왜 게임화가 소프트웨어 보안 향상의 핵심인가

애플리케이션 보안 담당자, 최고정보보안책임자(CISO), 최고정보책임자(CIO), 사이버 보안 전문가들—전 세계 다양한 기업에서 근무하는 이들 중 다수와 이야기를 나눴습니다—소프트웨어 개발 및 보안 분야에서 제가 쌓아온 경력 동안 말입니다.

어떤 상황에서도, 팀의 경험이나 끊임없이 변화하는 디지털 세계에서 흘러가는 시간이 어떻게 되든, 한 가지 문제는 여전히 동일합니다: 그들은 보안 문제에 대해 개발 팀을 긍정적으로 참여시키기 어려운 경우가 많습니다. 보안은 여전히 금기시되는 주제이며, 팀 간 갈등의 원인이자 업계의 진정한 난제입니다.

그러나 소프트웨어 보안은 너무나 중요하기 때문에 우리의 일반적인 사고방식이 이대로 계속되어서는 안 됩니다. 우리는 상황을 바꾸기 위해 노력해야 하며, 보안을 모든 개발자의 업무 생활에 필수적인 부분으로 만들어야 합니다. 그리고 이를 달성하는 가장 좋은 방법 중 하나는 개발자들에게 책임을 부여하고, 예를 들어 게임화(gamification)를 통해 보안에 참여시키는 것이라고 생각합니다.

현재의 풍경

개발자들은 안전한 코드 제공에 대한 실질적인 지식이 거의 없는 상태로 대학을 졸업합니다. 그들은 보안 교육이 거의 우선순위가 되지 않는 직장에 취직합니다(그리고 우선순위가 될 때조차, 이는 대개 건강 및 안전 관련 의무적 규정 준수 동영상에 포함되는데, 이 동영상들은 너무 지루해서 아무도 안전한 코딩을 신경 쓰지 않을 정도입니다). 매우 흔히, 그들의 첫 보안 경험은 갑작스럽게 향후 버전을 중단시키는 감사 또는 테스트 버그 보고서로, 이는 즉시 그들의 창의적 사고를 방해합니다. 그들은 보안 보고 담당자들과 의견 충돌을 겪게 되며, 이로 인해 '보안'은 그들의 마음속에서 '비판'과 동의어가 됩니다. 으악.

소프트웨어 보안에 대한 이러한 부정적인 인식이 널리 퍼져 있다는 점이 정말 안타깝습니다. 결국, 제 경력에서 가장 소중한 추억 중 일부는 소프트웨어 보안 학습과 연결되어 있습니다. 해킹에 대한 초기 시절을 컨퍼런스 참석으로 보냈는데, 그곳에서는 동료들과 실력을 겨룰 수 있을 뿐만 아니라(솔직히 말해 좀 과시하기도 했죠), 소프트웨어를 해체하는 걸 저만큼 좋아하는 생각을 공유하는 사람들을 만나며 엄청난 즐거움을 느꼈습니다.

브루콘, 디프콘, 블랙햇... 이런 행사들은 저 같은 사람들이 우호적인 경쟁에서 자신의 기술을 발휘할 수 있게 해주었습니다. 저는 결코 그런 반사회적 활동에 참여했다고 인정하지 않겠지만, 어떤 이들은 심지어 다른 참가자들의 휴대폰에 침입해 그들의 정보를 발표 화면에 공개적으로 표시하는 식으로 해킹 실력을 과시하기도 했습니다. 결함 찾기, 악용하기, 수정하기를 통해 소프트웨어를 개선하는 일이 하나의 게임이 되었습니다. 몇 년 전, 중동 지역 수백 명의 아이들을 만나 사이버보안을 가르칠 기회가 있었습니다. 제 제자 중 한 명인 여덟 살 소녀가 게임을 하면서도 무차별 대입 공격과 base64 인코딩을 배우던 모습이 아직도 생생합니다.

게이미피케이션은 코딩 기술 교육에도 활용됩니다. 전 세계 교육 기관들은 이 접근법을 통해 아주 어린 아이들부터 고등학생까지 코딩을 가르치고 있습니다. 이제 겨우 네 살 난 아이들도 코드 캠프 같은 방학 프로그램에 정기적으로 참여하며, 파이썬 및 기타 언어로 아이들에게 코딩을 가르치는 훌륭한 온라인 프로그램도 다수 존재합니다. 저는 심지어 네 살 난 딸을 위해 화면 없는 놀라운 코딩 도구인 큐베토( Cubetto)를 구입하기도 했습니다.

그러나 이러한 즐거움과 진전에도 불구하고, 한 가지 간극이 존재합니다. 아무도 게임화 기법을 활용해 개발자들에게 안전한 코드 작성을 교육할 가능성을 고려하지 않았습니다.

음... 거의 아무도 없었죠. 몇 년 전, 저는 보안에 다시 영감을 불어넣고 개발자들이 진정으로 참여하고 시작하도록 동기를 부여해야 한다는 것을 깨달았습니다.

게임화: 가장 간단한 해결책.

저는 개발자들이 보안 지식을 습득하도록 돕는 데 깊은 열정을 가지고 있으며, 바로 이 열정이 Secure Code Warrior 창립하게 했습니다. 소프트웨어 보안은 매우 중요할 뿐만 아니라 정말 흥미진진할 수 있습니다.

생각하는 건 나뿐만이 아니다.

게임화는 가장 평범한 작업조차 더욱 재미있게 만들 수 있으며, 플레이어가 계속해서 플레이하고 승리하며 발전할 수 있도록 충분한 동기를 부여합니다. 포켓몬 고가 어떻게 플레이되는지 보세요! 가장 게으른 사람도 소파에서 일어나 상상 속 생물을 찾아 나서는 모습을 보여주거나, 핏빗이 일일 걸음 수 목표를 어떻게 설정하는지 발견하게 합니다... 이러한 목표를 달성하지 못하거나 연속 기록이 끊기고 배지를 획득하지 못하면 진정한 실망감이 느껴집니다.

그러므로 보안 교육으로 돌아가 보겠습니다. 우리는 수많은 고객사에게 게임화(gamification)가 조직의 보안 문화를 실질적으로 변화시키는 데 필수적임을 입증해 왔습니다. 이는 애플리케이션 보안(AppSec) 팀과 개발 팀 간의 연결 고리를 구축하고, 전반적으로 더 높은 기준을 충족하는 소프트웨어를 개발할 수 있도록 지원함으로써 이루어집니다.

현재 개발자들에게 보안은 최우선 과제가 아닙니다. 훈련 방법에 친근하고 경쟁적이며 몰입도 높은 요소를 추가하면, 단순히 '놀게' 할 뿐만 아니라 더 많은 점수를 획득하고, 최고 기록을 깨고, 정확도를 높이며, 다른 팀원들과 경쟁하기 위해 계속 참여하도록 동기를 부여할 수 있습니다.

우리는 이미 성공적인 교육이 다음과 같다는 것을 알고 있습니다:

• 개발자들은 실제 코드와 자신들의 언어/프레임워크로 작업할 수 있습니다.
• 도전 과제는 짧으며 모든 일반적인 보안 취약점을 다룹니다
• 도전 과제는 지속적으로 확장 및 업데이트되어 개발자들이 시간이 지남에 따라 지속적으로 역량을 발전시킬 수 있도록 합니다.
• 도전 과제는 난이도가 다양하므로 숙련된 개발자와 덜 숙련된 개발자 모두에게 흥미롭습니다.
• 개발자와 관리자는 달성한 진척 상황, 특히 극복한 과제, 강점과 약점, 교육에 투입한 시간, 그리고 전반적인 정확도를 확인할 수 있습니다.

우리의 주요 고객사 중 한 곳이 게임화 플랫폼의 진정한 마법을 입증했습니다. 개발자들에게 테마별 팀 용품을 제공하고, 게임 우승자에게 놀라운 상품을 수여하며, 토너먼트를 잊지 못할 하루로 만들어낸 것이죠. 이후 그들은 국제 대회를 개최하고 있으며, 현재까지도 전 직원이 꾸준히 훈련을 이어가고 있습니다.

여러분의 소프트웨어 혁명이 여기서 시작됩니다. 호주 은행 업계는 게임화 교육을 도입해 잘못된 코드와 싸우는 선두주자로, 전통적(혹은 지루한) 교육을 뒤흔드는 진정한 혁신적 접근을 보여주고 있습니다. 저희 고객사가 최상위 토너먼트로 이뤄낸 성과를 직접 확인해 보세요. 우리와 함께 팀 역량을 강화할 준비가 되셨나요?

우리는 상황을 바꾸기 위해 노력해야 하며, 보안을 모든 개발자의 직업 생활에 필수적인 부분으로 만들어야 합니다. 그리고 이를 달성하는 가장 좋은 방법 중 하나는 개발자들에게 책임을 부여하고, 예를 들어 게임화(gamification)를 통해 보안에 참여시키는 것이라고 생각합니다.