현재의 보안 코드 교육은 개발자들을 실망시키고 있다

데이터 유출 사고와 그로 인한 비용이 계속 증가함에 따라, 우리 세계에서 생성되는 코드의 양은 보안 전문가들이 혼자서 처리하기에는 너무 방대합니다. 기업들은 안전한 코딩 기술을 갖춘 개발자를 필요로 하며, 개발자들도 자신의 커리어 발전을 위해 이러한 기술이 필요하다는 것을 알고 있습니다. 그러나 현재의 안전한 코딩 교육은 그들을 실망시키고 있습니다. 그렇다면 개발자들은 안전한 코딩 교육에 대해 무엇을 원하는 걸까요? 이 질문에 답하기 위해, Secure Code Warrior Evans Data Secure Code Warrior 수행한 최근 연구에서 도출된 몇 가지 아이디어를 살펴보겠습니다. 이 연구는 개발자들의 안전한 코딩에 대한 태도, 안전한 코딩 관행, 보안 운영에 관한 내용을 다룹니다. (백서 다운로드 여기).

개발자들이 원하는 교육 유형에 관해서는 답변이 매우 명확합니다. 개발자의 75%가 구조화된 직장 내 교육을 선호하며, 이를 가장 효과적이고 만족스러운 학습 방식으로 간주했습니다. 그리고 해당 교육에 포함되어야 할 내용에 관해서는 개발자들이 매우 명확하고 구체적인 요구사항을 제시합니다:

• 65%는 해당 언어의 특정 취약점에 대한 교육이 필요하다고 답했습니다.
• OWASP 상위 10개 취약점에 대한 교육을 더 받고 싶어하는 비율이 65%입니다.
• 많은 기업들도 NIST(58%), CIS(52%), PCI DSS(50%)를 포함한 규정 준수 보안 프레임워크에 집중하고자 합니다.
• 78%는 해당 교육의 일환으로 동료 간 비공식적 지침 및 조언을 원한다
  

그러나 개발자들이 비체계적인 학습보다 체계적인 과정을 선호하는 것은 사실이지만, 과정이 제공되는 방식은 매우 중요합니다. 물론 이는 또 다른 핵심적인 질문을 제기합니다:

개발자들은 어떤 방식으로 배우는 것을 선호하나요?

개발자들은 강사의 설명을 듣기만 하는 것을 원하지 않으며, 직접 손에 쥐어보고 시험해보고 싶어 합니다. 그들은 실용적인 응용에 집중하기를 원하는데, 이는 현재의 교육 프로그램이 크게 부족한 부분이다. 회사에서 제공하는 교육이 어떻게 개선될 수 있는지 묻자, 응답자의 30%가 교육이 실용적인 응용, 특히 실제 업무 환경에 초점을 맞추기를 원한다고 답했다.

개발자 교육은 사람 중심의 접근 방식을 필요로 하며, 실용적이면서도 특정 언어(프레임워크)에 특화된 '게임화'된 코딩 과제를 포함한 지도형 학습 경로를 제공해야 합니다. 역할별 맞춤형 '게임화' 교육은 개발자의 몰입도를 극대화하며, 구성 가능한 학습 모듈을 통해 조직이 개발자의 학습을 특정 취약점에 집중시킬 수 있도록 합니다.

소프트웨어 보안을 개발 프로세스의 핵심 요소로 만드는 방법을 알고 싶다면, 개발자가 원하는 교육을 제공하는 체계적이고 역량 기반의 로드맵을 통해, 지금 바로 데모를 신청하세요 지금 바로.

«대화형 시뮬레이션은 코드의 보안 취약점을 식별하는 데 도움이 되며, 비판적으로 사고하고 해결책 또는 여러 해결책을 찾도록 도전합니다. 저는 코드를 새로운 시각으로 바라보게 되었고, 직접 해보는 과정이 정말 큰 기쁨을 주었습니다!».
‍소프트웨어 엔지니어, 금융 서비스‍

*반응에서 예방으로: 변화하는 애플리케이션 보안의 모습. Secure Code Warrior Evans Data Corp. 2020