왜 게임화가 소프트웨어 보안 강화의 핵심인가

앱 보안 관리자, 최고정보책임자(CIO), 사이버 보안 전문가 — 저는 소프트웨어 개발 및 보안 분야에서 경력을 쌓아오면서 전 세계 다양한 기업에서 근무한 이들 중 다수와 이야기를 나눈 경험이 있습니다.

여러분의 상황이 얼마나 다르든, 팀의 경험이 얼마나 풍부하든, 끊임없이 변화하는 디지털 세계에서 시간이 얼마나 흘러가든, 한 가지 문제는 항상 동일하게 남아 있습니다: 여러분은 개발팀을 보안 문제에 대해 긍정적으로 이끌어내는 경우가 거의 없습니다. 보안은 여전히 욕설이나 다름없으며, 팀 간 갈등의 원천이자 업계의 골칫거리입니다.

소프트웨어 보안은 우리 일반적인 사고방식에서 너무나 중요하기 때문에 이 길을 계속 갈 수는 없습니다. 우리는 논의를 바꾸고 보안을 모든 개발자의 업무 생활에 필수적인 요소로 만들기 위해 노력해야 합니다. 그리고 이를 위한 가장 좋은 방법 중 하나는 게임화 같은 방식으로 개발자들의 보안 역량을 강화하고 그들과 소통하는 것이라고 생각합니다.

현재의 풍경

개발자들은 안전한 코드 배포에 관한 실질적인 지식이 거의 없는 상태로 대학을 졸업합니다. 그들은 보안 교육이 거의 우선순위가 되지 않는 직종에서 일합니다(우선순위가 되더라도 대개 건강 및 안전에 관한 의무적 규정 준수 동영상 일부로 포함되는데, 이 동영상들은 너무 지루해서 아무도 안전한 프로그래밍에 관심을 가지려 하지 않습니다). 보안과 관련된 첫 경험은 대개 감사나 테스트 버그 리포트로, 향후 출시를 갑작스럽게 중단시키며 즉시 최우선 과제로 창의적 사고를 방해합니다. 보안 리포트를 담당하는 이들과 마찰을 빚게 되면서, 그들의 머릿속에서 '보안'은 '비판'과 동의어가 되어버립니다. 으악.

솔직히 말해서 소프트웨어 보안에 대한 이런 부정적인 인식이 널리 퍼져 있다는 건 정말 안타까운 일입니다. 결국 제 경력에서 가장 좋은 추억 중 일부는 소프트웨어 보안에 대해 배우던 시절과 연결되어 있으니까요. 해커로서의 초창기 시절, 저는 컨퍼런스에 다니며 동료들과 실력을 겨루고(솔직히 말하면 좀 자랑하기도 하면서) 소프트웨어 개발을 저만큼이나 즐기는 동지들을 만나는 즐거움에 푹 빠져 지냈습니다.

브루콘, 디프콘, 블랙햇... 이런 행사들은 저 같은 사람들에게 우호적인 경쟁 속에서 우리의 능력을 발휘할 기회를 제공했습니다. 비록 그런 비사회적인 행사에 참여했다는 사실을 절대 인정하지 않겠지만, 일부 참가자들은 다른 참가자들의 휴대폰을 해킹해 정보를 발표 화면에 공개적으로 표시하는 식으로 해커 실력을 과시하기도 했습니다. 이는 결함을 찾아내고 악용하며 수정해 소프트웨어를 개선하는 게임이 되었습니다. 몇 년 전, 저는 중동의 수백 명의 아이들 앞에서 사이버 보안에 대해 가르칠 특권을 누렸습니다. 제 학생 중 한 명인 여덟 살 소녀가 놀이를 통해 비밀번호 무차별 대입 공격과 Base64 인코딩을 배웠던 기억이 아직도 생생합니다.

게이미피케이션은 프로그래밍 기술을 가르치는 데에도 활용됩니다. 전 세계 교육 기관들은 이 접근법을 통해 아주 어린 아이들에게부터 고등학생까지 프로그래밍을 가르치고 있습니다. 4세 어린이들도 이제 정기적으로 코드캠프 같은 방학 프로그램을 참여하며, 파이썬 및 기타 언어로 프로그래밍을 가르치는 훌륭한 온라인 프로그램들이 다수 존재합니다. 저는 심지어 네 살 난 딸을 위해 화면 없는 코딩 도구인 큐베토( Cubetto)를 구입하기도 했습니다.

모든 재미와 발전에도 불구하고 한 가지 공백이 존재합니다. 아무도 게임화 기법을 활용해 개발자들에게 안전한 코드 작성을 가르칠 가능성을 생각하지 못했습니다.

음... 거의 아무도 없었죠. 몇 년 전, 저는 보안 분야를 다시 영감을 주는 방식으로 재구성하고 개발자들이 진정으로 참여하고 게임을 시작하도록 동기를 부여해야 한다는 점을 깨달았습니다.

게임화: 미래로 가는 쉬운 길.

내 안에는 개발자를 성장시키고 그들에게 보안 지식을 전수하려는 깊은 열망이 자리 잡고 있으며, 바로 이 열정이 Secure Code Warrior 했습니다. 소프트웨어 보안은 매우 중요할 뿐만 아니라 정말 흥미진진할 수 있습니다.

나는 내 생각에 혼자가 아니다.

게임화는 가장 평범한 일조차도 재미있게 만들 수 있으며, 사람들이 계속해서 플레이하고 승리하며 진전을 이루도록 유도합니다 — 포켓몬 고가 어떻게 작동하는지 보세요! 게으름뱅이도 소파에서 끌어내어 밖으로 나가 가상의 생물을 찾게 만들거나, 핏빗이 많은 이들에게 걸음 수 목표를 매일 달성하도록 만드는 것처럼... 목표를 달성하지 못하거나 시리즈를 끝내지 못하거나 배지를 획득하지 못할 때 매우 현실적인 실망감이 생깁니다.

또한, 보안 교육으로 돌아가 보겠습니다. 우리는 수많은 고객사를 통해 게임화가 조직 내 보안 문화를 진정으로 변화시키는 핵심 요소임을 입증해 왔습니다. 우리는 애플리케이션 보안(AppSec) 팀과 개발 팀 간의 가교 역할을 하며, 전반적으로 더 높은 수준의 소프트웨어를 개발할 수 있도록 지원합니다.

현재 개발자에게 안전은 최우선 과제가 아닙니다. 훈련 방법에 친근하고 경쟁적이며 몰입감 있는 요소를 추가함으로써, 단순히 '플레이'하는 것을 넘어 더 많은 점수를 획득하고, 최고 기록을 경신하며, 정확도를 높이고, 팀 동료들에게 도전하기 위해 계속해서 돌아오도록 동기를 부여할 수 있습니다.

우리는 이미 성공적인 훈련이 대략 다음과 같다는 것을 알고 있습니다:

• 개발자는 실제 코드와 자신들이 선호하는 언어/프레임워크로 작업할 수 있습니다.
• 도전 과제는 짧으며 모든 일반적인 보안 취약점을 다룹니다
• 도전 과제는 지속적으로 확장 및 업데이트되어 개발자가 시간이 지남에 따라 자신의 역량을 더욱 발전시킬 수 있습니다.
• 도전 과제는 복잡성이 다양하여 경험이 풍부한 개발자와 경험이 적은 개발자 모두에게 흥미롭습니다.
• 개발자와 그들의 관리자는 진행 상황을 추적할 수 있습니다. 여기에는 극복한 과제, 강점과 약점, 교육에 소요된 시간, 그리고 전반적인 정확도가 포함됩니다.

우리의 주요 고객사 중 한 곳이 플랫폼 출시 과정에서 게임화 플랫폼의 진정한 마법을 보여주었습니다. 해당 기업은 개발자들에게 주제별 팀 장비를 제공하고 우승자에게는 훌륭한 상품을 수여하며, 그들의 대회를 잊지 못할 하루로 만들었습니다. 이후 그들은 국제 대회를 개최해 왔으며, 현재까지도 전체 팀이 진지한 훈련 시간을 투자하고 있습니다.

여러분의 소프트웨어 혁명은 여기서 시작됩니다. 호주 은행 업계는 나쁜 코드와의 싸움에서 게임화 교육 도입을 선도하고 있습니다. 이는 전통적(혹은 지루한) 교육을 완전히 뒤집는 진정으로 혁신적인 접근법입니다. 저희 고객사가 차세대 토너먼트로 무엇을 이루었는지 직접 확인해 보세요. 여러분의 팀을 함께 성장시킬 준비가 되셨나요?

우리는 대화를 바꾸고 보안을 모든 개발자의 업무 생활에 필수적인 요소로 만들기 위해 노력해야 합니다. 그리고 이를 위한 가장 좋은 방법 중 하나는 게임화 같은 방식으로 개발자들의 보안 역량을 강화하고 그들과 소통하는 것이라고 생각합니다.