현재의 보안 코드 교육은 개발자들을 실망시키고 있다

데이터 유출과 그로 인한 비용이 계속 증가하는 가운데, 전 세계적으로 생성되는 코드의 양은 보안 전문가들이 단독으로 관리하기에는 너무 방대합니다. 기업들은 안전한 코딩 기술을 갖춘 개발자를 필요로 하며, 개발자들도 자신의 커리어 발전을 위해 이러한 기술이 필요하다는 것을 알고 있습니다. 그러나 현재의 보안 코딩 교육은 그들을 실망시키고 있습니다. 개발자들은 보안 코딩 교육에서 무엇을 원하는 걸까요? 이 질문에 답하기 위해, Secure Code Warrior Evans Data Corp*가 Secure Code Warrior 진행한 최근 연구에서 도출된 몇 가지 정보를 살펴보겠습니다. 이 연구는 개발자들의 보안 코딩에 대한 태도, 보안 코딩 관행 및 보안 운영에 관한 것입니다. (백서 다운로드 여기).

개발자들이 원하는 교육 유형에 관해선 답변이 매우 명확합니다. 개발자의 75%가 구조화된 직무 내 교육을 선호하며, 이를 가장 효과적이고 만족스러운 학습 방법으로 꼽았습니다. 또한 이 교육이 포함해야 할 내용에 관해 개발자들은 매우 명확하고 구체적인 요구사항을 제시했습니다:

• 65%가 언어별 취약점에 대한 교육이 필요하다고 답했습니다.
• 65%는 OWASP 상위 10개 항목에 대한 심화 교육을 받고 싶어합니다.
• 많은 사람들이 또한 보안 규정 준수 프레임워크, 특히 NIST(58%), CIS(52%), PCI DSS 표준(50%)에 중점을 두고자 합니다.
• 78%는 이 교육 과정에서 동료들로부터 비공식적인 지도와 조언을 원합니다.
  

그러나 개발자들이 비구조화된 학습보다 구조화된 강좌를 훨씬 선호하는 만큼, 강좌가 제공되는 방식은 매우 중요합니다. 물론 이는 또 다른 핵심적인 질문을 제기합니다:

개발자들은 어떤 방식으로 배우는 것을 선호할까요?

개발자들은 교수의 강의를 앉아서 듣기만 하고 싶어하지 않습니다. 직접 손으로 만져보고 시도해보고 싶어합니다. 그들은 실용적인 응용에 중점을 두기를 원하는데, 이는 현재 교육 프로그램에서 심각하게 부족한 부분입니다. 기업이 제공하는 교육이 어떻게 개선될 수 있는지 묻자, 응답자의 30%가 특히 실제 업무 시나리오에 초점을 맞춘 실용적인 응용 교육이 필요하다고 답했습니다.

개발자 교육에는 인간 중심 접근법이 필요하며, 이는 실용적이면서도 언어 및 프레임워크에 특화된 '게임화'된 코딩 과제를 포함한 안내형 학습 경로를 제공합니다. 역할 기반 게임화 교육은 개발자의 높은 몰입도를 유도하며, 구성 가능한 학습 모듈을 통해 조직이 개발자의 학습을 특정 취약점에 집중시킬 수 있도록 합니다.

개발자가 원하는 교육을 제공하는 체계적이고 역량 기반의 과정을 통해 소프트웨어 보안을 개발 프로세스에 통합하는 방법을 알아보려면, 데모를 요청하세요 지금 바로.

« 상호작용형 시뮬레이션은 코드 내 보안 취약점을 식별하는 데 도움을 주며, 비판적 사고를 발휘하고 해결책 또는 여러 해결책을 찾도록 유도합니다. 저는 코드를 새로운 시각으로 바라보게 되었고, 실습을 통해 얻은 즐거움은 정말 컸습니다! »
‍금융 서비스 소프트웨어 엔지니어‍

*사후 대응에서 사전 예방으로: 애플리케이션 보안의 새로운 모습. Secure Code Warrior Evans Data Corp. 2020