 유출 사고일 것입니다.

개발자를 위한 보안 코드 교육의 교육적 성과는 기대에 미치지 못하는 경우가 많습니다. 많은 기업이 큰 비용을 투자하지만, 실제 현장에서 얻는 효과는 미미합니다. 그럴 만한 이유가 있습니다.

데이터 유출 사고와 그로 인한 피해 비용이 계속 증가함에 따라, 전 세계적으로 쏟아져 나오는 코드의 양은 보안 전문가 혼자 감당하기에는 너무 방대해졌습니다. 기업은 보안 코딩 역량을 갖춘 개발자를 필요로 하며, 개발자들 또한 커리어 성장을 위해 이러한 역량이 필수적임을 잘 알고 있습니다. 하지만 기존의 보안 코딩 교육은 이러한 요구를 충족시키지 못하고 있습니다. 그렇다면 개발자들이 진정으로 원하는 보안 코딩 교육은 무엇일까요?

지루해, 지루해, 너무 지루해! 보안 코드 교육에 대해 이야기할 때마다 개발자들에게 가장 흔히 듣는 반응 중 하나입니다. Secure Code Warrior는 더 나은 방법이 분명히 있다고 믿습니다.

AppSec 도구가 기대만큼 활용되지 않는 데에는 몇 가지 이유가 있습니다. 이는 도구 자체나 그 기능의 문제라기보다는, 보안 프로그램 전체와 도구가 어떻게 통합되느냐의 문제입니다.

개발자가 보안 코딩을 학습하려는 주된 동기는 무엇이며, 이를 어떻게 활용하여 성공적인 애플리케이션 보안 프로그램을 설계하고 구현할 수 있을까요?

사이버 위협이 날로 증가함에 따라 기업들은 보안, 실용성, 속도 사이에서 매일 타협하고 있으며, 이 과정에서 위험에 노출되고 있습니다.

사이버 위협이 끊임없이 증가하는 오늘날, 여러분의 개발자들은 충분히 대비하고 있습니까? 보안 코딩의 핵심 요소인 개발자가 연결된 세상을 안전하게 지키는 데 필요한 역할을 수행할 준비가 되어 있을까요? 이 질문에 답하기 위해 Secure Code Warrior와 Evans Data Corp가 공동으로 진행한 개발자의 보안 코딩 태도, 보안 코딩 관행 및 보안 운영에 관한 최근 연구 결과를 살펴보겠습니다.

지난 20년 넘게 가장 많은 보안 침해를 일으킨 소프트웨어 취약점 10가지는 여전히 동일합니다. 그럼에도 많은 기업은 여전히 침해 사고가 발생한 후에야 사후 대응에 나서며, 그로 인한 인적·사업적 피해를 수습하는 데 급급한 실정입니다. 하지만 최근 발표된 연구 결과는 이제 사람이 주도하는 새로운 방향성을 제시하고 있습니다.

SQL 인젝션이 탄생한 지 22년이 되었습니다. 이제는 술을 마셔도 될 만큼 성숙한 취약점이 되었지만, 우리는 이를 완전히 근절하기는커녕 여전히 휘둘리고 있습니다.

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

불신이라는 위태로운 기반 위에 세워진 관계라면, 기대치를 낮추는 것이 상책입니다. 안타깝게도 조직 내 개발자와 앱 보안(AppSec) 팀 사이의 업무 관계가 바로 이런 상태인 경우가 많습니다.

Java의 함정을 재미있게 알아볼 수 있는 퀴즈와, 주요 함정 및 해결 방법을 담은 GitHub 저장소를 소개합니다.

IDE 내 검사(Inspections), 명령줄, 그리고 지속적 통합(CI) 환경에서 Sensei와 IntelliJ Intention Actions를 배치 모드로 실행하는 방법을 알아보세요.

일정 수준 이상의 품질을 갖춘 코드는 정의상 보안성도 뛰어나지만, 보안성이 뛰어난 모든 코드가 반드시 고품질인 것은 아닙니다. '왼쪽보다 더 왼쪽(left of left)'에서 시작하는 것이 완벽한 보안 코딩 표준을 보장하는 공식일까요?

이번 블로그 게시물에서는 흔히 발생하는 Java 코딩 실수(조건 연산자 대신 비트 연산자 사용)와 이로 인해 코드에 발생하는 취약점, 그리고 Sensei를 사용하여 해당 문제를 탐지하고 해결하는 방법을 살펴봅니다.

Kamer van Koophandel은 역할 기반 인증, Trust Score 벤치마킹, 그리고 보안에 대한 공동 책임 문화를 통해 일상적인 개발 과정에 안전한 코딩을 어떻게 내재화했는지 공유합니다.

Paysafe와 Secure Code Warrior의 파트너십을 통해 개발자 생산성이 45% 향상되고 코드 취약점이 크게 감소한 사례를 확인해 보세요.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Devlympics 2023의 결과를 이 보고서에서 확인해 보세요. Secure Code Warrior가 주최한 이번 연례 글로벌 이벤트에 참여한 각 산업별 개발자 참여도, 기술 스택 및 언어 트렌드, 그리고 주요 취약점과 CWE에 대해 자세히 알아보실 수 있습니다.

Sage가 유연하고 관계 중심적인 접근 방식을 통해 보안을 강화하고, 200명 이상의 보안 챔피언을 양성하며 실질적인 위험 감소를 달성한 사례를 확인해 보세요.

Workday가 Secure Code Warrior의 애자일 학습을 통해 개발자 교육을 어떻게 혁신했는지 확인해 보세요. Workday는 개발자에게 실습 중심의 언어별 교육을 제공함으로써 SDLC 초기 단계에서 취약점을 줄일 수 있었습니다. 안전한 코드 문화를 구축하기 위한 Workday의 놀라운 성과와 핵심 교훈을 살펴보세요.

이 사례 연구를 통해 Thales가 개발자를 능동적인 보안 챔피언으로 육성하기 위해 어떻게 민첩한 보안 코드 학습 프로그램을 위한 인력, 프로세스, 기술적 접근 방식을 구축했는지 알아보세요.

유통 대기업 콜게이트-팜올리브(Colgate-Palmolive)가 디지털 전환 과정에서 어떻게 애플리케이션 보안을 재설계했는지 확인해 보세요. 보안 코딩 문제에 직면했던 이들은 개발자 워크플로우에 맞춤형 소규모 학습 과정을 통합하는 혁신적인 방식을 도입했습니다.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG 그룹은 아시아 태평양 지역의 주요 보험사들을 이끄는 기업으로, 매년 약 114억 호주 달러 규모의 보험료를 인수하며 수백만 고객의 보험을 책임지고 있습니다.

머신러닝과 사이버 보안을 비롯한 다양한 분야에서 수천 명의 직원이 실무에 바로 활용할 수 있는 최신 기술을 습득할 수 있도록 지원하는 사내 기술 교육 이니셔티브를 어떻게 구축했는지 알아보세요.

이 종합 사례 연구를 통해 Secure Code Warrior의 토너먼트를 활용하여 개발자의 참여를 유도하고, 자동차 소프트웨어에 영향을 미치는 주요 취약점에 대한 인식을 높이며, 다양한 언어와 프레임워크 전반에서 지표를 확보한 방법을 자세히 알아보세요.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

최근 메디케어(Medicare) 데이터 유출 사례에서 볼 수 있듯이, 기계 속도로 이루어지는 사이버 공격은 더 이상 미래의 시나리오가 아닌 현실이 되었습니다. 정부는 이제 이를 심각한 당면 과제로 인식해야 합니다.

‍

‍

10월은 사이버 보안 인식의 달입니다. 지난 1년을 돌아보면 사이버 위협은 잠시도 멈추지 않았습니다. AI 기반 피싱 캠페인과 딥페이크를 이용한 사회 공학적 해킹부터 병원, 학교, 지방 자치 단체를 겨냥한 끊임없는 랜섬웨어 공격까지, 2026년 보안 팀은 쉴 틈 없는 한 해를 보냈습니다. 30년째를 맞이한 이 연례 행사는 잠시 멈춰 서서 우리가 정말 안전해지고 있는지, 아니면 그저 바빠지기만 한 것인지 자문해 볼 수 있는 중요한 기회입니다.

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAI 에이전트가 비교적 평범한 조사 업무를 수행하던 중 호주 정부 웹사이트에 "침투"하는 사건이 발생했으며, 이는 이러한 유형의 첫 사례 중 하나로 기록되고 있습니다.

이번 사건은 앞서 발생한 AI 에이전트 침해 사고들의 연장선상에서 정렬되지 않은 AI의 위험성, 개발자의 책임, 그리고 미흡한 사고 공개 프로토콜이라는 중대한 문제들을 다시 한번 부각시켰습니다. 전문가들은 향후 발생할 수 있는 치명적인 사고를 예방하기 위해 기술적 한계 설정, 철저한 모니터링, 그리고 의무적이고 신속한 보고 체계가 시급하다고 강조합니다.

지난 6월, 메디케어(Medicare)를 포함한 최소 3개의 정부 시스템이 AI 에이전트에 의해 해킹당했습니다. 업계 관계자들은 뒤늦게 밝혀진 이번 사태에 큰 충격을 받고 있습니다.

전 세계적인 AI 규제 속도를 따라잡는 것은 기술 발전 속도를 따라잡는 것만큼이나 어려워지고 있습니다. 보안 리더들에게는 매주 새로운 기술 발전, 규제 제안, 정책 변화가 쏟아지며, 이는 이미 복잡한 위험 환경을 더욱 가중시키고 있습니다.

위협 모델링은 심층 방어 체계를 갖춘 성숙한 사이버 보안 조직에게는 결코 새로운 개념이 아닙니다. 이는 오랫동안 예방적 보안의 핵심 요소로서, 기업이 취약점을 악용당하기 전에 미리 파악하고 대응할 수 있도록 지원해 왔습니다.

Secure Code Warrior는 비개발직군 임직원이 책임감 있게 AI를 도입하고 활용할 수 있도록 돕는 AI 리터러시 교육 프로그램인 'Citizen AI'를 출시했습니다.

새로운 AI 리터러시 프로그램은 비개발직군 직원들이 AI 기반 워크플로우를 안전하게 도입하는 데 필요한 판단력, 위험 인식 능력, 책임감 있는 사용 습관을 갖추도록 지원합니다.

Secure Code Warrior는 Citizen AI by Secure Code Warrior를 발표했습니다. 이는 비개발직군 임직원을 대상으로 한 새로운 AI 리터러시 프로그램으로, 기업이 책임감 있는 AI 도입을 준비할 수 있도록 돕습니다. Citizen AI는 조직의 AI 관련 인적 리스크를 줄이고, 전사적 AI 거버넌스 이니셔티브를 지원하며, 임직원의 AI 활용 자신감을 높여 안전한 AI 워크플로우 도입을 가속화합니다.

‍

AI 소프트웨어 거버넌스 및 개발자 보안 역량 강화 분야의 선두 주자인 Secure Code Warrior는 오늘 비개발직군 임직원을 위한 새로운 AI 리터러시 프로그램인 'Citizen AI by Secure Code Warrior'를 발표했습니다. 이 프로그램은 조직이 책임감 있는 AI 도입을 준비할 수 있도록 지원하기 위해 설계되었습니다.

새로운 AI 리터러시 프로그램은 비개발직군 직원들이 AI 기반 워크플로우를 안전하게 도입하는 데 필요한 판단력, 위험 인식 능력, 책임감 있는 사용 습관을 갖추도록 지원합니다.

기업들은 AI 기반 소프트웨어 개발을 위한 거버넌스 및 개발자 교육 프로그램을 마련할 때 중요한 핵심을 놓치고 있습니다.

AI 소프트웨어 개발은 개발자와 팀을 위해 빠른 속도로 계속 진화하고 있습니다. Secure Code Warrior의 CEO이자 공동 창립자인 <aux translate="no">{{wf ... }}</aux>는 사람이 직접 작성하던 코드에서 AI 보조 코딩 및 에이전트 워크플로우로 표준이 변화함에 따라, 많은 보안 팀이 자율 시스템이 초래하는 새로운 위험을 관리해야 하는 중대한 과제에 직면해 있다고 주장합니다.

‍

‍

소프트웨어 개발 업체들이 직면한 문제는 생성형 AI를 코딩에 활용할지 여부나 생성형 AI가 작성하는 코드 비중이 조만간 늘어날 것인지가 아닙니다. 이는 이미 지난 24개월 동안 돌이킬 수 없는 흐름이 되었습니다. 지금의 핵심 과제는 생성형 AI와 AI 에이전트가 소프트웨어 코드를 생성하는 환경에서 어떻게 보안과 규정 준수를 유지할 것인가입니다.

매년 9월은 '내부자 위협 인식의 달'로서, 가장 치명적인 보안 사고 중 일부는 외부 공격자의 침입이 아닌 내부에서 발생한다는 사실을 상기시켜 줍니다. 악의적인 의도든, 부주의든, 단순한 인적 오류든, 시스템과 데이터, 시설에 대한 정당한 접근 권한을 가진 내부자는 오늘날 조직이 직면한 가장 지속적이고 탐지하기 어려운 위험 요소 중 하나입니다. 하이브리드 업무 환경, AI 기반 도구, 점점 더 복잡해지는 IT 환경이 업무 방식을 변화시킴에 따라, 내부자 위협 환경 또한 보안 전문가들의 새로운 주의를 요구하는 방식으로 계속 진화하고 있습니다.

에이전트형 AI가 생산성을 더욱 높이면서, 사람의 코드 리뷰가 심각한 병목 현상이 되고 있습니다. 개발자들은 더 상위 단계로 이동하여 AI가 규칙을 준수하도록 기본 원칙을 수립해야 합니다.

지난 10년 넘게 '설계 단계부터의 보안(security by design)' 원칙을 강조해 온 사이버 보안 업계는 인공지능(AI)이 초래하는 위험에 경악을 금치 못하고 있습니다. 기업들이 앞다투어 AI 도입을 서두르는 상황에서, 최고정보보호책임자(CISO)의 가장 시급한 과제는 조직의 걸림돌이 되지 않는 것입니다. 하지만 효과적인 AI 활용 및 거버넌스, 가시성, 추적성이 뒷받침되지 않는다면 기업은 AI 리스크에 속수무책으로 당할 수 있습니다.

Secure Code Warrior는 기존의 소프트웨어 개발 수명 주기(SDLC)에서 이른바 에이전트 기반 개발 수명 주기(ADLC)로 산업이 변화함에 따라, 조직이 소프트웨어 개발 과정에서 AI 사용을 관리할 수 있도록 돕는 프레임워크인 SCW AI 도입 모델을 발표했습니다.

많은 소프트웨어 엔지니어링 팀이 AI 코딩 어시스턴트를 넘어 본격적인 에이전트형 AI 코드 생성으로 전환하며 코드 생산량을 기하급수적으로 늘리고 있는 가운데, 코드 보안을 확보하는 것이 최우선 과제가 되었습니다. 본 연구는 AI 보조 또는 에이전트형 코드 개발을 도입하려는 조직을 위한 실질적인 지침을 제시합니다.

토큰 사용량은 기업에 예상치 못한 막대한 비용 부담을 안겨줄 수 있습니다.

AI는 개발 주기를 단축하고 개발자가 더 가치 있는 업무에 집중할 수 있도록 돕습니다. 많은 기업에게 이러한 효율성은 경쟁력을 유지하기 위한 필수 요소가 되고 있습니다. 따라서 당면한 과제는 AI 도입 여부가 아니라, 어떻게 책임감 있게 도입하느냐입니다. 개발자 교육, 거버넌스 프레임워크, AI 관측 가능성 및 강력한 보안 제어에 투자하는 기업은 관련 위험을 최소화하면서 AI의 이점을 효과적으로 누릴 수 있을 것입니다.

이제 문제는 단순히 AI 모델 자체를 보호하는 차원을 넘어섰습니다. 공격자들은 조직이 매일 의존하는 개발 도구, 미들웨어, 오픈소스 라이브러리, 자동화된 배포 파이프라인 등 AI 모델을 둘러싼 소프트웨어 생태계를 점점 더 집중적으로 노리고 있습니다.

함께 살펴보겠지만, 전 세계적으로 많은 변화가 일어나고 있으며 국가 간 협력도 이루어지고 있습니다. 하지만 특히 포괄적인 안전장치가 마련되기 전에 AI 도입이 의무화되는 비즈니스 환경에서는 앞으로 나아갈 길이 결코 일관되거나 명확하지 않습니다.  

한 전문가는 AI 가드레일이 '보안 경계'가 아닌 행동 유도를 위해 설계되었다고 지적합니다. 하지만 그 행동이 업계 파트너를 해킹하는 것이라면 어떨까요?

‍

사이버 보안 전문가들은 OpenAI의 보안 평가 과정에서 발생한 Hugging Face 인프라 침해 사고가 자율형 AI 에이전트가 초래하는 위험의 중대한 전환점이 되었다고 경고했습니다. 이번 사건에서 AI 모델은 통제된 테스트 환경을 벗어나 AI 플랫폼을 대상으로 실제 다단계 침입을 감행했습니다.

Secure Code Warrior가 발표한 연구에 따르면, AI가 생성한 코드에서는 코드베이스당 평균 15개의 보안 취약점이 확인되었습니다.

프런티어 AI가 홍보 위기를 맞고 있습니다. 7월 16일 허깅페이스가 블로그 게시물을 통해 자율 에이전트가 내부 환경을 침해했다고 주장한 후, 오픈AI는 7월 21일 게시글을 통해 GPT 5.6 Sol과 '출시 전 모델'이 통제된 테스트 환경을 벗어나면서 발생한 사건이라고 밝혔습니다.

Secure Code Warrior의 연구에 따르면, AI가 생성한 코드에는 코드베이스당 평균 15개의 취약점이 포함되어 있는 것으로 나타났습니다.

‍

Secure Code Warrior는 AI 코딩 보안을 위한 실시간 벤치마크인 SCW AI Trust Index를 도입했습니다. 이 지표는 새로운 모델이 등장할 때마다 함께 성장하며, 기업이 AI 생성 코드로 인한 보안 위험을 파악하고 관리할 수 있도록 돕습니다. 호주 RMIT 대학교와 공동 개발한 방법론을 기반으로 Secure Code Warrior가 확장한 이 연구는 주요 LLM이 얼마나 자주 보안 취약점이 있는 코드를 생성하는지에 대한 포괄적인 벤치마크를 제시하며, AI 기반 개발을 확장하는 모든 기업에 중요한 시사점을 제공합니다.

AI가 생성한 코드는 코드베이스당 평균 15개의 취약점을 포함하지만, 실제 위험은 사용된 모델보다 어떤 프레임워크와 결합하느냐에 따라 더 크게 좌우됩니다.

새로운 SCW AI Trust Index에 따르면 AI가 생성한 코드의 보안 위험은 무작위가 아니라 모델과 프레임워크에 따라 예측 가능하며, 보안 리더는 이를 통해 AI 지원 개발을 안전하게 확장할 수 있는 데이터를 확보할 수 있습니다.

AI 도입의 어려움, 끊임없는 업데이트, 그리고 업계 주도권 경쟁이 거세게 몰아치고 있으며, 보안 전문가들은 이러한 AI의 방대한 위험 요소로 인해 가장 큰 영향을 받는 직군 중 하나입니다.

호주 정부는 AI가 국가의 미래 이익에 매우 중요하다고 밝혔습니다. 그렇다면 현재 AI의 위치는 어디일까요? 업계 최고의 전문가들이 말하는 인공지능과 현대 기업에서의 역할에 대해 알아봅니다.

‍

에이전트형 AI의 등장은 소프트웨어 개발의 구조적 변화를 의미합니다. 이는 단순히 생산 주기를 가속화하는 것을 넘어, 인간의 직접적인 통제를 벗어나 자율적으로 추론하고 행동하는 시스템을 도입합니다.

AI로 생성된 코드가 보편화됨에 따라, CISO는 개발자 관행을 측정하고, AI 도구 사용을 관리하며, 소프트웨어가 운영 환경에 배포되기 전에 위험 요소를 식별할 수 있는 새로운 감사 전략을 수립해야 합니다.

2026년, 이 분야가 새로운 긴급성을 띠게 된 데에는 지금 이 순간에만 해당하는 특별한 이유가 있습니다. AI 코딩 도구와 에이전트가 코드 작성량을 비약적으로 늘리면서 배포, 테스트, 프로비저닝의 빈도 또한 급증하고 있기 때문입니다. 플랫폼 엔지니어링은 이러한 속도 향상이 실제 가치 창출로 이어질지, 아니면 혼란으로 이어질지를 결정짓는 핵심 계층입니다.

가트너의 최근 보고서에 따르면, 섀도우 AI와 무분별한 자동화의 확산이 AI 취약점을 더욱 심화시키고 있습니다. 가트너는 업무용 생성형 AI 도구를 사용하는 IT 종사자의 32%가 이를 사이버 보안 팀에 알리지 않고 있다고 지적했습니다. 로우코드/노코드 플랫폼 및 바이브 코딩(vibe coding) 관행과 결합된 AI 코파일럿은 기업의 공격 표면을 크게 확장하고 있습니다.

이번 기사에서는 보안 및 리스크 관리 책임자들에게 다음과 같은 핵심 질문을 던졌습니다. "기업의 리스크를 실질적으로 완화하는 정책과 단순히 AI 리스크를 인지하고 있음을 보여주기 위한 정책을 구분 짓는 것은 무엇인가?"

Secure Code Warrior의 Pieter Danhieux가 전하는 AI 기반 개발 리스크 관리 전략

생성형 AI가 엔터프라이즈 소프트웨어 개발 분야에 확고히 자리 잡으면서, 익숙한 분야인 리스크 관리가 그 어느 때보다 중요해지고 있습니다.

Secure Code Warrior는 오늘 업계 최초의 거버넌스 솔루션인 SCW Trust Agent: AI를 발표했습니다. 이 솔루션은 소프트웨어 개발 과정에서 인공지능(AI)의 영향을 커밋 시점에 가시화하고, 귀속시키며, 강제할 수 있도록 설계되어 기업이 소프트웨어 리스크를 측정 가능한 수준으로 통제하면서 AI 코딩 도구를 확장할 수 있도록 지원합니다.

가장 영향력 있는 애자일 방법론 요소를 중심으로 SDLC를 재편하고 DevSecOps 중심의 보안 고려 사항을 신중하게 통합하고 있음에도 불구하고, 우리가 알고 있는 AppSec은 이제 끝난 것일까요?

2026년 글로벌 정보보안 어워드(Global InfoSec Awards), Secure Code Warrior 사이버 보안 리스크 관리 및 컴플라이언스 우수 부문 수상

새로운 AI 소프트웨어 거버넌스 솔루션은 커밋 시점에 AI 생성 코드를 가시화하고, 프로덕션 이전에 정책을 강제하며, 실제 개발 활동을 측정 가능한 위험 감소로 연결합니다.

Secure Code Warrior(SCW)는 이번 주 AI 코딩 도구로 생성된 코드를 식별하고 적절한 거버넌스 정책을 자동으로 적용하는 인공지능(AI) 에이전트를 추가했습니다.