人工知能エンジンはいたるところに普及し始めており、新しいモデルやバージョンが登場するたびに、さまざまな分野に適用できる、より強力で印象的な機能が登場しているようです。AI の適切なユースケースとして提案されている分野の 1 つはコードを書くことであり、一部のモデルではすでに多数のプログラミング言語を使用してその能力が証明されています。

しかし、AIが人間のソフトウェアエンジニアの仕事を引き継ぐことができるという前提は誇張されています。現在運用されているトップクラスのAIモデルはすべて、高度なプログラミング能力に関しては重大な限界を示しています。とりわけ、コンパイルするコードにエラーや脆弱性をクラックのスピードで組み込む傾向があることが挙げられます。

AIの使用が働き過ぎのプログラマーの時間の節約に役立つことは事実ですが、将来は人間とAIが協力して、すべてのコードが可能な限り安全であることを保証する批判的思考と正確なスキルを適用する有能な人材が完全に担当するようになるでしょう。そのため、安全なコードを書き、脆弱性を発見し、本番環境に入るずっと前にアプリケーションが可能な限り保護されていることを確認する能力が不可欠です。

セキュア・コード・ウォリアーのこの新しいホワイトペーパーでは、次のことを学びます。

• LLM コード出力におけるブラインドトラストの落とし穴。
• セキュリティスキルのある開発者が AI コーディングツールと安全に「ペアプログラミング」を行うための鍵となる理由
• AI支援プログラミングの時代における開発コホートのスキルアップに最適な戦略。
• AI の限界 (およびそれを乗り越える方法) を紹介するインタラクティブなチャレンジ。

‍

DevOpsとセキュリティプロフェッショナルは、進化するサイバーセキュリティ環境に適応する必要があり、開発者のスキルアップに対する業界のアプローチもそれに合わせて進化する必要があります。

開発者がかつてないほど迅速にコードをリリースしていることがわかりました。厳しい納期や市場の需要に応えるためにセキュリティの優先順位が下がることが多いため、これは新たなリスクをもたらします。

現代の組織は、アジャイル学習の原則を使用して開発者主導のセキュリティを採用しています。この迅速で柔軟なアプローチにより、開発者はすぐに適用できる安全なコーディング手法を迅速に内面化できます。

Secure Code Warriorは、コーディング時に脆弱性を特定、回避、修正する方法を開発者に教えます。セキュアコーディングのためのアジャイル学習プラットフォームでは、今日の業界で最も完全で信頼性の高い脆弱性コンテンツを利用して、開発者が好きな方法で自由に学習できます。

アジャイルで安全なコード学習を最新のソフトウェア配信と統合することで、開発者はソフトウェア開発ライフサイクル全体を通じてソフトウェアセキュリティの原則を効果的に学び、適用し、維持することができます。

この電子書籍では、以下の方法を学びます。

• アジャイル学習の原則をDevSecOpsの提供方法に合わせて、セキュリティをソフトウェア開発ライフサイクルの始めにシフトさせましょう。
• セキュリティの成熟段階を理解して、アジャイルで安全なコード学習アプローチのベースラインを確立しましょう。
• SCWのセキュリティ専門家およびSCWのお客様からの推奨事項と主要なアクションを活用してください。
  

개발자 위험 관리는 애플리케이션 계층 자체의 비트와 바이트가 아닌 코드 기여자에 초점을 맞춘 애플리케이션 보안에 대한 총체적이고 사전 예방적인 접근 방식입니다.

SDLC 전반에서 개발자 보안 위험을 사전에 측정, 관리 및 완화하여 보안 태세를 개선하고 소프트웨어를 더 빠르게 릴리스하며 취약성을 53% 이상 줄이세요.

개발자 위험 관리의 철학은 코드 기여자의 역량을 강화하고 거버넌스를 적용하여 프로그래밍 방식으로 코딩 기술을 보호함으로써 개발자 주도의 보안 코드 이니셔티브의 혜택과 영향력이 기하급수적으로 증가한다는 것입니다.

OpenText Application Security(이전 명칭: Fortify) Secure Code Warrior 개발자가 보안 챔피언이 될 수 있도록 지원함으로써 애플리케이션 보안을 강화하기 위해 파트너십을 체결했습니다. 이 통합을 통해 특정 취약점에 대한 교육, 신속한 해결, 그리고 개발자의 실무 교육을 통해 처음부터 안전한 코드 작성 능력을 향상시킬 수 있습니다.

이 협력은 소프트웨어 개발 라이프사이클에 보안을 포함함으로써 보안 위험을 줄이고 비용을 최소화하며 규정 준수를 간소화하여 기업이 고객의 신뢰를 구축하고 고품질 코드를 더 빠르게 출시할 수 있도록 지원합니다.

파트너십에 대한 자세한 내용은 원페이저에서 확인하세요.

빠르고 안전한 혁신 - Trust Agent: AI

AI 코딩 도구의 광범위한 채택으로 개발 라이프사이클에 새로운 위험 요소가 등장하고 있습니다. 가시성과 거버넌스가 없으면 '섀도 AI'와 안전하지 않은 코드의 유입에 노출될 수 있습니다. 에이전트 신뢰: AI는 보안을 유지하면서 AI 도입을 확실하게 관리하는 데 필요한 심층적인 가시성과 제어 기능을 제공합니다. AI 도구 사용과 개발자의 보안 코딩 기술의 상관관계를 파악하여 커밋 수준에서 위험을 식별하고 완화함으로써 그 어느 때보다 빠르고 안전하게 혁신할 수 있도록 도와주는 솔루션입니다.

지금 한 페이지 분량의 안내서를 다운로드하여 SCW Trust Agent의 사용 방법을 알아보세요: AI를 통해 보안 태세를 강화하고, 개발 수명 주기를 최적화하며, 취약성을 크게 줄일 수 있습니다.

‍

Sage는 급여, 인사 및 재무를 위해 간단하고 사용하기 쉬운 소프트웨어와 서비스를 기업에 제공하는 영국의 다국적 기업용 소프트웨어 회사입니다. 2017년 기준 영국에서 두 번째로 큰 기술 기업이자 세계에서 세 번째로 큰 전사적 자원 관리 소프트웨어 공급업체이며, 전 세계 600만 명 이상의 고객을 보유한 최대 규모의 중소기업 공급업체입니다.

상황 

Secure Code Warrior 와 협력하기 전에 Sage는 약 10년간 보안 챔피언 네트워크의 윤곽을 잡기 시작했습니다. 보안에 중점을 둔 개발자로 구성된 강력한 네트워크에도 불구하고 교육은 산발적으로 이루어졌고 위험 감소에 초점을 맞춘 구조화되어 있지 않았습니다. 

Sage는 유연한 접근 방식으로 장기간에 걸쳐 관계를 구축하고 보안을 내장하는 데 시간을 투자하는 것이 중요하다는 것을 인식했습니다. Sage의 프로그램은 목표를 위험 감소와 해당 프로그램의 실질적인 영향에 연결했습니다. 특정 사업부와 함께 프로그램을 시범 운영할 때는 위험 감소를 측정하고 이를 다시 비즈니스에 재생하여 개발자와 고위 경영진의 동의를 얻는 방법에 중점을 두었습니다. 

액션

Sage의 사람 중심 보안 책임자인 매즈 하워드는 보안 챔피언의 페르소나를 이해하기 위해 개발자들과 협력했습니다. 그녀는 각 사업부의 개발자를 만나 인터뷰를 진행하여 무엇이 개발자에게 동기를 부여하는지, 어떤 방식으로 학습하는 것을 좋아하는지, 업무에서 어떤 한계를 느끼는지 파악했습니다. 그녀와 그녀의 팀은 개발자 및 팀 리더와 관계를 구축하기 위해 노력했으며, 접근 방식에 있어 유연성을 갖는 것이 중요하다고 강조했습니다.

Mads는 관계 구축 접근 방식을 강조합니다,

"스프린트 주기 동안 교육에 소요되는 시간을 통제하는 사람들인 개발 팀 리더, 엔지니어링 팀 리더, 제품 관리자와의 관계를 구축하는 데 많은 시간을 할애했습니다."

매즈에 따르면, 보안 챔피언 네트워크를 확장하는 것으로 결론이 났습니다,

"보안 챔피언 네트워크는 이 프로그램의 핵심 통제 수단으로 여겨져 왔습니다. 따라서 제품이 이 프로그램을 통과하기 위해서는 보안 챔피언의 역할을 진지하게 받아들이고 이들에게 탄탄한 보안 교육을 제공해야 했습니다." 

Sage의 글로벌 보안 팀의 목표는 복잡한 기술 환경에서 개발자의 학습 요구 사항을 고려한 보안 제어 프로그램을 구현하고 기존 보안 도구와 함께 작동하여 취약성 관리를 지원하는 파트너를 선택하는 것이었습니다. 

교육이 성숙한 보안 제어 프로그램의 중요한 측면으로 인식되는 것이 중요했습니다. 그들은 교육을 통해 위험 감소를 측정하는 데 집중했습니다: 

• 위험 점수 개선
• 취약점 백로그의 취약점 수명 감소
• 해결 시간
• 폐쇄형 취약점 대 개방형 취약점 없음
• Sage 작성 코드의 줄당 이슈 수(타사 제외)

마스를 위해,

"Sage의 다음 단계는 개발자 워크플로우에 내장된 안전한 코딩 프로그램을 통해 업스킬링하면 측정 가능한 위험 감소 효과를 얻을 수 있음을 입증하는 것입니다."

결과

매즈는 자신과 팀에 제공한 파트너십과 가이드( Secure Code Warrior )의 중요성을 강조했습니다,

"솔직히 말해서 Secure Code Warrior 의 지원이 없었다면 다양한 기술 계층이나 개발팀 측면에서 이 정도 수준의 완성도를 갖춘 프로그램을 구축할 수 없었을 것입니다." 

매즈와 그녀의 팀은 인터뷰를 완료하고 개발자의 동의를 얻은 후, 더 광범위한 보안 문화 프로그램의 일환으로 Secure Code Warrior 을 구현하기 시작했습니다. 

매즈에 따르면 그 결과는 다음과 같습니다,

"Sage에는 현재 200명 이상의 보안 챔피언이 프로그램에 등록되어 있으며, 보안 챔피언이 일주일에 3.5시간(또는 업무 시간의 10%)을 기술 구축에 할애하는 경우 보안 코딩 프로그램을 옹호하고, 지속적인 교육을 옹호하고, 이 프로그램이 제공하는 가치를 옹호할 수 있습니다." 

위험 감소에 대한 고위 리더의 동의와 측정 가능한 목표를 통해 Mads는 플랫폼 사용자 수와 플레이 시간뿐만 아니라 취약점 수정 시간, 취약점 수명, 고객을 위해 구축된 새로운 기능과 비교하여 취약점 감소에 대한 전체적인 관점을 제공하기 위해 성공을 측정하기 시작할 수 있었습니다. 한 팀의 경우 취약점을 수정하는 데 걸리는 평균 시간이 82% 감소하는 등 그 영향이 매우 컸습니다.. 

그러나 하워드는 더 중요한 것은 정량화할 수 없는 것, 즉 프로그램에 참여하려는 팀의 참여와 헌신, 의지가 중요하다고 덧붙였습니다.

주요 내용

Sage의 경험은 잘 계획되고 실행된 보안 교육의 관련성, 유연하고 통합된 접근 방식의 중요성을 강조하며, 이는 강력하고 안전한 코딩 프로그램을 목표로 하는 모든 조직이 배울 가치가 있는 교훈입니다. 매즈에 따르면 개발자와 대립하는 것이 아니라 개발자와 협력하는 것이 성공적인 보안 제어 프로그램을 구현하고 보안을 회사 문화에 포함시키는 열쇠라는 점을 기억하는 것이 중요하다고 합니다. 

• 보안 문화 조성은 하루아침에 이루어지지 않습니다. 오랜 기간에 걸쳐 관계를 구축하고 보안을 내재화하는 데 시간을 투자하고 리소스를 투입하는 것이 중요합니다. 
• 모든 것을 위험 감소로 연결하고 보안 코딩 프로그램의 실질적인 영향에 집중하세요.
• 이러한 위험 감소를 측정하여 비즈니스에 다시 적용하는 방법에 집중하여 개발자와 고위 경영진 모두에게 프로그램이 영향력 있고 성공적인 것으로 인식되도록 하세요. 

보안 챔피언이 되고자 하는 개발자를 위해 그녀와 그녀의 팀은 다음과 같은 조언도 제공했습니다: 

• 주변에 보안에 관심이 있는 사람들과 네트워크를 구축하고 컨퍼런스 및 강연에 참여하세요. 관심 있는 주제에 대해 배우는 데 시간을 투자하세요. 
• 조직의 문화는 하루아침에 바뀌지 않으며, 발전하고 성숙하는 데 시간이 걸린다는 점을 명심하세요. 

‍

주요 내용

네덜란드 상공회의소(KVK)는 업계의 모범 사례로 손꼽히는 현대적이고 개발자 중심의 보안 프로그램을 구축했습니다. Secure Code Warrior 협력을 통해 KVK는 안전한 코딩 관행을 일상적인 개발 워크플로에 내재화하고, 조직 전반에 걸쳐 채택된 체계적인 인증 프로그램을 수립했으며, 선제적이고 개발자 주도적인 보안 접근 방식의 효과를 입증하는 가시적인 위험 감소 성과를 달성했습니다. 주요 성과는 다음과 같습니다:

우리는 이미 강력한 보안 기반을 갖추고 있었지만, 이를 한 단계 더 발전시켜 모든 개발자에게 보안이 자연스러운 습관이 되도록 하고자 했습니다. 그래서 Secure Code Warrior 교육을 전략의 핵심으로 삼았고 Secure Code Warrior 팀이 처음부터 자신 있게 안전한 소프트웨어를 구축할 수 있도록 역량을 강화했습니다.

– 개발 서비스 제품 책임자 세바스티안 라인바우트

‍도전

개발자 중심의 보안 마인드셋 구축

네덜란드 상공회의소(KVK)는 전국 기업가 지원을 주도하는 핵심 기관입니다. 경제 활동에 종사하는 기업, 법인 및 단체의 등록을 담당하는 공식 기관으로서 KVK는 비즈니스 생태계의 투명성을 증진하고 건전성을 강화합니다. 등록 업무 외에도 KVK는 법률 및 규제 지침부터 자금 조달, 최신 동향, 사이버 보안에 이르기까지 주요 기업가 주제에 관한 가치 있는 정보와 조언을 제공합니다. 신뢰할 수 있는 데이터를 제공하고 국가 및 지역 경제 이해관계자들과 협력함으로써, KVK는 기업가들이 번성할 수 있는 안전하고 정보가 풍부한 환경 조성에 기여합니다. KVK가 애플리케이션 보안을 한층 강화하기 위한 여정을 시작했을 당시, 침투 테스트를 포함한 기초적인 보안 조치가 이미 마련되어 있었습니다. 이러한 조치들이 유용한 통찰력을 제공했음에도 불구하고, KVK는 개발 라이프사이클의 초기 단계에서 보안을 확대하고 개발자들이 위험 감소를 주도할 수 있도록 지원하는 기회를 포착했습니다.

2022년 KVK는 Secure Code Warrior 개발자 중심 접근 방식으로 첫 보안 코딩 교육 프로그램을 시작했습니다. 개발자 참여를 위한 초보적 노력으로 시작된 이 프로그램은 경영진과 CISO 사무실의 지원을 받으며 빠르게 전사적 프로그램으로 발전하여, 보안 개발을 단순한 목표에서 조직적 표준으로 전환시켰습니다.

해결책

프로그램이 아닌 문화를 구축하기

CISO의 후원을 받아 KVK의 보안 소프트웨어 개발 라이프사이클 팀은 Secure Code Warrior 협력하여 전사적 전략을 Secure Code Warrior 의무적인 역할 기반 인증 프로그램을 구축하였습니다. 이 프로그램은 다음과 같은 특징을 지닙니다:

KVK는 Secure Code Warrior플랫폼의 유연성을 활용해 조직 고유의 요구사항에 맞춤화된 인증 프로그램을 구축했습니다. 교육 프로그램을 특정 역할에 매핑함으로써 신입 사원은 OWASP Top 10 인식 교육으로 시작하는 반면, 선임 엔지니어들은 실제 업무 흐름에 기반한 고급 시나리오 기반 연습을 수행합니다. 챔피언급 개발자들은 동료들을 멘토링하고 지식 공유를 촉진하며 팀 전반에 걸쳐 보안 전문성을 확대하는 데 기여합니다. KVK 프로그램은 기술 역량이 최신 상태를 유지하도록 연간 재인증 절차를 포함하며, 조직이 적용 범위를 지속적으로 확대하고 AI 기반 취약점 및 신종 위협과 같은 새로운 위험에 적응해 나감에 따라 완전한 구현이 진행 중입니다.

세바스티안은 "인증 프로그램을 개발 프로세스에 통합한 것은 전환점이었습니다"라고 말했습니다. "이를 통해 모든 개발자에게 보안이 공유된 우선순위이자 소프트웨어 구축 방식의 자연스러운 일부임을 보여주었죠. Secure Code Warrior 통해 학습은 일회성 행사가 아닌 지속적이고 상황에 맞는 방식으로, 일상적인 개발 문화에 자연스럽게 녹아들었습니다."

결과: 교육은 관련성이 높고 달성 가능하며 개발자의 일상 업무와 직접 연결된다는 느낌을 주었습니다. 2024년 초까지 KVK 개발자의 90%가 기초 수준 인증을 획득했으며, 이는 개발자 주도 보안으로의 전략적 전환과 문화적 변화를 입증하는 중요한 성과였습니다 .

결과

실질적 영향, 측정 가능한 진전

KVK의 Secure Code Warrior 통한 보안 개발 투자는 강력한 성과를 Secure Code Warrior :

KVK는 주요 보안 지표를 기반으로 조직의 안전한 코딩 관행에 대한 헌신을 측정하는 벤치마크인 SCW 트러스트 스코어®를 활용합니다. 6개월 동안 KVK의 트러스트 스코어는 크게 상승하여 전 세계 조직 상위 12%에 진입했습니다.

"SCW 신뢰도 점수는 위험이 어디에 있는지, 그리고 가장 중요한 부분에 훈련을 집중해야 하는지에 대한 명확하고 데이터 기반의 가시성을 제공합니다."라고 세바스티안은 설명했습니다. "이는 단순한 벤치마크가 아니라 진전을 입증하고 안전한 개발의 진정한 비즈니스 가치를 보여주는 데 도움이 되는 로드맵입니다."

KVK는 Secure Code Warrior 협력하여 개발자 주도 보안의 새로운 기준을 세웠습니다. 강력한 리더십, 명확한 전략, 측정 가능한 성과를 결합함으로써 보안 개발을 핵심 비즈니스 역량으로 전환했으며, 이는 규정 준수 요건을 충족하고 업계의 모범 사례가 되고 있습니다. SCW의 보고 체계가 ISO 27001/27002 인증 기준에 부합함에 따라, KVK는 감사 과정에서 프로그램의 효과성을 검증할 수 있으며, 보안 개발이 단순한 권장 사항이 아닌 필수 요건임을 입증합니다.

KVK는 인증 프로그램을 엔지니어링 분야를 넘어 QA 테스터, 데브옵스, 로우코드 개발자까지 확대할 계획이며, 이는 보안이 조직 전반에 걸친 공동 책임임을 강조합니다. 또한 개발자들이 GitHub Copilot 같은 도구와 함께 안전하게 코딩할 수 있도록 SCW의 AI/LLM 중심 콘텐츠를 도입할 계획이며, SCW 전문 서비스팀과 협력하여 Trust Agent의 출시를 최적화하고 있습니다. 이러한 노력들은 안전한 코딩이 개발자뿐만 아니라 조직 전체의 공동 책임이 될 때 가능한 바를 보여줍니다.

세바스티안은 Secure Code Warrior 파트너십은 원활하고 Secure Code Warrior "라고 말했습니다 . "그들은 우리의 교육 프로그램을 구현하고 개선하는 데 도움을 주었으며, 그 결과 측정 가능한 위험 감소와 더욱 강화된 보안 개발 문화가 정착되었습니다."

KVK는 Secure Code Warrior 통해 안전한 개발을 위한 견고한 기반을 마련했으며, 이제 막 시작 단계에 접어들었습니다.

웨비나에서 그녀는 다음과 같이 설명합니다:

• 개발자를 찾는 가능한 방법
• SCW 고객이 직면한 과제
• 트러스트 에이전트: 개발자 검색을 위한 커밋
• 신규 고객을 위한 다음 단계
  ↪f_200D↩