30만 명의 개발자가 실제로 수행하는 보안 관행은 무엇입니까?

BSIMM 8이 나왔습니다! 환상적이죠. 대기업이 보안 소프트웨어를 만들기 위해 어떤 보안 관행을 적용하는지에 대한 유일한 대규모 연구입니다.

이 연구는 Gary McGraw의 감독하에 애플리케이션 보안 전문가에 의해 수행되었으며, 수집된 데이터가 일관되고 정확한지 확인하고 30만 명의 개발자가 매일 수행하는 작업에 대한 통찰력을 제공합니다. 최근 프레젠테이션에서는 BSIMM 수치를 참조했는데, 여기서 언급한 BSIMM 수치에서는 개발자 100명당 평균 2명의 애플리케이션 보안 전문가가 있습니다.

그러나 BSIMM4 이후로는 그렇지 않았습니다. BSIMM8 보고서에 따르면 이 수치는 이보다 훨씬 적으며, 현재는 개발자 100명당 1.6명입니다. 인재가 부족하기 때문에 애플리케이션 보안 전문가를 더 고용하는 것은 효과가 없을 것입니다. 우리는 그 어느 때보다 개발자들에게 조직에서 직접 사용할 수 있고 확장 가능한 보안 코드를 작성할 수 있는 도구와 교육을 제공해야 합니다.

또한 보고서에 따르면 교육 관행에서 가장 일반적인 활동은 모든 직원에게 인식 교육을 제공하는 것입니다(67%).Secure Code Warrior SCW)에서 수행하는 작업을 교육 실습에 매핑하기 시작했는데, 이 솔루션을 통해 교육 실습에서 레벨 1(대부분의 회사에서 수행)에서 레벨 3(매우 소수 기업)에 이르는 12가지 활동을 모두 수행할 수 있다는 것을 알게 되었습니다.

전체 실습에 사용할 수 있는 단일 솔루션! 12가지 교육 사례 중 시큐어 코드 워리어 솔루션에 대한 가장 흥미로운 사례는 다음과 같습니다.

• 레벨 1: 인식 교육 제공
• 레벨 1: 온디맨드 개별 교육 제공
• 레벨 2: 훈련을 통한 위성 향상 (SCW 메트릭)
• 레벨 3: 커리큘럼을 통한 보상 진행 (SCW 배지)
• 레벨 3: 공급업체 또는 아웃소싱 작업자를 위한 교육 제공 (SCW 평가)
• 레벨 3: 외부 소프트웨어 보안 이벤트 호스팅 (SCW 토너먼트 모드)
• 레벨 3: 훈련을 통한 위성 식별 (SCW 메트릭)

현재 사용 중인 솔루션이 이러한 관행을 해결한다고 확신하십니까?