공개되었습니다: 사이버 업계가 보안을 설계로 정의하는 방법

기업이 규정 준수뿐만 아니라 중요한 비즈니스 요구 사항으로서 보안 설계 원칙을 제품 개발 프로세스에 포함시켜야 한다는 사실이 점점 더 분명해지고 있습니다. 이 가이드라인은 기업이 제품을 시장에 출시하기 전에 제품에서 악용 가능한 결함을 식별하고 완화하기 위해 마련되었습니다. 이러한 가이드라인을 단순한 부가 기능이 아닌 기본 축으로 취급하는 조직에서 이러한 원칙에 따라 구축한 제품은 경쟁이 치열해지는 시장에서 앞서 나가는 경향이 있습니다. 

그러나 미국 정부의 사이버보안 및 인프라 보안국(CISA)이 보안 설계 가이드라인을 발표한 지 2년이 지났지만 실제 구현은 여전히 업계 전반에서 풀어야 할 숙제입니다. 이러한 원칙이 중요하다는 것은 누구나 알고 있지만, 어떻게 하면 이를 대규모로 효과적으로 구현할 수 있을까요?

최신 백서에서 공동 창립자인 피터 댄히우와 마티아스 마두 박사는 CISO, 앱보안 리더, 보안 전문가 등 20명이 넘는 기업 보안 리더들과 함께 이 퍼즐의 핵심 조각을 파악하고 Secure by Design 운동의 실체를 밝혀내기 위해 이야기를 나눴습니다. 보안 팀 전체에 걸쳐 야망을 공유하고 있지만 공유된 플레이북은 없습니다. 

주요 결과 몇 가지를 살펴보세요:

• 대부분의 보안 실무자와 비즈니스 리더는 보안 설계 이니셔티브의 개념과 가치에 동의하지만, 어떤 면에서는 여전히 해석의 여지가 있으며 이를 구현하기 위한 업계 전반의 표준 접근 방식이 없습니다.

• 위협 모델링은 단순히 규정 준수 체크리스트에 체크하는 것이 아니라 보안에 정통한 개발자와 앱 보안 담당자가 익스플로잇이 되기 전에 위험을 미리 파악할 수 있도록 도와주는 중요하고 일관성 있는 관행입니다. 

• 양날의 검, 인공지능 - 인공지능은 획기적인 기술인 동시에 공격 표면을 크게 확장하는 강력한 보안 위험입니다. AI의 폭발적인 성장으로 인해 숙련되지 않은 개발자와 리소스가 부족한 앱 보안 팀은 빠르게 진화하는 위험을 완화하는 데 어려움을 겪고 있습니다.

보안 설계 원칙 적용의 중요성에 대한 이해 부족이 문제가 아니라 오히려 보안 소프트웨어의 필요성이 기본적인 요구이자 기본적인 기대치가 되었다는 것이 문제입니다. 문제는 소프트웨어 개발 수명 주기 전반에 걸쳐 이러한 원칙을 적용하기 위한 조율되고 확장 가능한 전략이 없다는 것입니다. 

또한 성공적인 롤아웃을 판단할 수 있는 명확한 벤치마크나 측정 가능한 결과도 부족한 것 같습니다. 이러한 기준이 없으면 팀들은 자신들의 노력이 진정으로 영향을 미치고 있는지에 대해 추측할 수밖에 없습니다. 현재로서는 단합된 전선이 있는 것처럼 보이지만 공유된 전략은 없는 것 같습니다. 

보안 설계는 규정을 엄격하게 준수하는 분야에만 적용되는 것이 아니라 필수적이며 필연적인 요소입니다. 개발자에게도 부담이 아닌 권한이 주어져야 합니다. 올바른 기술, 도구, 지원을 갖추면 개발자는 단순한 구축자가 아니라 방어자가 되어 가장 중요한 곳, 즉 소스에 보안을 내재화할 수 있습니다. 

지금 다운로드 를 다운로드하고 팀이 강력한 개발자 위험 관리 전략과 정밀한 측정을 활용하여 기업 내에서 통합된 보안 설계 이니셔티브를 성공적으로 추진하는 방법을 알아보세요.