보안 코딩과 관련하여 개발 팀이 밤을 새우는 이유는 무엇일까요?

안전하지 않은 코드는 기업에 수백만 달러의 비용을 초래합니다. 그렇다면 보안 코딩 관행을 채택하는 데 방해가 되는 것은 무엇일까요?

거의 모든 것을 소프트웨어에 의존하는 세상에서, 코드가 안전한지 확인하는 것은 매우 중요합니다. 브랜드 평판과 재정적 생존력은 여기에 달려 있습니다. 그렇긴 하지만, 보안 코딩에 대한 우려는 많지만 완전하고 효과적인 채택에는 많은 장벽이 있습니다. 그 어느 때보다 새로운 작업 방식이 필요합니다.이에 2020년 Secure Code Warrior는 Evans Data Corp.와 협력하여 보안 코딩, 보안 코드 관행 및 보안 운영에 대한 개발자와 관리자의 태도를 조사한 1차 연구*를 수행했습니다(백서 다운로드). 이리).

현재 조직에서는 보안 코드 관행을 구현하기가 어렵다는 점을 인지하고 있습니다. 개발자와 관리자 모두 취약점을 처리하고 특히 우려되는 코드에 대해 책임을 져야 합니다.

분명히 더 나은 교육과 보안 코드 프랙티스를 지원하는 프로그램이 필요합니다. 개발자와 관리자에게 보안 코딩에 대한 우려를 물어보면 이러한 필요성이 분명해집니다. 우리의 연구*에 따르면 이 두 그룹 모두 동일한 기본 관심사를 공유하고 있는 것으로 나타났습니다. 하지만 역할이 서로 다르기 때문에 이들 중 어떤 것이 가장 시급한 문제인지에 대해서는 차이가 있습니다.

개발자들의 가장 큰 관심사는 '이전 취약점을 복제하는 코드 포함'입니다. 개발자는 코드의 품질을 기준으로 평가받기 때문에 이는 그리 놀라운 일이 아닙니다. 어떤 개발자도 안전하지 않은 코드, 즉 재작업이 필요하고 팀의 작업 속도를 저하시키는 코드의 근원이 되고 싶어하지 않습니다.

개발자들이 두 번째로 중요하게 생각하는 것은 동료들이 저지른 실수를 처리하는 것입니다. 마감일을 지키고 코드에 대한 책임을 지는 것 또한 상위에 있습니다. 보안 코드를 배우는 것이 어렵다는 사실도 마찬가지로 보안 코드 교육에 대한 새로운 접근 방식이 필요함을 다시 한번 되풀이합니다.

반면 관리자는 하향식 관점을 더 많이 취합니다.

팀 관리자이자 리더로서 그들이 가장 중요하게 생각하는 것은 코드에 대한 책임입니다. 팀에서 형편없는 코드를 만들면 문제는 매니저에게 맡깁니다.

이전 취약점을 복제하는 코드는 두 번째입니다. 학습 과정이 까다롭다는 사실이 세 번째로 꼽힙니다. 현행대로 보안 코드 교육 접근 방식이 제대로 작동하지 않는 경우 관리자는 새로운 접근 방식이 필요하다는 것을 깨닫습니다.

보안 코딩 관행 채택의 장벽

관리자에게 조직에서 보안 코딩 관행을 채택하는 데 방해가 되는 장애물에 대해 물었을 때 눈에 띄는 두 가지가 있습니다. 바로 커뮤니케이션과 교육입니다.

45%는 이해관계자와 경영진 간의 커뮤니케이션 부족을 심각한 장애물로 꼽았습니다. 42%는 신입 사원의 보안 코딩 기술 부족을 한탄합니다. 이와 동시에 40%는 교육 시간과 리소스가 부족하다고 답했습니다.

조직 전체에서 보안 코드 관행을 성공적으로 도입하는 데에는 프로세스 및 HR 관련 장벽이 존재합니다.

그러나 이러한 다루기 어려운 문제에도 불구하고 여전히 진전을 이룰 수 있습니다. 신입 사원의 보안 코딩 기술 부족과 부적절한 교육 및 리소스는 해결하기가 더 쉽습니다.

개발자들은 취약점을 막기 위해 최전선에서 싸우고 있습니다. 하지만 보안 계약에서 각자의 몫을 지킬 수 있는 지원, 도구 및 교육을 받고 있을까요?

그들의 우려에 따르면 짧은 대답은 '아니오'입니다.

사실, 올바른 교육은 강의처럼 느껴져서는 안 됩니다.

보안 코딩의 변화를 주도하는 Secure Code Warrior는 개발자가 보안 코딩 기술을 배우고 익힐 수 있도록 적극적으로 참여시키는 인간 주도형 접근 방식을 취합니다. 당사의 검증된 학습 플랫폼은 개발 및 보안 팀이 선호하는 워크플로우 내에서 상황에 맞는 매우 관련성 높은 학습을 제공합니다. 취약점을 찾을 수 있을 뿐만 아니라 애초에 취약점이 발생하지 않도록 방지할 수 있습니다.

이러한 실무 교육은 기술을 향상시킬 수 있는 기회입니다. 즉, 취약점을 막고 다른 팀원들과 협력하여 더 높은 수준의 코드를 만드는 데 진지한 노력을 기울이는 개발자들에게만 긍정적인 영향을 미칠 수 있습니다.

더 자세히 알아보고 보안을 침해하지 않으면서 보안 코드를 '처음부터 시작'하고 더 빠르게 출시할 수 있는 팀의 능력에 미칠 수 있는 잠재적 영향을 알아보려면 지금 데모를 예약하세요.

*대응에서 예방으로의 전환: 애플리케이션 보안의 변화하는 모습. 시큐어 코드 워리어 앤 에반스 데이터 코퍼레이션 2020