IAG Group은 아시아 태평양 지역의 주요 보험사 중 하나로, 연간 약 114억 호주 달러의 보험료로 수백만 명의 고객을 위한 보험을 인수하고 있습니다. 비앙카 워스는 IAG 그룹의 기업 보안 교육 및 인식 관리자입니다. 개발팀 내에서 철저한 보안 인식과 관행이 필요하다는 것을 잘 알고 있는 그녀는 팀이 중요한 보안 코딩 기술을 배울 수 있는 혁신적이고 최적의 환경을 조성하기 위해 노력했습니다.

입력: 코드 게임

도전 과제

개발자는 여러 결과물과 프로젝트를 처리하느라 시간이 부족할 때가 많습니다. 하지만 해커로부터 수백만 개의 민감한 고객 데이터 프로필을 안전하게 보호해야 하는 조직은 물론 모든 조직에서 보안 모범 사례를 최신 상태로 유지하는 것이 가장 중요합니다. 비앙카와 그녀의 팀은 사이버 보안 이니셔티브를 더욱 강력하게 만들기 위한 명확한 목표를 세웠습니다. 이들은 IAG가 개발한 애플리케이션의 공격 면적을 최소화하는 것이 최우선 과제라고 판단하고 개발자를 교육하여 중요하고 위험도가 높은 취약점을 식별하고 수정하는 방식으로 접근하기로 했습니다. 장시간의 보안 코딩 교육( courses )은 분명 존재하지만, 힘들고 지루할 수 있으며 엄격한 납품 일정으로 인해 핵심 인력이 개발 프로젝트에서 멀어져 비즈니스 전반에 부담을 줄 수 있습니다. 업무량과 운영에 미치는 영향을 최소화하면서 개발팀의 역량을 빠르게 향상시켜야 할 필요성이 분명해졌습니다. 호주와 뉴질랜드의 개발자들이 각각 서로 다른 시스템에서 작업하고 있었기 때문에 이는 결코 쉬운 일이 아니었습니다.

"올해 저는 소스 코드를 변경하여 SQL 인젝션 취약점을 제거했습니다. 이 점에 대해 Game of Codes의 공로를 인정하고 싶습니다. 보안 코딩을 염두에 두는 것만으로도 큰 도움이 됩니다. 보안이 모든 사람에게 가장 즐거운 주제는 아니기 때문에 이 대회는 사람들이 최선을 다하도록 독려하는 좋은 방법입니다." R, IAG 개발자

구현

비앙카는 게임화된 교육 경험의 출시를 전략화하여 팀 및 Secure Code Warrior 과 협력하여 tournaments 을 구현하고 사내 개발자의 기술 향상을 위한 교육을 실시했습니다. 이를 위해서는 건전한 커뮤니케이션 전략을 수립하는 것은 물론, 완전히 새로운 플랫폼을 채택하고 그 잠재력을 최대한 활용하려는 직원들의 다양한 동기와 개성을 충족하는 것이 필수적이었습니다:

"직원과 주요 이해관계자가 알아야 할 사항, 핵심 메시지, 응답을 유도하기 위해 어떤 인센티브를 제공할 것인지에 대한 커뮤니케이션 계획을 수립했습니다. 대부분의 사람들은 게임화된 경험을 정말 좋아합니다. 다만 개개인의 성격과 동기, 그리고 무엇이 그들을 움직이게 하느냐에 따라 다릅니다. 그렇기 때문에 저희는 사람들의 다양한 동기를 충족시키기 위해 노력합니다. 어떤 사람들은 상금을 좋아하고, 어떤 사람들은 성취감 그 자체만으로도 충분합니다." 라고 그녀는 말합니다.

비앙카와 IAG는 Secure Code Warrior의 게임화( learning platform)를 전문적으로 선보여 tournament 를 '게임 오브 코드'라는 재미있는 경쟁 경험으로 탈바꿈시켰으며, 중세 시대 테마의 집(브랜드 플레이어 상품으로 완성)에 배치된 직원들이 HBO에서 제작한 이름에 걸맞은 전투를 펼쳤습니다.

tournament 대회는 곧 호주와 뉴질랜드의 대결이 예정되어 있는 등 국제 무대까지 진출했습니다. 이를 통해 IAG는 양국의 주요 보안 챔피언을 파악할 수 있을 뿐만 아니라 팀들이 함께 기술을 향상시킬 수 있는 기회를 제공합니다.

결과

게임 오브 코드는 사실상 전문 교육 프로그램입니다. 인터랙티브하고 재미있는 tournament 형태로 출시되어 직원들이 다양한 방식으로 참여할 수 있었지만, 개발자에게 IAG가 개발한 애플리케이션의 고위험 취약점을 식별하고 차단하는 데 필요한 기술을 제공한다는 훈련의 핵심적인 실용성은 그대로 유지되었습니다.

개발자와 보안팀 모두 보안을 최우선으로 하는 사고방식으로 작업하고, 취약점을 처음부터 식별할 뿐만 아니라 수정할 수 있는 역량을 갖추도록 함으로써 IAG는 비용이 많이 드는 모의 침투 테스트 연습과 이를 수행하는 팀의 부담을 줄일 수 있을 것으로 기대합니다.

이 중요한 역량이 지속적으로 개발되는 것 외에도 Game of Codes는 관계 형성에 도움이 되어 참여 팀 간에 동지애와 우호적인 경쟁심을 불어넣는 한편, 개인이 점수를 매기는 tournament 환경에서 자신의 안전한 코딩 능력을 측정하는 것을 보면서 자신감을 가질 수 있도록 도와줍니다.

비앙카는 이 프로그램에 대한 내부 지원이 엄청났으며 경영진의 긍정적인 반응이 있었다고 말했습니다. 또한 이 프로그램을 홍보하고 조직 내에서 보안을 옹호하는 데 관심이 있는 개인이 참여할 수 있는 앰배서더 프로그램도 마련되었습니다:

"일부 개발자에게는 환상적인 노출이 되었고 자신의 기술을 홍보할 수 있는 훌륭한 기회였습니다. 그들은 자신의 업무에서도 이러한 혜택을 누리고 있으며, 이는 매우 중요한 일입니다."

'단순한 게임'이거나 부서 관리자가 규정 준수 교육을 더 즐겁게 이수할 수 있는 방법이 아닌, 보안 초보자를 보안 챔피언으로 빠르게 전환하여 대규모 침해 위험을 최소화하는 데 필수적인 높은 유지율과 참여도를 자랑하는 솔루션을 제공합니다.

그리고 비앙카가 직접 전하는 최고의 조언도 있습니다:

"어떤 프로그램을 배포하고 사람들이 그냥 사용하기만 하면 효과가 없을 것입니다. 변화된 행동을 유도하고 동기를 부여할 수 있는 프로그램을 설계해야 합니다. 우리가 구축한 것은 본질적으로 보안에 중점을 둔 개발자 변경 관리 프로그램입니다."

"게임 오브 코드 교육 세션을 수강한 후 보안에 더 관심을 갖게 되었고 자동화 테스트를 만들 때 보안에 대해 더 많이 생각하게 되었습니다. 저는 애자일 팀의 선임 테스터인데, 이 교육 세션을 통해 보안 테스트에 대해 더 많이 배우고 전문 분야로 생각하게 되었습니다." A, IAG 선임 테스터

요약 정보 

• 게임화된 학습 외에도 IAG는 개발자 채용 시 기술 테스트 도구로 Secure Code Warrior 를 활용하고 있습니다.
• 개발팀의 100%에게 프로그램을 배포하는 중이며, 55%는 이미 시스템에서 활동 중입니다.  
• 이들은 시간이 지남에 따라 위험을 최소화하고 비용을 절감하는 프로그램의 성공을 측정할 수 있는 주요 내부 지표 세트를 개발했습니다.
  ↪f_200D↩

Was, wann und warum sollten Sie Ihre Entwickler stärker einbeziehen.

‍

배경

탈레스 그룹은 항공우주, 방위, 운송 및 보안 부문을 위한 전기 시스템과 장치 및 장비를 설계, 개발 및 제조하는 프랑스의 다국적 기업입니다. 비스와나트 치라부리(Viswanath S. Chirravuri)는 탈레스의 소프트웨어 보안 기술 디렉터입니다. 비스와나스는 처음에는 프로그래머로 보안 분야에서 경력을 시작했습니다. 현재 보안 업계에서 18년 이상의 경력을 쌓은 탈레스의 선임 보안 리더로, CISSP, PMP, GSE 등 30개 이상의 자격증을 보유하고 있습니다. 그는 18개국 이상에서 3,000명 이상의 소프트웨어 전문가를 교육했습니다. 또한 Vis는 국제 사이버 보안( tournaments )에서 10회 이상 SANS 챌린지 코인을 획득했으며(예: 넷워즈), GIAC 자문위원회에서 활발히 활동하고 있습니다. Vis와 이야기를 나누며 그가 어떻게 인력, 프로세스, 기술을 조율하여 탈레스에서 성공적인 보안 코드 학습 프로그램을 개발했는지 알아보았습니다.

상황

비스는 탈레스에 입사했을 때 기술 부채의 백로그를 줄이기 위한 가능한 해결책으로 펜 테스팅을 통해 발견된 취약점의 원인을 살펴보도록 사업부를 지도했습니다. 애플리케이션 보안팀은 보안 태세를 강화하기 위해 IAST/DAST 도구부터 펜 테스트 도구까지 7개의 서로 다른 공급업체와 협력했습니다. Vis는 시장 동향을 파악하고 확장 가능한 방식으로 위협을 관리하여 프로세스와 기술 간의 강력한 통합을 통해 완화 전략을 개발하고자 했습니다. 이는 순전히 도구 기반 접근 방식에서 강력한 학습 요소가 포함된 전략으로 전환하는 것을 의미했습니다. 그는 많은 개발자가 보안에 대한 배경 지식이나 보안 기술이 없다는 사실을 알게 되었습니다. 초기 접근 방식은 개발자를 대상으로 OWASP 상위 10가지와 같은 주제에 대한 강의실 기반 교육을 제공하는 것이었지만, 직접 찾아가서 교육해야 하고 전 세계 수천 명의 개발자에게 도달해야 하는 상황에서 이러한 접근 방식은 확장성이 없다는 것을 금방 깨달았습니다. Vis는 다음과 같이 언급했습니다:

"보안과 개발 간의 비율에는 항상 불균형이 존재합니다. 보안과 개발자의 비율이 1:1이라고 해도 개발자의 참여를 항상 유지할 수는 없습니다. 개발자에게 새로운 공격 벡터, 모범 사례, 새로운 언어, 새로 발견된 취약점에 대한 최신 정보를 제공하려면 개발자의 자가 학습을 촉진하고 개발자가 자신의 속도에 맞게 진행할 수 있도록 해야 했습니다. 도움이 필요하다면 제가 도와줄 수는 있지만, 개발자가 발견한 모든 취약점을 수정하는 방법을 가르칠 수는 없다는 것을 깨달았습니다."

처음에는 개발자가 보안 코드 학습에 투자해야 하는 시간에 대한 개발 관리자의 반발이 있었고, 많은 개발자가 처음부터 시작한다는 점을 인식했습니다. Vis는 보안 코드 학습에 대한 투자가 소프트웨어 릴리스 주기를 방해하거나 미션 크리티컬 스프린트를 늦출 수 있다는 인식을 관리해야 했습니다. 그는 조직이 보안 코드에 대한 애자일 학습에 시간을 투자하도록 적절하게 동기를 부여할 방법을 찾아야 했습니다. Vis는 사람을 우선시하는 태도를 취하여 취약점을 원천적으로 해결했습니다, "사람들은 종종 보안이 개발 시간을 뺏는다고 말합니다. 하지만 저는 무언가를 개발했는데 안전하지 않다면 처음부터 시간 낭비라고 생각합니다. 항상 소프트웨어를 안전하게 개발하여 쉽게 피할 수 있었던 취약점을 수정하는 시간을 절약해야 합니다. 우리 모두는 신뢰할 수 있는 코드를 배포한다는 공통의 목표를 가져야 합니다."

액션

Vis는 소프트웨어 보안과 탈레스 개발자 팀의 보안 인식 제고라는 두 가지 주요 목표를 염두에 두고 있었습니다. 개발자가 독립적으로 자신의 속도에 맞춰 교육받을 수 있는 프로그램을 구현하는 것이 중요했습니다. Vis의 전략은 시간이 지남에 따라 보안 커뮤니티를 구축하여 보안 코딩을 기업 정책과 연계하고 조직 내 보안 코드 학습에 대한 의무를 개발하는 것이었습니다. 개발자, 테스터, 아키텍트, 엔지니어를 연결하는 커뮤니티 문화를 장려함으로써 그는 동기 부여를 배가하는 효과를 보았습니다. 일상 업무의 일부로서 보안에 열정을 가진 보안 챔피언이 등장하여 조직 전체에 보안 코딩 관행에 대한 인식을 확산하는 데 도움을 주었습니다. Vis는 12개 이상의 보안 교육 공급업체를 평가한 후 2019년에 SCW의 고객이 되었습니다. 탈레스 입장에서는 단편적인 솔루션 대신 자사 환경의 모든 프로그래밍 언어와 프레임워크를 지원하는 공급업체를 확보한 것이 큰 이점이었습니다. Vis는 보안 프로그램 개발자가 액세스할 수 있는 교육 및 자기 주도적 학습을 구축하기 위해 Secure Code Warrior의 방대한 양의 콘텐츠를 활용했습니다:

"OWASP 톱 10은 단순히 알아야 할 10가지 사항이 아닙니다. 프로그래밍 언어의 수와 결합된 OWASP가 다루는 취약점의 깊이와 다양성은 압도적일 수 있습니다. 이러한 취약점에 대한 광범위한 도전과 범위가 SCW를 선택하는 데 핵심적인 요소였습니다. 그들은 항상 새로운 것을 추가하고 있습니다. 깊이 있는 주제, 다양한 주제, 최신 콘텐츠, 보안 코드 설계 원칙에 대한 집중은 SCW를 정말 차별화했습니다. 일회성 교육이 아니라 지속적인 프로그램을 구축할 수 있는 기회를 얻었습니다."

Vis와 그의 팀은 각 엔지니어링 역할에 따라 서로 다른 마일스톤을 설정하여 4단계의 보안 코드 학습 프로그램 롤아웃을 구성했습니다:

중요한 것은 SCW가 취약점 수정에 대한 신뢰할 수 있는 출처가 되었다는 점입니다. Vis는 문제 해결을 위해 Google 검색에 의존하는 대신, 개발자가 코드의 취약점 수정을 위해 신뢰할 수 있는 신뢰할 수 있는 출처를 참조할 수 있도록 앱보안 팀의 지침과 SCW의 콘텐츠 라이브러리에 있는 지침을 모두 게시했습니다. Vis에 따르면

"개발자가 취약점을 수정하는 방법을 자유롭게 결정해서는 안 되며, 그 과정에서 새로운 취약점이 발생할 가능성이 있습니다. 저희는 개발자가 올바른 방법으로 취약점을 수정하는 방법을 학습할 수 있도록 SCW의 SCORM 통합을 통해 SCW 비디오를 LMS에 통합했습니다. 이를 통해 안전한 소프트웨어를 제공하는 개발자가 인정받을 수 있는 방법도 마련했습니다. 개발자에게 일정 수준의 보안 코딩을 달성하도록 요청하면 개발자가 해결하고 재도입하지 않은 취약점을 통해 이를 추적할 수 있습니다. 이렇게 하면 개발자의 노력이 회사에서 인정받고 가치를 인정받을 수 있습니다."

결과

Vis와 그의 팀은 매월 보안 코드 뉴스레터를 발행하여 사내에서 가장 우수한 학습자를 선정합니다. 이들은 SCW를 사용하여 assessment 점수, tournament 참여도, 도전 과제 등을 살펴보고 성취도를 높입니다. 이를 통해 다른 개발자들도 학습에 대한 동기를 부여합니다. 처음에 그가 설정한 KPI는 2년 동안 전체 취약점 수를 줄이는 데 중점을 두었습니다. SCW를 구현한 후 그는 감소하는 추세선을 발견했습니다. 이러한 취약점은 소스 코드 수준에서 다시 도입되지 않습니다. Vis는 이를 이렇게 설명합니다:

"우리가 경영진에게 제시하는 KPI는 정보에 입각한 올바른 선택을 반영합니다. 우리는 고객에게 비즈니스 신뢰를 제공하는 보안 코드 교육을 제공한다는 사실에 자부심을 느낍니다. 우리는 포괄적인 보안 코드 교육 프로그램으로 인정받고 있으며 고객과 동료들로부터 존경을 받고 있습니다. 이러한 프로그램이 있으면 회사에 많은 가치를 더할 수 있습니다."

주요 내용

Vis는 모든 보안 이니셔티브에서 사람, 프로세스, 기술 모두의 역할이 중요하다는 것을 인식했습니다. 소프트웨어의 보안, 개발자 지식, 규정 준수에 초점을 맞추면 시간이 지남에 따라 소스 코드의 취약성을 줄이는 보안 코드 프로그램을 위한 민첩한 학습을 구성할 수 있습니다. Vis는 개발자 팀의 보안 기술을 구축하고자 하는 해당 분야의 전문가에게 다음과 같은 권장 사항을 제공합니다.

배경

는 5조 3,000억 달러의 자산과 1,850만 개 이상의 투자자 계정을 보유한 상장 핀테크 회사입니다. En베스트넷의 사명은 혁신적인 기술, 솔루션 및 인텔리전스를 통해 어드바이저와 금융 서비스 제공업체에 권한을 부여하여 모든 사람이 금융 복지를 실현할 수 있도록 하는 것입니다. En베스트넷은 전 세계 자산 관리 분야에서 재무 고문이 사용하는 서비스와 소프트웨어를 통합하는 주력 자문 플랫폼을 통해 자산 관리 기술 분야의 시장 선도업체 중 하나로 자리 잡았습니다.

En베스트넷은 데이터 관리 모범 사례를 위해 지속적인 위험 기반 규정 준수 조치를 통해 자산 관리 플랫폼을 지속적으로 모니터링하여 규정 준수 문제나 잠재적 장애를 신속하게 식별하고 해결합니다. En베스트넷은 서비스 제공에 세계 최고 수준의 보안 조치를 도입하여 고객의 데이터를 보호하는 데 앞장서고 있습니다.

En베스트넷의 제품 보안 책임자이자 "애플리케이션 보안 핸드북"의 저자인 Derek Fisher가 어떻게 Secure Code Warrior 와 협력하여 개발자 팀의 민첩한 보안 코드 사용을 통해 취약성을 줄이기 위한 총체적인 접근 방식을 개발했는지 알아보세요. 10년 넘게 애플리케이션 보안 분야에서 일하면서 수많은 보안 성공과 실패를 직접 목격했으며, En베스트넷에서 개발자를 위한 안전한 코드 학습 환경을 개발하는 데 있어 독보적인 전문성을 발휘하고 있습니다.

상황

데릭이 애플리케이션 보안 부서에 처음 부임했을 때, 그는 OWASP 상위 10개 항목과 기본적인 규정 준수 교육을 넘어서고 싶었습니다. 보안 SDLC 프로세스가 일부 있었지만 주로 취약점을 찾는 데 중점을 두었을 뿐, 취약점을 원천적으로 해결하지는 못했습니다.

"우리는 어느 조직에서나 매년 받는 규정 준수 교육에 대해 꽤 잘 알고 있습니다. 보통 제가 '파워포인트로 죽이는 교육'이라고 부르는데, 슬라이드가 잔뜩 나열되고 마지막에 assessment 이라는 링크가 붙는 등 정말 비효율적이고 시간만 낭비하는 교육이죠. 교육을 받았지만, 슬라이드와 오디오 녹음을 기반으로 한 보안 관련 교육에 기반한 일반적인 규정 준수 교육이었습니다. 개발자들이 자료를 통해 그다지 몰입하고 배우지 않는다는 것을 알게 되었고, 전략을 바꿔야 했습니다."

수동적인 OWASP 중심의 규정 준수 교육을 통해 개발자를 단순히 교육하는 기존의 전략은 교육 효과를 측정할 수 없었기 때문에 데릭과 그의 팀에게 특히 고통스러웠고, 그 대신 취약성 관리에 점점 더 많은 시간을 할애해야 하는 상황에 직면했습니다.



데릭은 개발자가 프로덕션 환경에 배포하는 안전하지 않은 코드인 취약점의 원인을 살펴보는 것이 중요하며, 단순히 더 많은 도구를 투입하는 것이 해결책이 될 수 없다는 것을 깨달았습니다.

대신, Derek과 그의 팀은 2020년에 처음부터 더 안전한 코드를 작성하는 것을 목표로 취약성 완화로 초점을 전환했습니다. Derek과 그의 팀은 "왼쪽으로 이동" 전략을 채택하여 취약점을 수정하는 데 훨씬 적은 비용이 드는 SDLC 초기에 취약점을 해결하고 수정했습니다.

하지만 먼저 기존 앱 교육에 대한 개발자의 참여도가 역사적으로 낮다는 문제를 해결해야 했습니다. 그는 보안 코드 학습 전략에 '체크박스' 방식을 도입하는 것을 지양하고 En베스트넷의 개발자들에게 보다 효과적이고 민첩한 보안 코드 학습 경험을 제공하고자 했습니다.

"SCW와 이 솔루션의 기능을 보고 나니 보다 실습적이고 상호 작용적인 접근 방식이 우리에게 적합하다는 것을 알았습니다. 저는 엔지니어와 개발자가 실제 문제가 무엇인지에 대한 더 많은 실무 지식을 가지고 교육을 마치고 돌아갈 수 있기를 바랐습니다. '이전에 교육에서 본 적이 있는 코딩 문제에 어떻게 접근해야 하는지 알고 있다'는 근육 기억을 쌓고 싶었습니다. Secure Code Warrior 플랫폼을 통해 엔지니어와 개발자가 좋은 보안 코딩 관행이 무엇인지, 나쁜 관행이 무엇인지, 취약점을 신속하게 해결하는 방법을 실제로 이해할 수 있는 환경을 제공할 수 있었습니다."

Derek Fisher, Envestnet의 제품 보안 책임자

액션

Derek은 특히 보안 코드 업 스킬을 인증으로 보상하는 벨트 전략을 구현하고자 했습니다. 4단계로 구성된 이 프로그램은 보안 인식의 기초를 다지는 데 초점을 맞춘 다음(레벨 1, 2), 개발자가 보안 챔피언(레벨 3, 4)이 될 수 있는 길을 열어주는 것이었습니다. 이를 통해 개발자가 보안 코드 개념을 어떻게 유지하고 있는지 측정할 수 없는 문제를 해결하는 동시에 보안에 대한 인식이 있는 개발자가 더 복잡한 보안 과제를 통해 기술을 발전시킬 수 있는 커리어 경로를 확보할 수 있게 되었습니다.

소규모 파일럿으로 테스트하고 참여한 개발자들에게 피드백을 요청했습니다. 피드백은 매우 긍정적이었습니다. 데릭은 다음과 같이 언급했습니다,

"교육에 대한 긍정적인 피드백을 받는다는 것은 아무리 강조해도 지나치지 않을 정도로 이례적인 일입니다. 이는 이 도구가 올바른 도구라는 좋은 지표입니다."

En베스트넷은 2021년 봄에 첫 번째 tournament 를 개최하여 개발자 참여 측면에서 긍정적인 결과를 얻었습니다. 그 후 Derek은 DB, 프론트엔드, API 및 클라우드 개발자를 위해 LMS에 통합된 courses 시리즈를 출시했습니다. 2021년 가을에 En베스트넷이 두 번째 tournament 를 개최했을 때는 참여 개발자 수가 두 배로 증가했습니다.

데릭에 따르면 En베스트넷은 tournaments 을 통해 다음과 같은 이유로 큰 호응을 얻었습니다,

"우리 모두 경쟁이 동기 부여라는 것을 알고 있습니다. 우리 모두는 동료들이 우리가 특정 분야에서 얼마나 잘하고 있는지 인정받기를 원하며, 이는 사람들이 해당 분야에 참여하고 잘할 수 있도록 동기를 부여합니다 tournaments. 개발 도구와의 통합을 통해 Secure Code Warrior 의 가치를 확인할 수 있었습니다."

Derek과 팀은 또한 특정 취약성이 반복적으로 발생할 때 개발자가 익숙한 환경을 벗어나지 않고도 Jira 티켓 내에서 바로 즉각적인 해결 조언에 액세스할 수 있도록 Secure Code Warrior 을 Jira와 통합하기 위해 노력했습니다. 이를 통해 개발자는 해당 취약점을 해결하는 방법에 대한 귀중한 컨텍스트는 물론, 필요한 시점과 영향이 있는 지점에서 즉각적인 온디맨드 교육을 받을 수 있었습니다. 또한 Derek의 팀은 Secure Code Warrior 와 협력하여 보안의 날 행사를 후원함으로써 CEO의 폭넓은 지지를 이끌어내고 엔지니어링과 보안이 En베스트넷의 성공에 있어 얼마나 중요한 역할을 하는지 다시 한 번 강조했습니다. 이러한 경영진과 개발자의 지지를 바탕으로 Envestnet은 프로그램을 현재의 규모로 확장할 수 있었습니다. 현재 Envestnet은 확인된 모든 보안 챔피언을 프로그램에 등록했으며 전체 팀의 60%가 레벨 1 또는 2 인증을 완료했습니다.

결과

En베스트넷이 성공을 측정하는 한 가지 방법은 SCW 학습 경험을 거친 팀을 살펴보고 취약점 발생이 줄어들고 취약점을 더 빨리 수정하는지 측정하는 것이었습니다. 그 결과는 인상적이었습니다:

• SCW 교육을 받은 개발자가 그렇지 않은 개발자보다 2.7배 더 많은 취약점을 수정했습니다.
• SCW 교육을 받은 100명의 개발자가 단기간에 450개의 취약점을 수정했습니다.
• SCW 교육을 받은 1,200명의 개발자를 통해 En베스트넷은 각 대기열에서 치료율을 120% 향상시킬 수 있었습니다.
• 두 제품 라인에서 1년 동안 SCW 교육을 받은 개발자는 개발자당 4.5건의 취약점 이슈를 해결한 반면, 그렇지 않은 개발자는 개발자당 1.82건의 취약점만 해결했습니다.
• 모든 보안 챔피언은 2022년에 인증 프로그램을 거쳤습니다.
• 보안 인식 개발자의 60%가 레벨 1, 2를 통과했습니다.


주요 내용

데릭은 보안 코드 학습을 시작하는 분들을 위해 다음과 같은 조언을 제공합니다:

"보안 분야에서 우리의 임무는 조직의 위험을 줄이는 것입니다. 이것이 우리의 진정한 목표이며 우리가 항상 추구하는 바입니다. 중대한 취약점은 조직에 가장 큰 위험이나 가장 큰 영향을 미치는 것이 아닐 수도 있습니다. 중간, 낮은, 높은 취약점이 서로 연결되어 훨씬 더 큰 영향을 미치는 사슬을 만들 수 있습니다. 시간이 지남에 따라 누적되는 취약성이 많을수록 더 많은 위험이 발생하게 됩니다. Secure Code Warrior 를 사용하면 민첩한 보안 코드 학습을 통해 잠재적인 취약성 연쇄를 완화하기 위한 사전 예방적 접근 방식을 취할 수 있습니다."

• 취약점을 테스트하고 보고하는 데만 집중하지 마세요. 이는 결국 개발자에게 잡음을 유발할 뿐입니다.
• 대신, 앱보안은 개발자의 파트너가 되어야 하며 보안 코드 학습 전략을 구현하기 전에 개발자의 동의를 얻어야 합니다.
• 로마는 하루아침에 건설되지 않았습니다. 위험 프로필의 변화, 회사의 변화, 기술 및 도구의 변화에 따라 프로그램도 진화해야 합니다.
• 가장 효과적인 장기 전략은 주변 사람들의 보안 IQ를 높여 생성되는 전체 취약점 수를 줄이는 것입니다.

TL;TR

콜게이트-팜올리브 소개

콜게이트-팜올리브 컴퍼니는 전 세계 모든 가정에서 사랑받는 마르퀴스 소비재 브랜드입니다. 2세기가 넘는 역사를 자랑하는 이 회사는 디지털을 활용하여 사람과 반려동물, 지구를 위한 더 건강한 미래를 재구상하는 혁신적 성장 기업입니다.

상황

콜게이트-팜올리브는 거의 모든 다른 조직과 마찬가지로 고객에게 더 나은 서비스를 제공하기 위해 디지털 전환을 진행하고 있으며, 이로 인해 애플리케이션 보안에 접근하는 방식에 변화가 생겼습니다.

콜게이트-팜올리브의 CISO인 알렉스 슈크먼은 이렇게 설명합니다:

"고객의 데이터를 보호하여 제품뿐만 아니라 고객과의 디지털 상호 작용에서 신뢰를 구축할 수 있다는 것은 우리에게 매우 중요합니다."

하지만 알렉스의 과제는 잠재적인 고객 데이터 유출의 근본 원인인 코드 자체를 보호하는 것이었습니다.

"애플리케이션 빌드 쪽에서 일한 경험이 CISO로 전환할 때 큰 도움이 되었습니다. 앱보안팀에서 티켓을 돌려받거나 재작업으로 인해 마감일을 놓칠 때의 고통을 잘 알고 있습니다. 그 결과 소프트웨어 개발 수명 주기에서 보안을 강화하는 것뿐만 아니라 구현 방법을 간소화하는 것이 CISO로서 저의 목표가 되었습니다."

액션

콜게이트-팜올리브는 보안 교육을 한입에 먹을 수 있는 작은 단위로 나누어 이 문제에 접근했습니다. 이를 통해 개발자가 기존에 익숙해져 있던 길고 획일적인 규정 준수 교육 대신 자신의 워크플로에 맞출 수 있도록 더 쉽게 만들었습니다. 개발자는 보안 코드 학습에 대한 Secure Code Warrior의 민첩하고 상황에 맞는 접근 방식을 활용하여 실제 프로젝트의 맥락에서 취약점을 이해할 수 있었으며, 이를 통해 참여도를 높이고 보안 코딩 기술을 장기적으로 유지할 수 있었습니다.

"개발자의 참여를 유지하면서 이러한 모범 사례를 배포하고 싶었습니다."라고 Alex는 말합니다. "여전히 프로그램의 중요한 부분을 의무화했지만, 교육을 관리하기 쉽게 유지하고 개발자의 피드백에 귀를 기울인 것이 프로그램의 성공에 도움이 되었습니다."

콜게이트-팜올리브는 아래 다이어그램과 같이 특정 SCW 평가를 통과한 개발자만 풀 리퀘스트에 액세스할 수 있도록 GitHub 리포지토리를 게이팅하는 Okta 워크플로우를 구현했습니다.

결과

알렉스에 따르면 "성공을 위한 최적화를 위해서는 처음부터 개발자를 참여시켜야 한다는 것을 알고 있었습니다. 그래서 개발자들이 프로그램의 성공에 중요한 역할을 할 것이라는 점을 확실히 인식하도록 했습니다. 그 결과 보안팀과 개발자 간의 관계가 훨씬 더 좋아졌고, 프로그램을 위해 한 팀으로 함께 일하고 있다는 느낌이 들었습니다. 우리는 이미 거둔 성공을 바탕으로 보안 성숙도 프로그램을 계속 확장하고 확장할 계획입니다."

주요 내용

1. 프로그램 목표를 명확하게 정의하고 개발자의 의견과 참여를 강조하세요. 개발자는 워크플로에 내장되어 있고 매일 사용하는 개발 도구와 통합된 안전한 코드 학습 프로그램에 동의할 가능성이 높습니다.
2. Okta와 같은 SSO 도구를 사용하여 코드 리포지토리를 게이트하면 팀에 인센티브가 주어집니다. 특정 SCW courses 및 assessment 에서 합격 점수를 받은 개발자만 풀 리퀘스트를 만들 수 있습니다.  
3. 시간이 지남에 따라 앱 보안 팀과 개발 팀 간의 강력한 협력 관계를 촉진하는 보안 문화를 구축하세요.

‍

In einem kürzlich veröffentlichten Bericht von Aberdeen waren sich 8 von 9 Unternehmen keiner Compliance- oder Schwachstellenprobleme in ihrer Codebasis bewusst. Für das eine Unternehmen, das Probleme identifizierte, entsprach das, was es wusste, nur 9,5 Prozent der tatsächlichen Probleme, die schließlich bei einem Software-Audit aufgedeckt wurden. Dies stellt sowohl eine Vermeidungs- als auch eine Behebungslücke dar, wenn es um das Management von Sicherheits- und Compliance-Risiken geht.

Diese Lücke zu schließen ist wichtig, um Entwicklungsteams und ihren Führungskräften zu helfen, die Auswirkungen von Open-Source-Software auf die Fähigkeit eines Unternehmens, risikofreie Lösungen zu entwickeln und bereitzustellen, besser zu verstehen. Ein Teil der Lösung besteht darin, einen geschlossenen Prozess einzurichten, bei dem Entwickler über die Bedeutung von Sicherheit und Compliance sowie über die Risikominderung geschult werden. Außerdem müssen die richtigen Tools für die Erkennung und Behebung von Problemen eingerichtet werden.

Wenn Sie Entwickler, technischer Leiter oder Sicherheitsspezialist sind, hören Sie in diesem Webinar, wie unsere Experten Alex Rybak, Director of Product Management bei Revenera, und Matias Madou, CTO bei Secure Code Warrior, sprechen:

- Die Bedeutung der Implementierung einer kontinuierlichen Governance während des gesamten Softwareentwicklungszyklus.
- Warum eine Software-Stückliste (SBOM) der beste Freund eines technischen Leiters ist.
- Wie die Entwicklung vertrauenswürdiger Lösungen mit der Festlegung vereinbarter funktionsübergreifender Richtlinien zur Identifizierung und Behebung von Risiken beginnt.
- Es treten Branchenvorschriften in Kraft, die einen Strukturwandel zur Unterstützung des Compliance- und Sicherheitsmanagements erfordern.
- Die Rolle, die Unternehmen heute bei der Sicherung der Entwicklerausbildung spielen, und zwar durch Programme wie Mikrotraining für eine robustere Open-Source-Management-Initiative.