현재의 보안 코드 교육은 개발자들을 실망시키고 있다

데이터 보호 위반과 그로 인한 비용이 계속 증가함에 따라, 우리 세계에서 생성되는 코드의 양은 보안 전문가들이 혼자서 처리하기에는 너무 방대합니다. 기업들은 안전한 프로그래밍 기술을 갖춘 개발자가 필요하며, 개발자들도 자신의 경력을 발전시키기 위해 이러한 기술이 필요하다는 것을 알고 있습니다. 하지만 현재의 보안 코드 교육은 그들을 제대로 지원하지 못하고 있습니다. 그렇다면 개발자들은 보안 코드 교육에 대해 무엇을 원할까요? 이 질문에 답하기 위해, Secure Code Warrior Evans Data Corp*가 최근 수행한 연구에서 도출된 몇 가지 통찰력을 살펴보겠습니다. 이 연구는 개발자들의 안전한 프로그래밍, 안전한 코드 관행 및 보안 운영에 대한 태도를 조사했습니다. (백서 다운로드 여기).

개발자들이 원하는 교육 유형에 관해 묻는다면, 그 답은 명백합니다. 개발자의 75%는 체계적인 직장 내 교육을 선호했으며, 이는 가장 효과적이고 만족스러운 학습 방식이라고 생각했기 때문입니다. 그리고 이러한 교육이 무엇을 포함해야 하는지에 관해서는 개발자들이 매우 명확하고 구체적인 요구사항을 제시했습니다:

• 65%는 언어별 보안 취약점에 대해 교육을 받아야 한다고 답했습니다.
• 65%가 OWASP Top 10에 대한 더 많은 교육을 원합니다
• 많은 기업들이 규정 준수 보안 프레임워크에도 집중하고자 하며, 여기에는 NIST(58%), CIS(52%), PCI DSS(50%)가 포함됩니다.
• 78%는 이 교육의 일환으로 비공식적인 동료 코칭 및 상담을 원합니다.
  

그러나 개발자들이 구조화된 과정 학습을 비구조화된 학습보다 선호하더라도, 이러한 과정 학습이 전달되는 방식은 매우 중요합니다. 이는 당연히 또 다른 결정적인 질문을 제기합니다:

개발자들은 어떤 방식으로 배우는 것을 가장 선호할까요?

개발자들은 강사의 설명을 듣고만 있기를 원하지 않습니다. 직접 손에 쥐고 체험해보고 싶어 합니다. 그들은 실용적인 응용에 집중하기를 원합니다 — 이는 현재 교육 프로그램에서 심각하게 부족한 부분입니다. 기업이 제공하는 교육의 개선 방안에 대한 질문에 응답자의 30%는 교육이 실용적인 응용, 특히 실제 업무 시나리오에 초점을 맞추기를 원한다고 답했습니다.

개발자 교육에는 인간 중심의 접근 방식이 필요하며, 이는 "게임화된" 프로그래밍 과제를 포함하는 안내형 학습 경로를 제공해야 합니다. 이러한 과제는 실무에 기반하면서도 언어 및 프레임워크 특화적이어야 합니다. 역할 기반의 '놀이 같은' 교육은 개발자의 참여도를 크게 높입니다. 구성 가능한 학습 모듈을 통해 기업은 개발자의 학습을 특정 보안 취약점에 집중시킬 수 있습니다.

구조화된 역량 기반 경로를 활용하여 개발자가 원하는 교육을 제공함으로써 소프트웨어 보안을 개발 프로세스의 핵심 요소로 만드는 방법을 알아보려면, 지금 데모를 신청하세요 지금.

„상호작용형 시뮬레이션은 코드 내 보안 취약점을 식별하는 데 도움을 주며, 비판적 사고를 통해 해결책 또는 여러 해결책을 찾도록 도전합니다. 저는 코드를 새로운 시각으로 바라보게 되었고, 직접 손을 대는 과정이 정말 즐거웠습니다!“
‍소프트웨어 엔지니어, 금융 서비스‍

*반응에서 예방으로의 전환: 변화하는 애플리케이션 보안의 모습. Secure Code Warrior Evans Data Corp. 2020