미국 정부의 사이버 보안 및 인프라 보안국(CISA)이 포괄적인 보안 설계 지침을 발표한 지 2년이 지났으며, 이는 소프트웨어 제조업체에 영향을 미치는 분수령을 알리는 신호탄이 되었습니다. 처음으로 소프트웨어 품질 및 보안 표준을 높이기 위한 가시적인 최고 수준의 지원이 이루어졌고, 최종 사용자가 아닌 공급업체가 취약점이 없는 코드를 제공하도록 책임을 지는 방향으로 나아갔습니다.

그러나 이러한 원칙을 기업 차원에서 실제로 구현하는 데 대한 합의는 쉽지 않은 것으로 나타났습니다. 보안 전문가들 사이에서는 보안 설계를 구성하는 요소에 대한 합의가 이루어지지 않았으며, 이를 달성하기 위한 표준 경로에 대한 합의도 이루어지지 않은 것으로 보입니다. Secure Code Warrior 는 소프트웨어 구축에 주력하는 기업 보안 전문가를 인터뷰하여 현재 보안 설계 원칙이 보안 태세와 소프트웨어 개발 수명 주기(SDLC)에 어떻게 구현되고 있는지 등 현재 보안 설계 원칙에 대한 접근 방식을 심층적으로 살펴봤습니다. CISA의 지침을 구현하는 데 널리 인정되는 표준이 없고 성공적인 롤아웃을 판단할 수 있는 벤치마크도 없다는 것이 분명해졌습니다. 업계가 보안 책임 강화와 소프트웨어 품질 향상이라는 혜택을 누리기 위해서는 이러한 문제를 신속히 해결해야 합니다. 

‍

이 연구 보고서에서는 Secure Code Warrior 공동 창립자인 피터 댄히우와 마티아스 마두 박사가 전문가 기고자인 크리스 잉글리스 전 미국 국가 사이버 책임자(현 팔라딘 캐피탈 그룹 전략 고문), 데빈 린치 팔라딘 글로벌 연구소 수석 이사와 함께 CISO, 애플리케이션 보안 부사장, 소프트웨어 보안 전문가 등 기업 보안 리더 20여 명을 심층 인터뷰한 주요 결과를 공개합니다:

‍

• 기업에서 직면하는 일반적인 보안 프로그램 문제에 대한 인사이트를 확인하세요;
• 보안 설계 이니셔티브의 역할과 이를 활성화하고 팀 간에 배포하는 방법 등 보안 설계 이니셔티브의 역할에 대해 알아보세요;
• 소프트웨어 개발에서 AI의 역할과 최신 위협 모델링에 대해 알아보세요;
• 모범 사례에 대한 해석과 정밀 데이터 및 벤치마킹이 실행 가능한 보안 설계 전략에 맞춰 업계 전반에서 수행할 수 있는 역할에 대해 설명합니다. 

‍

안전한 코딩을 위한 전문가 지원

SCW 전문 서비스는 프로그램의 모든 단계에 심도 있는 도메인 지식을 제공합니다. 전직 보안 실무자로 구성된 저희 팀은 위험 기반 접근 방식을 사용하여 성공을 가속화합니다.

• 실전에서 검증된 전문 지식에 의존하세요 - 추측이 아닌 실제 인사이트를 제공합니다.
• 개발자 위험 감소를 위한 위험 기반 방법론 적용
• 팀, 도구 및 문화에 맞게 롤아웃 및 교육 맞춤화하기
• 지속적인 검토 및 ROI 추적을 통해 프로그램 발전시키기

이제 막 프로그램을 시작하든 다음 단계로 발전시키든, 더 빠르고 지속적인 영향력을 발휘하여 성공할 수 있도록 도와드리겠습니다.

‍

인공지능 엔진은 새로운 모델과 버전이 나올 때마다 다양한 분야에 적용될 수 있는 더욱 강력하고 인상적인 기능을 선보이면서 모든 곳에 적용되기 시작했습니다. 인공지능의 좋은 활용 사례로 제시된 한 가지 영역은 코드 작성이며, 일부 모델은 이미 다양한 프로그래밍 언어를 사용하여 그 능력을 입증했습니다.

그러나 AI가 인간 소프트웨어 엔지니어의 일자리를 대신할 수 있다는 전제는 과장된 것입니다. 오늘날 운영되고 있는 최고의 AI 모델들은 모두 고급 프로그래밍 능력에 있어 심각한 한계를 드러냈으며, 그 중에서도 컴파일하는 코드에 오류와 취약성을 빠른 속도로 도입하는 경향이 가장 두드러집니다. 

AI를 사용하면 과중한 업무에 시달리는 프로그래머의 시간을 절약할 수 있는 것은 사실이지만, 미래에는 모든 코드의 보안을 최대한 보장하는 비판적 사고와 정밀 기술을 전적으로 담당하는 유능한 인력이 인간과 AI가 함께 일하는 시대가 될 것입니다. 따라서 안전한 코드를 작성하고, 취약점을 찾아내고, 애플리케이션이 프로덕션 환경에 들어가기 훨씬 전에 최대한 보호되도록 설정하는 능력은 매우 중요합니다.

새 백서( Secure Code Warrior)에서 자세한 내용을 확인할 수 있습니다:

• LLM 코드 출력에 대한 맹목적인 신뢰의 함정.
• 보안에 능숙한 개발자가 AI 코딩 도구와 프로그래밍을 안전하게 '페어링'해야 하는 이유
• AI 지원 프로그래밍 시대에 개발 집단의 역량을 강화하기 위한 최고의 전략입니다.
• AI의 한계(그리고 이를 극복하는 방법)를 보여주는 대화형 챌린지입니다.

‍

PDF 버전 열기

보안 코딩 프로그램의 영향을 정량화하는 업계 최초의 벤치마크

기업 전반의 소프트웨어 팀은 생산 전에 고품질의 안전한 코드를 더 빨리, 그리고 실패 없이 제공해야 한다는 압박을 받고 있습니다. 이로 인해 개발자 주도 보안이라는 개념이 생겨났고, 이는 개발자 생산성 향상, 소프트웨어 개발 주기 전반에 걸친 신속한 움직임, 혁신의 증가로 이어져 궁극적으로 비즈니스 성장으로 이어지는 강력한 움직임으로 이어졌습니다. 보안 학습 프로그램의 세계에서는 동일한 보안 코드 프로그램을 진행하더라도 팀마다 최고 성과자, 평균 성과자, 추가 지원이 필요한 팀 등 다양한 전문성을 갖춘 경우가 많습니다. 하지만 무엇이 우수하고 무엇이 상대적으로 우수해 보이는지 어떻게 알 수 있을까요? 조직은 개발자의 보안 수준을 정의할 수 있는 벤치마크가 필요합니다. 보안 학습 프로그램의 현재 상태를 측정하고, 그 효과를 평가하며, 팀의 성과를 최적화할 수 있는 기준점으로 사용할 수 있는 점수입니다.

가치와 혜택

• 간단하고 효과적이며 의미 있는 데이터
• 보안 프로그램의 성공 여부 측정
• 소프트웨어 품질 향상
• 팀 관계 개선
• 코딩 기술 확보를 위한 인사이트
• 참여 사용자 및 개발자 유지

보안 프로그램의 현재 상태를 벤치마킹하세요.

보안 프로그램을 업계 동종 업계와 비교하여 비즈니스 목표에 부합하는 표준을 수립하세요. 벤치마크를 활용하면 성능 비교를 위한 기준이 마련되어 데이터 기반의 의사 결정과 지속적인 개선 기회를 통해 보안 태세를 최적화할 수 있습니다.

동료, 경쟁사 및 글로벌 조직의 맥락에서 측정됨

SCW 신뢰 점수는 개별 학습자의 기술 수준을 집계하여 조직의 신뢰 점수를 계산함으로써 보안 프로그램의 효과를 측정합니다. 은행 및 금융 서비스, 기술 및 글로벌 산업에 맞춘 벤치마크를 통해 이 보고서는 사용자 지정 가능한 드릴다운 및 필터 옵션을 통해 회사의 신뢰 점수, 업계 벤치마크 분포, 학습자 기술 수준 분포에 대한 인사이트를 제공합니다.

업계에서 가장 포괄적인 보안 기술 벤치마크에 대한 자신감 확보

SCW 신뢰 점수는 600개 이상의 기업과 25만 명의 학습자로부터 수집한 2천만 개 이상의 학습 데이터 포인트에서 얻은 인사이트를 활용하는 동적 알고리즘을 활용하는 업계 최초의 솔루션입니다. 이 솔루션은 OWASP Top 10에 대해 습득한 지식의 깊이와 같이 플랫폼 내에서 완료된 다양한 학습 활동을 고려합니다. 이러한 탁월한 인사이트를 통해 조직은 자신감을 가지고 다른 조직과 비교하여 성과를 측정할 수 있습니다.

‍

PDF 다운로드

‍