게이미피케이션이 소프트웨어 보안 수준 향상의 핵심이 되는 이유

애플리케이션 보안 관리자, CISO, CIO, 사이버 보안 전문가 등, 제 자신의 소프트웨어 개발 및 보안 경력 속에서 전 세계 다양한 기업에서 근무하는 그들 다수와 이야기를 나누어 왔습니다.

상황이 아무리 달라지고, 팀이 아무리 경험을 쌓아도, 이 끊임없이 변화하는 디지털 세계에서 시간이 얼마나 흘러도, 항상 변하지 않는 문제가 하나 있습니다. 바로 개발 팀을 보안에 적극적으로 참여시키는 일이 거의 없다는 점입니다. 보안은 여전히 금기시되는 주제이며, 팀 간 갈등과 업계 내부의 골칫거리로 남아 있습니다.

그러나 소프트웨어 보안은 우리의 일반적인 사고방식으로는 이 길을 계속 걸어가기에는 너무나 중요합니다. 보안을 모든 개발자의 업무에서 빼놓을 수 없는 요소로 만들기 위해 우리는 논의를 바꿔야 합니다. 이를 위한 최선의 방법 중 하나는 게임화 등을 통해 개발자에게 보안에 대한 권한을 부여하고 참여시키는 것이라고 생각합니다.

현재의 풍경

개발자들은 안전한 코드 제공에 관한 실무 지식을 거의 갖추지 못한 채 대학을 졸업하고, 보안 교육이 우선시되는 경우가 거의 없는 직종에 종사합니다(우선시된다 해도 대개 건강 및 안전 관련 필수 규정 준수 교육 영상의 일부로, 지루하기 짝이 없어 안전한 코딩에 관심 가질 사람은 아무도 없을 것입니다). 대다수의 경우 보안에 대한 첫 경험은 감사나 테스트 버그 리포트를 통해 이루어지는데, 이로 인해 향후 출시가 갑작스럽게 중단되면서창의력이 순식간에 최우선순위로 중단되는 경험을 하게 됩니다. 그들은 보안 보고 담당자와 대립하는 관계에 있기 때문에, 그들의 마음속에서 '보안'은 '비판'과 동의어가 되어버렸습니다. 빌어먹을.

솔직히 말해서, 소프트웨어 보안에 대한 이런 부정적인 인식이 널리 퍼져 있다는 점이 정말 안타깝습니다. 결국 제 경력에서 가장 좋은 추억 중 일부는 소프트웨어 보안을 배운 것과 관련된 것들입니다. 해킹을 시작한 초창기 시절을 컨퍼런스에 참석하며 보냈습니다. 그곳에서는 동료들과 제 실력을 시험해보고(솔직히 말하면, 조금 과시하기도 했지만) 소프트웨어를 파괴하는 것을 저만큼이나 즐기는 뜻을 함께하는 사람들을 만날 수 있어서 정말 즐거웠습니다.

BruCon, DefCon, BlackHat... 이러한 행사들은 저 같은 사람들이 우호적인 경쟁 속에서 자신의 기술을 발휘할 기회를 제공했습니다. 물론 이런 반사회적 활동에 참여했다는 건 절대 인정하지 않지만, 그중에는 다른 참가자의 휴대폰에 침입해 프레젠테이션 화면에 정보를 띄워 모두에게 보여주며 해킹 실력을 과시하는 사람들도 있었습니다. 소프트웨어를 더 나은 방향으로 만들기 위해 이런 결함을 찾아내고 악용하여 수정하는 것이 하나의 게임이 된 셈이죠.몇 년 전, 저는 중동의 수백 명의 아이들 앞에서 사이버 보안에 대해 가르칠 기회를 얻었습니다. 지금도 학생들 중 8살짜리 소녀가 게임을 하면서 패스워드 무차별 대입 공격과 base64 인코딩을 배웠던 일이 생생히 기억납니다.

게이미피케이션은 코딩 기술 교육에도 활용됩니다. 전 세계 교육 기관들이 이 접근법을 이용해 고등학생부터 아주 어린 아이들에게까지 코딩을 가르치고 있습니다. 이제는 4살짜리 아이들도 정기적으로 다음과 같은 휴가 프로그램에 참여합니다. 코드캠프, 그리고 아이들에게 파이썬이나 다른 언어로 코딩하는 법을 가르치는 훌륭한 온라인 프로그램이 많이 있습니다. 스크린 없는 코딩 도구인 큐벳이라는훌륭한 도구도 구입했습니다. 제 4살짜리 딸을 위해요.

그러나 이러한 즐거움과 진보에도 불구하고, 간극이 존재합니다. 게이미피케이션을 활용해 개발자에게 안전한 코드를 작성하는 방법을 가르칠 가능성에 대해서는 아무도 생각하지 않았습니다.

음... 거의 아무도 없습니다. 몇 년 전, 보안 분야를 다시 흥미롭게 만들고 개발자들이 참여해 플레이를 시작할 동기를 부여할 필요가 있다는 점을 깨달았습니다.

게이미피케이션: 간단한 방법.

저에게는 개발자들의 보안 지식을 향상시키고 그들에게 힘을 실어주고 싶은 강한 열망이 있으며, 바로 이 열정이 Secure Code Warrior를 개발하게 된 계기였습니다. 소프트웨어 보안은 매우 중요할 뿐만 아니라 정말 흥미진진한 분야이기도 합니다.

생각하고 있는 것은 저만이 아닙니다.

게이미피케이션은 평범한 작업을 훨씬 더 재미있게 만들어 사람들이 계속 플레이하고, 승리하고, 진전하고 싶어 할 정도로 지루함을 느끼지 않게 합니다. 포켓몬 고의 방식을 보세요! 가장 게으른 사람조차도 야외에서 상상의 생물을 찾거나, 핏빗이 걸음 수 목표를 달성하는 것이 많은 사람들의 일일 목표가 되었습니다... 이러한 목표가 달성되지 않고 연승이 끝나고 배지를 획득하지 못하면 매우 실망감이 밀려옵니다.

자, 이제 보안 교육으로 돌아가 보겠습니다. 우리는 많은 고객사에게 게임화가 조직의 보안 문화를 진정으로 변화시키고, 애플리케이션 보안 팀과 개발 팀 간의 가교 역할을 하며, 전반적으로 높은 수준의 소프트웨어 구축을 지원하는 데 중요하다는 점을 입증해 왔습니다.

현재로서는 보안이 개발자의 최우선 과제가 아닙니다. 친근하고 경쟁력 있으며 매력적인 요소를 훈련 방법에 추가함으로써, 단순히 '플레이'하는 것뿐만 아니라 더 많은 점수를 획득하고, 최고 기록을 깨고, 더 정확해지며, 동료 팀원들에게 도전하기 위해 다시 돌아오려는 동기를 높일 수 있습니다.

훈련이 성공하면 다음과 같은 결과가 나온다는 것은 이미 알고 있습니다.

• 개발자는 실제 코드나 자체 언어/프레임워크로 작업할 수 있습니다
• 과제는 짧으며, 일반적인 보안 취약점을 모두 포괄하고 있습니다.
• 도전은 지속적으로 확장 및 업데이트되므로 개발자는 시간을 들여 지속적으로 기술을 연마할 수 있습니다.
• 과제의 복잡성은 다양하기 때문에, 상급 개발자와 경험이 적은 개발자 모두에게 매력적입니다.
• 개발자와 그 매니저는 완료된 과제, 장점과 단점, 훈련에 소요된 시간, 전반적인 정확도 등 진행 상황을 확인할 수 있습니다.

한 대형 클라이언트는 게임화 플랫폼의 진정한 매력을 선보이며, 개발자들에게 테마별 팀 기어를 제공하고 게임 승자에게 훌륭한 상품을 제공함으로써 토너먼트를 정말 잊지 못할 경험으로 만들었습니다. 그 이후로 그들은 국제 대회를 개최해 왔으며, 지금도 팀 전체가 진지한 훈련 시간을 투자하고 있습니다.

당신의 소프트웨어 혁명은 여기서 시작됩니다. 호주 은행 업계는 기존(또는 지루한) 교육 방식을 뒤집는 진정으로 혁신적인 접근법으로, 불량 코드와의 싸움에서 게임화 교육 도입을 선도하고 있습니다. 고객사가 그 교육에서 무엇을 했는지 확인해 보세요. 다음 단계의 토너먼트. 준비되셨나요? 팀을 레벨업하세요. 우리와 함께?

우리는 주제를 전환하여 보안을 모든 개발자의 업무에 필수적인 요소로 만들어야 합니다. 이를 위한 최선의 방법 중 하나는 게임화 등을 통해 개발자에게 보안에 대한 권한을 부여하고 참여시키는 것이라고 생각합니다.