금융 서비스 분야의 디지털 전환을 지원하는 보안 코드 교육

금융 기관은 급변하는 금융 환경 속에서 기술을 효율적이고 효과적으로 활용해야 하는 다양한 과제에 직면해 있습니다.

기업들은 경쟁이 치열한 클라우드 기반 비즈니스 환경에서 내부 및 업계 전반에 걸친 급격한 변화를 겪고 있습니다. 예를 들어, 지속적인 디지털 전환을 추진하는 과정에서 기업들은 다음과 같은 문제를 해결하기 위해 노력하고 있습니다.조직적 마찰이러한 마찰은 결제 프로세스 및 기타 절차를 가속화할 수 있는 인공지능과 같은 신기술에 대한 투자를 저해합니다.

물론 금융 기관은 항상 다양한 규제 요건을 준수해야 한다는 부담을 안고 있습니다. 재무 기록 관리에 관한 사베인스-옥슬리법(Sarbanes-Oxley Act), 카드 소지자 데이터 보호를 위한 지불 카드 산업 데이터 보안 표준(PCI DSS), 캘리포니아 소비자 개인정보 보호법(CCPA) 및 EU의 일반 데이터 보호 규정(GDPR)에 명시된 개인정보 보호 등이 이에 해당합니다.

규정 미준수로 인한 벌금과 기타 비용은 빠르게 불어날 수 있습니다. IBM의2023년 데이터 유출 비용 보고서에 따르면, "규정 미준수 수준이 높은" 조직의 평균 비용은 505만 달러로, 실제 데이터 유출 사고의 평균 비용보다 50만 달러 이상 더 높은 것으로 나타났습니다.

데이터 유출과 관련하여, 사이버 공격은 금융 기관을 계속해서 괴롭히고 있으며, 금융업은 사이버 공격의 표적이 되는 산업 중 두 번째로 높은 비중을 차지합니다. Sophos의2023년 금융 서비스 분야의 랜섬웨어 현황보고서에 따르면, 랜섬웨어 공격은 2021년 34%, 2022년 55%, 2023년 64%로 급격히 증가했습니다. Statista에 따르면Statista, 미국 금융 서비스 업계의 데이터 침해(데이터 유출 및 개인정보 노출 포함) 건수는 2020년 138건에서 2023년 744건으로 증가했습니다.

내부 효율성, 규정 준수, 보안 등 어느 한 분야에서의 실패는 조직의 평판을 위협하며, 나아가 금융 서비스의 생명줄인 고객 충성도까지 흔들 수 있습니다. 경쟁력을 유지하고 성공하기 위해서는 고객의 신뢰를 구축해야 하며, 이는 소프트웨어, 시스템 및 프로세스의 효율성과 효과성을 보장하는 것에서 시작됩니다. 이 모든 것의 핵심은 바로 안전한 소프트웨어 코드입니다.

개발자들은 그 어느 때보다 빠르게 애플리케이션과 서비스를 개발, 업데이트 및 배포해야 한다는 압박을 받고 있습니다. 이는 사내 개발자가 직접 작성하든, AI가 생성하든, 오픈 소스 저장소에서 가져오든, 제3자가 제공하든 상관없이 더 많은 소프트웨어 코드를 개발하고 다뤄야 함을 의미합니다.

효과적인 운영을 위해서는 코드의 품질과 보안이 무엇보다 중요하지만, 많은 조직이 이 부분에서 부족함을 보이고 있습니다. 코드의 양이 증가함에 따라 소프트웨어 개발 수명 주기(SDLC) 초기 단계에서 수정하지 않으면 오류, 결함 및 취약점의 수도 계속 늘어날 것입니다.

조직은 더 안전한 코드를 만들고 오류를 조기에 수정하기 위해 '시프트 레프트(Shift Left)' 전략을 도입해야 합니다. 보안 코딩 모범 사례에 대한 민첩한 교육은 안전하고 신뢰할 수 있는 애플리케이션의 기반을 제공하며, 이는 조직의 위험을 줄일 뿐만 아니라 비즈니스 성공을 견인하는 데 도움이 됩니다.

트렌드 1: AI 개발 도구

AI를 활용한 혁신은 안전한 코드에 달려 있습니다

인공지능, 특히 생성형 AI는 상업, 교육 및 일상생활 전반에 걸쳐 빠르게 확산되고 있습니다. 생성형 AI의 수많은 활용 사례 중 주목할 만한 기능 하나는 바로 코드 작성입니다. 이는 대체로 유익한 것으로 입증되었지만, AI 사용과 밀접하게 연관된 또 다른 문제인 보안 문제를 야기하기도 합니다. 새로운 기술의 초기 도입자인 금융 기관은 생산성 향상과 AI의 안전하고 책임 있는 사용 사이에서 균형을 유지해야 합니다.

현재까지 AI는 주로 코드 개발을 지원하는 용도로 사용되어 왔으며, 수정 프로세스를 자동화하는 등의 방식보다는 긍정적인 영향을 미쳐왔습니다.GitHub 설문조사에 따르면 미국 개발자의 90% 이상이 AI 코딩 도구를 사용하고 있으며, 그 이점으로는 생산성 향상(53%), 반복적인 작업 대신 창의적인 작업에 집중할 수 있는 자유(51%), 번아웃 방지(41%) 등이 꼽혔습니다.

대형 은행 및 기타 금융 서비스 조직은 다른 산업 분야보다 AI를 조기에 도입할 가능성이 높습니다. 결국 금융 기관은 새로운 기술에 대규모로 투자할 자본을 갖추고 항상 경쟁 우위를 모색하기 때문에 본질적으로 기술 기업과 다름없습니다.

일각에서는 AI가 인간 노동자를 대체할 것이라는 우려를 표하기도 하지만, 이 기술은 인간과 협력할 때 가장 큰 효과를 발휘합니다. 하지만 개발자가 AI를 사용하는 방법을 배우려면 단순히 형식적인 접근 방식 이상의 것이 필요합니다. 개발자에게는정밀한 교육이 필요합니다. 이를 통해 실제 환경에서 보안 모범 사례를 확실히 파악하여 스스로 안전한 코드를 작성할 뿐만 아니라, AI 코딩 보조 도구의 작업을 능숙하게 감독할 수 있어야 합니다.

예를 들어,SCW 교육의 한 연습 과정에서는 LLM 모델에 실제 코드 스니펫의 내용을 변경하여 코드 기능을 수정하도록 지시합니다. AI는 이에 응답하여 코드 블록을 생성하지만, 해당 블록은 사이트 간 스크립팅(XSS)에 취약합니다. 이 교육은 개발자가 그러한 취약점을 식별할 수 있도록 보장합니다.

AI와 개발자는 매우 생산적으로 협력할 수 있지만, 이는 개발자가 AI가 안전한 코드를 생성하도록 보장할 수 있을 만큼 충분히 교육받았을 때만 가능합니다.

AI의 코딩 실수는 빠르게 확산될 수 있습니다

AI 모델은 코드를 작성하도록 훈련받을 때, 다른 모델이 이야기를 쓰기 전에 수천 개의 산문이나 시 예시를 학습하는 것과 마찬가지로 수천 개의 코드 작성 예시를 학습합니다. 하지만 AI 모델이 오류가 포함된 예시를 참조하지 않는다는 보장은 없습니다. AI 모델은 처리 과정이 투명하지 않기 때문에 오류는 사후에야 드러납니다. 그리고 AI는 수정되기 전까지 그러한 오류를 반복할 것입니다.

초기AI 연구원들의 연구에 따르면 AI가 생성한 코드에는 사이트 간 스크립팅(XSS) 취약점, 코드 삽입 공격에 대한 취약성, 프롬프트 삽입과 같이 AI 생성 코드에 특화된 새로운 취약점 등 심각한 결함이 포함되어 있었습니다. AI 도구를 검증 없이 코드 작성에 사용한다면 불량 코드가 빠르게 확산될 수 있으며, 이는 이미수많은 취약점을 안고 있는 소프트웨어를 그 어느 때보다 안전하지 않게 만들 것입니다.

인간 개발자와 AI 모델이 협력하여 코드를 개발하고, 안전한 코딩 모범 사례를 준수하는 것이 필수적입니다. 이를 통해 금융 기관은 속도와 효율성 향상이라는 이점을 얻는 동시에, 인간의 개입 없이는 치명적일 수 있는 위험을 제한할 수 있습니다.

금융 기관은 안전한 개발을 선도할 수 있습니다

ChatGPT와 같이 대규모 언어 모델(LLM)을 사용하는 AI나 자체적으로 콘텐츠를 생성할 수 있는 다양한 생성형 AI 구현 사례가 급격히 성장하면서 시행착오도 있었습니다. AI 모델은 오류나 편향된 결과를 생성하기도 했으며,AI 환각 현상과 같은 문제로 인해 규제 강화에 대한 목소리가 높아지고 있습니다. 예를 들어, 백악관은행정 명령을 통해 AI의 개발 및 사용에 관한 지침을 발표했습니다. 또한AI 권리 장전을 제안하여 AI 관련 위험으로부터 대중을 보호하고자 했습니다. 그러나 어떠한 정부 주도의 이니셔티브도 AI를 개발하는 기술 기업들과의 협력 없이는 실효를 거두기 어렵습니다. 이미 많은 기업이윤리적 기준 준수, 미국 금융 서비스 업계의 데이터 침해(데이터 유출 및 개인정보 노출 포함) 건수는 2020년 138건에서 2023년 744건으로 증가했습니다.

금융 서비스 업계 역시 강력한 내부 통제를 도입할 것으로 보입니다. 기업들은 경쟁 우위를 확보하기 위해 끊임없이 노력하지만, 내부 데이터와 고객 정보를 포함한 정보 보안이 무엇보다 중요하다는 사실을 잘 알고 있습니다. 또한 미국 통화감독청(OCC)이나 유럽중앙은행(ECB)의 규제 요건을 충족해야 한다는 점도 명심해야 합니다.

AI를 조기에 도입한 은행과 금융 기관은 AI를 활용한 효율성 개선에 큰 관심을 보이며, 혁신 허브를 후원하는 등 AI의 역량을 탐색하기 위한 노력을 기울이고 있습니다. 하지만 조직에는 보안을 보장하기 위한 통제 장치도 필요합니다. 초기 도입에는 항상 내재된 위험이 따르며, AI 사용이 확대됨에 따라 위험과 보상 사이의 균형을 맞추는 것이 중요합니다. 예를 들어, 조직은 AI 도입 초기 단계에서 강점, 약점, 기회, 위협(SWOT) 분석을 수행하는 것이 도움이 될 것입니다.

AI의 효과적인 활용은 안전한 코드에서 시작됩니다

금융 업계가 AI를 효과적으로 활용할 수 있을지는 보안에 달려 있으며, 이는 AI가 생성하는 코드가 처음부터 안전하게 작성되도록 보장하는 데 달려 있습니다. 조직은 AI의 코드 작성을 면밀히 감독하고 오류를 식별하여 신속하게 수정할 수 있는 숙련된 엔지니어를 확보해야 합니다. 애자일 기반 교육 및 보안과 규정 준수를 보장하는 서비스를 제공하는 기업과 협력하는 것은 강력한 보안 태세를 구축하기 위한 좋은 첫걸음입니다.

위험 환경은 특히 소프트웨어 개발 주기 내에서 끊임없이 변화하고 있습니다. AI의 조기 도입자로서 금융 기관은 AI의 안전하고 책임 있는 사용을 선도해야 합니다. 일부 금융 기관은 정부 정책에 영향을 미칠 수 있을 만큼 규모가 큽니다. AI 모델과 개발자가 협업할 수 있는 환경을 조성하여 안전한 코드를 확보함으로써, 금융 기관은 다른 산업이 따를 수 있는 모범 사례를 정립할 수 있습니다.

Integrations

You can learn more from SCW’s whitepaper explaining the role AI can play in code writing and why it’s essential that developers are thoroughly trained in recognizing secure coding patterns and the vulnerabilities that result from unsecure code.

Download Whitepaper

‍트렌드 2: 규제 강화

코드는 규제 준수의 핵심입니다

안전한 코딩 관행을 구현하는 중요한 동기는 금융 기관이 비즈니스를 운영하는 데 필요한 규정을 준수해야 한다는 점입니다. 기관은 취급하는 거래 유형에 따라 다양한 규정을 적용받습니다.

예를 들어,PCI DSS 4.0은(는) 결제 산업 데이터 보안 표준의 최신 버전으로, 신용카드 및 결제 카드 데이터와 거래를 보호하기 위해 설계된 글로벌 표준입니다. 사기 및 오용을 방지하기 위한 목적으로, 카드 소지자 데이터를 저장, 처리 또는 전송하는 모든 조직에 적용됩니다. 이 표준은 법률은 아니지만 계약을 통해 강제되며, GDPR과 같은 다른 규정 위반에 해당하는 데이터 유출 사고를 예방하는 데 도움을 줄 수 있습니다.

또 다른 규정인디지털 운영 복원력 법(DORA)은(는) 금융 서비스 부문을 위한 EU의 구속력 있는 위험 관리 프레임워크로, 금융 기관과 그들의 제3자 제공업체를 모두 포괄합니다. DORA는 EU 내 위험 관리 관행을 통합하여 보편적인 표준을 만들기 위해 설계된 기술 표준을 설정합니다.

그국제은행간통신협회(Swift)는 전 세계 금융 부문의 자금 이체 표준을 정립한 협력 기구입니다. Swift의 고객 보안 프로그램(CSP)은고객 보안 통제 프레임워크(CSCF)를 개발했으며, 이는 매년 업데이트됩니다. 200개국 이상에 걸쳐 있는 11,000개 이상의 Swift 회원사들은 CSCF를 사용하여 자체 보안 통제를 계획하고 준수 수준을 증명합니다.

이러한 규정들의 공통점은 금융 서비스 산업에서 데이터와 거래를 보호하기 위한 높은 수준의 기준을 설정하려 한다는 것입니다. 규정 준수는 고객의 데이터와 자산을 보호할 뿐만 아니라, 부적절한 보안으로 인한 결과로부터 기관을 보호하는 데도 기여합니다. 보안이 미흡할 경우 규정 미준수에 따른 벌금 및 과태료, 평판 훼손, 그리고 침해 사고 발생 시 투자자의 신뢰 상실과 같은 결과를 초래할 수 있습니다.

개발자는 변화하는 규제 환경에 발맞춰야 합니다

보안 코딩은 관련 규정의 기대치를 충족하고 미국 통화감독청(OCC)이나 유럽 중앙은행(ECB)의 요구 사항을 준수하고자 하는 조직에 견고한 토대를 제공합니다. Secure Code Warrior와 같은 플랫폼을 도입하는 근본적인 이유 중 하나는 개발자에게 실용적이고 참여를 유도하는 환경에서 보안 코딩을 교육하기 위함입니다.

이러한 교육은 때때로 복잡한 규제 요구 사항을 다룰 때 큰 차이를 만듭니다. 특히 규제는 고정되어 있지 않기 때문입니다. 규정은 끊임없이 진화하며 새롭고 종종 더 정교한 요구 사항을 추가합니다. 요구 사항에 따라 특정 연도에는 규정이 크게 변하지 않을 수도 있지만, 조직은 최소 2~3년마다 상당한 변화가 있을 것으로 예상해야 합니다.

예를 들어, 2024년 4월 1일부터 의무화된 PCI DSS 4.0은 2022년에 발표된 PCI DSS 3.2.1을 여러 측면에서 크게 업데이트했습니다. 이 버전은 체크리스트 방식의 절차보다 결과에 집중하며, 조직이 요구 사항을 충족하는 데 더 많은 유연성을 제공하는 맞춤형 접근 방식을 구현합니다. 또한 인증 통제, 비밀번호 길이, 공유 계정 등에 대한 새로운 요구 사항을 추가했습니다. 아울러 각 요구 사항을 충족하기 위한 역할과 책임을 명확히 정의할 것을 조직에 요구합니다.

중요한 점은 버전 4.0에서 맞춤형 소프트웨어를 개발하는 개발자는 최소 12개월마다 소프트웨어 보안 교육을 받아야 한다는 것입니다. 여기에는 보안 설계 및 코딩 기법이 포함되며, 테스트 도구를 사용하는 경우 해당 도구를 사용하여 취약점을 탐지하는 방법도 포함됩니다. 또한 모의 해킹 중에 식별된 모든 취약점은 심각도와 관계없이 수정되어야 하며, 팀은 수정이 성공적으로 완료되었는지 확인하기 위해 2차 모의 해킹을 수행해야 한다고 명시하고 있습니다.

규정 변경은 일반적으로 점진적으로 이루어지지만, 사건에 따라 급격하게 변하기도 합니다. 대규모 침해 사고는 갑작스럽고 광범위한 변화를 촉발할 수 있습니다. 예를 들어, 1990년대 중반 JPMorgan Chase 계정 8,700만 건이 유출된 사건은 규제 환경을 뒤흔들었습니다. 규제 당국은 개발자 및 기술 커뮤니티에 대한 기대치를 높였으며, 은행이 취한 조치와 침해 사고로부터 얻은 교훈을 어떻게 적용하고 있는지 증명할 것을 요구했습니다.

규정 준수는 기본 코드의 품질에 달려 있습니다

이러한 요구 사항을 충족하는 데 사용되는 코드의 품질은 새로운 기능의 성능에 상당한 영향을 미치며, 기업이 매년 작성해야 하는 길고 상세한 PCI DSS 준수 보고서를 완료할 때 중요한 역할을 합니다. 규정이 복잡해질수록 보안 코딩의 영향력은 그만큼 커지며, 이는 위험을 줄이고 조직의 소프트웨어에 대한 통제력을 높이는 데 실질적인 차이를 만듭니다.

금융 기관에 있어 규정 준수는 고객과의 신뢰를 구축하는 데 필수적입니다. 보안 코딩은 신뢰할 수 있는 소프트웨어와의 원활한 상호작용에 많은 것이 달려 있기 때문에 고객 경험을 개선하고 고객 충성도를 높이는 데도 도움을 줍니다.

새로운 애플리케이션과 서비스를 만드는 데 사용되는 코딩은 기업 전반에 영향을 미칩니다. 이는 빠르게 변화하는 비즈니스 환경에서 효율성을 높이고, 클라우드 마이그레이션을 관리하며, 기타 기능을 활성화하는 데 필수적입니다. 하지만 비즈니스가 성공하려면 코드는 반드시 안전해야 하며 규정 준수 요구 사항을 충족해야 합니다.

Integrations

Read the no-nonsense guide to getting your development team on board with PCI DSS compliance, including how security professionals and development managers can work together to build powerful security programs.

Read Guide

트렌드 3: 애자일 학습

애자일 교육과 인간-AI 팀을 통한 안전한 코드 확보

AI 모델의 확산으로 인공지능이 인간의 일자리를 대거 대체할 것이라는 우려가 다시 커지고 있습니다. 경리, 고객 서비스, 법률 사무원, 콘텐츠 제작자 등 일부 직종은 걱정할 이유가 있을지 모르지만, 소프트웨어 개발자들은 AI를 일자리를 뺏는 존재가 아니라 코딩과 같이 시간이 많이 걸리거나 반복적인 업무를 대신해 주는 유용한 조력자로 환영할 가능성이 높습니다.

사실 코딩은 개발자 업무의 일부일 뿐입니다. GitLab의2023 글로벌 DevSecOps 보고서에 따르면, 대부분의 개발자는 전체 업무 시간의 약 4분의 1 정도를 코딩에 할애한다고 답했습니다. 나머지는 코드 개선(17%), 테스트(11%), 회의 참석 및 기타 행정 업무(17%) 등으로 나뉩니다.

코드 개선은 AI 모델이 코드를 생성하게 될 미래에 더욱 중요해질 업무 영역입니다. AI는 코드 생성의 속도와 효율성을 높여주지만, 그 결과물을 전적으로 신뢰할 수는 없습니다. AI 모델이 생성한 코드에서 오류, 편향성, 취약점이 발견된 사례는 수없이 많습니다. 따라서 보안 역량을 갖춘 개발자가 AI가 생성한 코드를 면밀히 검토하여 취약점을 수정하고 소프트웨어가 개발 표준을 준수하도록 관리해야 합니다.

개발자에게는 실무 중심의 애자일 교육이 필요합니다

개발자들은 AI가 생성한 코드를 다루기 위해 보안 모범 사례와 잘못된 코딩 패턴을 식별하는 능력을 키우고 새로운 기술을 습득해야 합니다. 제대로 교육받은 개발자는 배포 전에 AI 모델의 실수를 포착할 수 있으며, AI를 활용해 개발 속도를 높이는 이점을 극대화할 수 있습니다.

하지만 필요한 기술은 복잡하기 때문에 기존의 정적인 교육 방식으로는 학습하거나 강화하기 어렵습니다. 개발자들은 업무상 여유 시간이 거의 없으며, 그 어느 때보다 빠르게 코드를 개발하고 배포해야 한다는 압박을 받고 있습니다. 따라서 현재 수행 중인 업무에 맞춰 기술을 향상할 수 있는 방법이 필요합니다.

조직은 개발자에게애자일 기반 교육프로그램을 제공해야 합니다. 이 프로그램은 안전한 코딩을 위한 실무 중심의 접근 방식을 취하며, 소프트웨어의 취약점을 획기적으로 줄이는 데 효과가 입증된 것이어야 합니다.

애자일 교육은 여전히 사용되는 고전적인 COBOL부터 Google Go로 작성된 최신 도구에 이르기까지 개발자가 접하게 될 모든 프로그래밍 언어에 맞춰 조정할 수 있습니다. 또한 시각, 청각, 언어적 학습 방식이나 직접적인 실습 등 개발자가 선호하는 학습 형식으로 고급 콘텐츠를 제공할 수 있으며, 개별 개발자의 업무 일정에 맞춰 최적의 속도로 진행할 수 있습니다.

교육은 직원의 특정 역할과 필요에 따라 맞춤화될 수도 있습니다. 플랫폼의 피드백 루프를 활용하면 콘텐츠를 개선하고 개발자가 부족한 부분을 파악하여, 해당 영역을 보완할 수 있는 콘텐츠를 자동으로 제공할 수 있습니다.

지루하고 긴 강의식 교육 대신, Secure Code Warrior와 같은 학습 프로그램은 실제 문제 상황 속에서 개발자가 몰입할 수 있도록 대화형 마이크로러닝 형태로 최적화된 맞춤형 교육을 제공합니다. 마이크로러닝은 직원이 필요할 때 언제든지 학습할 수 있어 접근성도 뛰어납니다.

애자일 접근 방식은 성과를 냅니다

애자일 기반 교육은 코딩 오류를 줄이는 데 효과적인 것으로 입증되었습니다. Secure Code Warrior의연구에 따르면, 개발자들은 이미 코드의 약 26%를 프로덕션 배포 전에 수정하고 있습니다. 이는 개발자 한 명당 주당 약 13.5시간(연간 약 700시간)을 기술 부채를 해결하는 데 소비한다는 의미입니다. 코드 수정에 쏟는 이러한 시간은 생산성을 저해하고 개발 주기를 늦추는 원인이 됩니다.

이러한 실수들이 모두 발견되는 것은 아니며, 개발자의 67%가 취약점이 포함된 코드를 배포한 적이 있다고 인정했습니다. 조직들은 AI, 오픈 소스 저장소, 제3자 등 외부 소스의 코드도 사용하고 있습니다. 이러한 소스는 조직이 그 어느 때보다 많은 양의 코드를 필요로 하는 시기에 생산성을 높이는 데 도움을 주지만, 동시에 코드 베이스 내 취약점과 오류의 위험도 증가시킵니다.

애자일 기반 교육은 이러한 추세를 막는 데 도움이 될 수 있습니다. 이는 개발자가 자신이 작성한 코드든, AI나 제3자가 만든 코드든 상관없이 코드의 결함을 더 잘 찾아낼 수 있도록 역량을 강화하여 방어의 첫 번째 선을 공고히 합니다. Secure Code Warrior는 연구의 일환으로 75,000명의 개발자(전체 기반의 약 30%) 데이터를 조사한 결과, 애자일 기반 교육을 통해 보안을 학습한 개발자가 그렇지 않은 동료보다 취약점을 53% 적게 발생시킨다는 사실을 확인했습니다. 이러한 기술을 AI 생성 코드 검사에 적용하는 개발자는 소프트웨어가 배포되기 전에 AI 파트너의 실수를 더 빠르게 수정할 수 있습니다.

금융, 인사, 학생/교직원 라이프사이클 관리 클라우드 애플리케이션을 제공하는 Workday의 개발자들은 Secure Code Warrior의 애자일 기반 교육을 통해 교육의 목적을 명확히 이해했으며, 코드 베이스와 소프트웨어 라이프사이클 내의 문제를 식별하고 대응하는 방법을 빠르게 습득했습니다.

Workday의 사례는 애자일 방식의 실습 교육이 어떤 성과를 낼 수 있는지 잘 보여줍니다. Secure Code Warrior와 협력하기 전, Workday는 개발자들이 기존의 슬라이드쇼 기반 보안 교육에 흥미를 잃었다는 점을 파악했습니다. 하지만 전체 개발자 커뮤니티는 그들의 요구와 학습 선호도에 맞춘 Secure Code Warrior 교육에 긍정적으로 반응했습니다. 결과는 스스로 증명합니다. 한 예로, 더블린의 한 팀은 18개월 만에 연간 4,662건에 달하던 보안 문제를 0건으로 줄였습니다.

점점 더 정교해지는 공격이 난무하는 위협 환경 속에서 금융 서비스 기업은 데이터와 애플리케이션의 보안을 보장하기 위해 할 수 있는 모든 조치를 취해야 합니다. 소프트웨어 개발 라이프사이클(SDLC) 초기 단계부터 안전한 코드를 작성하는 것은 보안의 핵심 요소입니다. 적절한 애자일 교육을 받은 개발자는 소프트웨어 보안을 보장하는 동시에 기업의 전반적인 위험을 줄이는 데 크게 기여할 수 있습니다.

Integrations

Learn how Workday focused on creating secure agile learning that drove developer engagement and helped achieve their goals of improving Workday’s overall security posture.

Learn More

트렌드 4: 제3자 앱 및 API의 증가

보안 책임은 제3자 앱에도 적용됩니다

오늘날의 초연결 비즈니스 환경에서 어떤 기업도 고립되어 운영되지 않습니다. 금융 기관은 특정 서비스를 제공하기 위해 다른 기업과 파트너십을 맺고, 일상적인 커뮤니케이션과 거래에 제3자 앱을 사용하며, 많은 경우 외부 계약자가 소프트웨어 코드를 작성하도록 합니다. 기업 내부 개발자들 또한 애플리케이션 개발 시 오픈 소스 소프트웨어 저장소와 점점 더 많이 사용되는 AI 생성 코드를 활용합니다.

소프트웨어의 출처와 관계없이 금융 서비스 기업과 거래하는 사람들은 자신이 사용하는 모든 애플리케이션이 동일하게 높은 수준의 보안을 갖추고 있을 것이라 기대합니다. 어떠한 거래나 정보 교환이 이루어지든 고객 데이터에 대한 책임은 여전히 호스트 기업에 있습니다. 또한 규제 당국은 기관이 규정 미준수에 대한 책임을 제3자에게 떠넘기는 것을 허용하지 않습니다.

금융 기관은 어떻게 모든 애플리케이션이 안전하고 신뢰할 수 있음을 보장할 수 있을까요? 이는 안전한 코드 작성에서 시작되며, 개발 프로세스 초기 단계부터 안전한 소프트웨어 코드를 작성하는 데 필요한 기술을 개발자에게 제공하고, 동시에 사용 중인 제3자 코드의 부족한 점을 식별할 수 있도록 함으로써 가능합니다.

계약직 팀에게도 교육 기회 제공

기업은 개발자에게 안전한 코드 작성법을 가르치기 위해 애자일 방식의 실습 교육 프로그램을 도입하는 것이 좋습니다. 이러한 교육의 결과는 분명합니다. 보안 코딩 교육을 받은 개발자는 그렇지 않은 개발자보다 취약점이 53% 적은 코드를 생산합니다. 또한 제3자가 생성한 코드에서 더 많은 코딩 실수를 잡아낼 수 있습니다.

기업 내부 개발자가 안전한 코드 작성 교육을 받았더라도 제3자 코드의 잠재적 결함은 해결되어야 합니다. 특히 국내외 여러 지역에 거점을 둔 대규모 기관의 경우, 많은 개발 팀이 정규직 직원(FTE)과 계약직 직원으로 구성되어 있습니다.

20여 년 전, 업계에서는 새로운 애플리케이션 수요를 맞추기 위해 소프트웨어 개발을 아웃소싱하려는 움직임이 거셌습니다. 그 추세는 5~10년 정도 지속되다가 다시 변화하기 시작했지만, 여전히 금융 기관의 일부 부서에서는 정규직과 계약직이 혼합된 팀이 운영되고 있습니다. 지속적으로 개발되는 수많은 애플리케이션 중 일부는 여전히 아웃소싱되고 있습니다.

하지만 코드가 정규직에 의해 개발되든 제3자에 의해 개발되든 고객과 규제 당국의 기대치는 변함이 없습니다. 기업이 사용하는 모든 소프트웨어 코드는 동일한 표준을 충족해야 하며, 이는 모든 개발자가 동일한 수준의 역량을 갖춰야 함을 의미합니다.

기업이 계약직에게 교육을 강제하는 데는 계약상의 한계가 있을 수 있지만, 최소한 교육을 받을 수 있는 환경을 조성하는 것은 중요합니다. 일부 금융 기업은 자체 교육 프로그램을 만들기도 했는데, 예를 들어 Capital One은Tech College를 2016년에 출범했습니다. Synchrony Bank나 North American Bancard와 같은 다른 은행 및 금융 기업들도지속적인 학습이라는 애자일 개념을 도입하여 인재 수준을 높이고 있습니다.

기업들은 개발자가 특정 시스템에 접근하기 전에 일정 자격 요건을 갖추도록 하는 '코딩 라이선스' 방식을 도입할 수도 있습니다.

지속적인 IT 인력 부족 현상 속에서 기업들은 공급이 부족한 시장에서 인재를 확보하기 위해 경쟁하기보다 기존 직원의 직무 역량을 강화하는 방향을 선택하고 있습니다. 교육을 제공하는 것은 자신의 경력을 발전시킬 수 있는 직원과 필요한 기술을 갖춘 인력을 확보하게 되는 기업 모두에게 이익이 됩니다. 또한 교육 프로그램은 직원 경험을 개선하여 근속률을 높이는 데도 기여할 수 있습니다.

현재와 같은 환경에서는 지속적인 학습이 중요합니다. 사이버 보안 환경은 끊임없이 진화하며 더욱 정교해지고 있습니다. 또한 규제 당국의 요구 사항도 매년 변화하여 규정 준수를 유지하는 데 따르는 복잡성이 커지고 있습니다. 이러한 요구 사항을 충족하지 못할 경우 벌금이나 기타 비용이 발생할 뿐만 아니라 기업에 실질적인 타격을 주는 평판 하락으로 이어질 수 있습니다.

핵심은 개발자의 참여를 이끌어내는 것입니다

기업들은 연 1회 실시하는 형식적인 규정 준수 교육에서 벗어나, 개발자와 다른 직원들이 보안에 더 깊이 관여할 수 있도록 설계된 연중 상시 교육으로 전환하고 있습니다. 핵심은 직원들이 필요할 때 필요한 교육을, 자신의 업무 환경에 맞는 형식으로 제공하는 민첩한 플랫폼을 갖추는 것입니다.

예를 들어, 영국에 본사를 둔 소프트웨어 솔루션 기업Sage는 Secure Code Warrior의 플랫폼을 도입하여 개발자가 현재 수행 중인 기술에 맞춘 분기별 교육을 실시하고 있습니다.

Sage의 보안 전문가인 매즈 하워드(Mads Howard)는 최근웨비나에서 교육은 최대한 개인화되어 있으며 개발자가 선호하는 업무 방식에 맞춰져 있다고 말했습니다. 또한 Sage는 피드백 루프를 통해 양방향 소통을 장려합니다. 교육은 형식적인 규정 준수보다는 참여에 더 중점을 두고 있으며, 정기적으로 토너먼트를 개최하고 보안 문제에 대한 직원들의 참여를 높이기 위한 다른 사내 이니셔티브와 교육 프로그램을 연계하려는 노력을 기울이고 있습니다.

그 결과, 지난 1년간 Sage는 소프트웨어 문제를 해결하는 데 걸리는 평균 시간을 82% 단축했다고 하워드는 밝혔습니다. 또한 직원들의 참여도도 훨씬 높아졌습니다.

하워드는 코딩은 보안 문화를 구축하는 과정의 일부이며, 궁극적인 목표는 고객과의 신뢰를 쌓는 것이라고 말했습니다. 보안 문화는 사람들의 태도, 인식, 신념을 중심으로 형성되며 경영진을 포함한 전사적인 참여가 필요합니다. 타겟팅된 교육을 쉽게 소비할 수 있는 마이크로 단위로 제공하는 유연한 보안 코딩 교육 프로그램은 이러한 문화를 구축하는 데 필수적인 요소가 될 수 있습니다.

Integrations

Discover how Sage implemented best practices in building a secure code learning program, learn the do's and don'ts of a secure code learning program, and see the business and financial impacts including productivity gained and time saved.

Discover

‍트렌드 5: 팀/벤더 전반에 걸친 ROI에 대한 집중 강화

보안 코딩이 투자 수익률(ROI)에 직접적으로 기여하는 방법

금융 서비스 산업은 은행 및 재무 관리부터 신용카드 및 디지털 결제 서비스에 이르기까지 광범위한 분야를 아우릅니다. 보험조차도 종종 이 범주에 포함됩니다. 각 분야의 기업들은 처리하는 거래의 성격과 국내 기업인지 다국적 기업인지에 따라 서로 다르지만 종종 중복되는 규제 요구 사항에 직면합니다.

하지만 기업이 어떤 분야에 종사하든 경제적 고려 사항은 비즈니스 전략에 영향을 미칩니다. 주식 시장은 호조를 보이고 있지만, 주식 시장이 항상 미래의 성공을 보장하는 것은 아닙니다. 한편, 금융권에서는 경기 침체 가능성과 기타 중대한 도전 과제들에 대한 불안감이 존재합니다.

그 결과 많은 조직이 허리띠를 졸라매며 효율성을 높이고, 새로운 비용 지출에 대해 확실한 투자 수익률(ROI)을 확보하는 것을 중요하게 생각하고 있습니다. ROI를 높이는 한 가지 방법은 보안 코딩 학습에 투자하는 것입니다. 엔지니어링과 보안이 만나는 소프트웨어 개발 수명 주기(SDLC)에서 프로세스 초기부터 안전한 코드를 작성하고 결함을 최대한 빨리 수정하는 것은 비즈니스에 명확하고 정량적인 이익을 가져다줄 것입니다.

보안이 취약한 소프트웨어의 높은 비용

데이터는 모든 금융 서비스 기관의 핵심이며, 보안이 취약하고 비효율적인 소프트웨어로 데이터를 처리할 때 발생하는 비용은 빠르게 불어날 수 있습니다. Secure Code Warrior의연구조사 결과에 따르면 2022년 소프트웨어 품질 문제로 인해 미국 기업들이 입은 손실은 총 2조 4,100억 달러에 달했습니다. 이러한 비용 부담은 개발자들에게까지 이어져, 개발자들은 기술 부채를 유지하고 해결하는 데 점점 더 많은 시간을 할애하고 있습니다. 현재 개발자들은 업무 시간의 약 3분의 1을 기술 부채 관리에 사용하고 있으며, 이 수치는 2025년까지 40%에 이를 것으로 예상됩니다.

애자일 기반의 보안 코딩 교육은 이러한 부정적인 수치를 크게 개선할 수 있습니다. Secure Code Warrior로 교육받은 개발자는 그렇지 않은 동료보다 취약점을 53% 적게 발생시키며, 문제 해결 시간도 절반으로 단축되는 것으로 나타났습니다. 한 글로벌 대형 은행은 SCW 교육을 통해 취약점을 50% 줄였으며, SQL 인젝션 및 크로스 사이트 스크립팅(XSS) 결함을 사실상 제거했습니다.

애자일 보안 코딩 교육의 이점은 조직이 '시프트 레프트(shift-left)'를 더 많이 실천할수록 더욱 커집니다. 예를 들어, 기술 부채로 인한 비용은 테스트 단계에서 해결할 경우 절반으로 줄어들지만, 코딩 단계에서 해결하면 14배 더 감소합니다.

사례 연구: Envestnet의 개발자 참여 전략

보안 코딩의 영향은 측정 가능한 ROI(투자 대비 효과) 향상으로 이어질 수 있습니다.한 사례를 보면, 대형 금융 기술 기업인 Envestnet은 OWASP(Open Worldwide Application Security Project) 10대 웹 애플리케이션 위험에만 치중된 기존의 수동적이고 지루한 보안 및 규정 준수 교육에서 벗어나고자 했습니다.

Envestnet은 보안 코딩을 실천하고 SDLC 초기 단계에서 문제를 해결하는 시프트 레프트 전략을 채택했습니다. 하지만 우선 개발자들이 기존 보안 교육에 참여하지 않는 문제를 해결해야 했습니다. 이들은 SCW를 도입하여 실제 시나리오를 바탕으로 한 4단계 실습 프로그램을 구현했습니다. 각 단계를 완료할 때마다 개발자에게 인증서를 수여함으로써 애플리케이션 보안을 강화했을 뿐만 아니라 개발자의 커리어 성장도 도왔습니다.

처음 두 단계는 보안 인식 제고에 중점을 두었고, 3단계와 4단계는 보안 챔피언을 선정하는 과정으로 구성되었습니다. 교육 프로그램에는 토너먼트도 포함되어 개발자들의 참여도를 더욱 높였습니다. 약 6개월 간격으로 진행된 두 번의 토너먼트 사이에서 참여율은 두 배로 증가했습니다.

결과: SCW 교육을 받은 개발자는 동료보다 2.7배 더 많은 취약점을 해결했으며, 문제 해결 속도는 120% 향상되었습니다. 또한 SCW 교육을 받은 개발자는 교육을 받지 않은 동료들이 개발자당 1.82개의 취약점을 해결한 것에 비해, 개발자당 4.5개의 취약점을 해결했습니다.

시프트 레프트로 수익성 개선하기

애자일 보안 코딩 프로그램은 각 기업이 제공하는 금융 서비스의 유형, 시스템 규모, 개별 요구 사항에 맞춰 조정할 수 있습니다.

기업은 PCI DSS(지불 카드 산업 데이터 보안 표준), OWASP ASVS(애플리케이션 보안 검증 표준) 또는 기타 요구 사항 등 규정을 준수해야 합니다. 또한 항상 안전한 코드를 작성해야 합니다. 하지만 단순히 형식적인 교육 프로그램만으로는 부족합니다. 보안 코딩 방법을 제대로 가르치거나, 고도로 훈련된 보안 인식 역량을 갖춘 개발자를 통해 얻을 수 있는 효율성 향상을 달성하기에는 역부족이기 때문입니다.

SDLC 초기 단계부터 보안 코드를 도입하고 제품 수명 주기 전반에 걸쳐 이를 유지하는 전략을 뒷받침하는 실습 교육은 위험을 줄이고 출시 시간을 단축하여 결과적으로 ROI를 높여줍니다. 시스템, 프로세스, 심지어 사이버 공격까지 점점 더 정교해지는 상황에서 보안 코딩은 절실히 필요합니다. 이는 보안뿐만 아니라 조직의 수익성 측면에서도 결정적인 차이를 만들어낼 수 있습니다.

Integrations

Explore how Envestnet adopted an agile secure code learning platform and tripled developer effectiveness in vulnerability reduction.

Explore

결론

보안 코딩은 신뢰를 구축하는 동시에 보안과 생산성을 향상시킵니다

금융 서비스 기관은 사람들의 돈과 매우 민감한 개인 정보라는 귀중한 자산을 다룹니다. 하지만 어떤 면에서 조직이 가질 수 있는 가장 소중한 자산은 바로 '신뢰'입니다. 신뢰는 충성도 높은 고객을 유치하고 유지하는 데 필수적입니다. 또한 많은 금융 거래가 디지털 방식으로 처리되기 때문에, 그 신뢰성과 소프트웨어의 보안은 안전한 소프트웨어 코드에 달려 있습니다.

복잡한 하이브리드 클라우드 환경에서 금융 조직은 시프트 레프트를 통해 소프트웨어 개발 수명 주기(SDLC)의 시작 단계부터 보안을 도입해야 합니다. 이는 개발자가 안전한 코드를 작성하도록 교육하고, AI가 생성한 코드나 타사 코드의 취약점을 식별할 수 있도록 역량을 강화하는 것을 의미합니다.

이는 끊임없이 증가하는 수요를 충족하기 위해 빠르게 애플리케이션과 서비스를 개발하는 데 익숙한 많은 기업에게 문화적 변화를 요구합니다. 핵심은 기업 내에 보안 문화를 조성하고 애자일한 실습형 보안 코딩 교육으로 개발자들의 참여를 이끌어내는 것입니다. 이러한 접근 방식의 이점은 분명합니다.

상생하는 문화적 변화 조성하기

Secure Code Warrior의 연구 결과에 따르면, SCW를 통해 보안 코딩 관행을 학습한 개발자는 그렇지 않은 개발자보다 취약점을 53% 적게 생성하며, 이는 상당한 시간과 비용 절감 효과로 이어집니다.

현재 개발자들은 업무 시간의 약 3분의 1을 소프트웨어 코드 수정에 낭비하고 있으며, 67%는 취약점이 있다는 것을 알면서도 코드를 배포한 적이 있다고 인정했습니다. SCW 고객들은 애자일 학습을 통해 위험 감소와 개발자 생산성 측면에서 2~3배의 성과를 거두었습니다.

SDLC(소프트웨어 개발 수명 주기)에서 조직이 왼쪽으로 더 많이 이동할수록 절감 효과는 커집니다. 테스트 단계에서 문제를 해결하면 비용을 절반으로 줄일 수 있지만, 코딩 단계에서 해결하면 비용을 14배까지 절감할 수 있습니다.

애자일 교육 플랫폼은 기업과 개발자 모두에게 이익이 됩니다. 개발자는 새로운 기술을 습득하여 경력을 발전시킬 수 있고, 기업은 효과적인 교육과 보람 있는 업무 경험을 제공함으로써 숙련된 개발자의 이탈을 방지할 수 있습니다.

흥미롭게도 개발자의 92%가 더 많은 교육을 원한다고 답했습니다. 하지만 교육은 올바른 방식이어야 합니다. 기존의 교과서식(또는 슬라이드 위주의) 규정 준수 교육은 지루함을 유발하고 형식적인 의무 이행에 그치기 쉽지만, SCW와 같은 애자일 플랫폼은 개발자의 참여를 이끌어내는 것으로 입증되었습니다. 교육은 개발자가 현재 작업 중인 내용과 프로그래밍 언어에 맞춰 조정될 수 있습니다. 또한 개발자가 직면한 실제 문제를 다루는 타겟팅된 마이크로 학습 콘텐츠를 제공함으로써 교육의 가치와 참여도를 높일 수 있습니다.

보안 코드 교육은 보안을 최우선으로 하는 조직으로의 문화적 변화를 이끄는 핵심 요소가 될 수 있으며, 금융 서비스 기관의 사이버 보안, 성과, 그리고 궁극적으로는 수익성을 향상시킵니다.