PDF 버전 열기
↪f_200D↩

개발자 중심의 보안을 확장하기 위한 가시성 및 제어 기능

모든 커밋에 대한 강력한 인사이트와 개발자의 안전한 코드 역량을 제공합니다.

‍

SCW 트러스트 에이전트란 무엇인가요?

효과적인 보안 설계 전략은 초기 설계부터 생산까지 그 원칙을 구현하는 개발자에게 달려 있습니다. 이러한 역학 관계에서는 개발팀 전체에 최고 수준의 보안 역량이 필요합니다. 개발자는 자신이 작성한 코드에서 모범 사례를 구현하고, 취약점을 사전에 식별하고, 위협을 해결하기 위해 언어별 지식과 기술이 필요합니다. 그러나 언어별 보안 역량과 개발자가 작성하는 코드 사이에 차이가 있는 경우가 너무 많습니다. 이러한 단절은 조직의 전반적인 보안 태세에 사각지대를 만들고 코드 기반 취약점이 발생할 가능성을 높이며 궁극적으로 개발자 중심의 보안 문화를 실현하는 데 장애가 될 수 있습니다. SCW Trust Agent는 모든 커밋을 캡처하고 개발자의 보안 코드 프로필과 비교 분석하여 전체 코드 리포지토리에 대한 고유한 가시성을 제공하는 획기적인 제품입니다. 

SCW Trust Agent는 SCW Trust Score를 통해 확보한 인사이트를 기반으로 모든 커밋에서 보안 프로그램이 얼마나 효과적으로 적용되는지 분석합니다.

‍

가치와 혜택

• 보안 태세 강화
• 개발 수명 주기 최적화
• 개발자 주도 보안 확장
• 규정 준수 보장 
• 한 곳에서 가시성 및 제어
• 보안 코드 학습 미세 조정

‍

실행 가능한 인사이트

특정 코드 커밋, 커밋을 만든 사람, 언어별 보안 지식 및 기술에 대한 자세한 보기. 또한 개발팀의 보안 역량과 코드 커밋이 조직 전체에 걸쳐 얼마나 잘 조정되어 있는지에 대한 인사이트를 제공하는 팀 및 리포지토리 수준 대시보드도 제공됩니다.  

정책 구성

프로젝트의 민감도와 요구 사항에 따라 정책과 전반적인 제한 사항을 설정할 수 있으므로 소프트웨어 제공 속도를 늦추지 않고도 언어별 보안 역량을 보장할 수 있습니다.

광범위한 코드 리포지토리 지원

Github, GitLab, Bitbucket, Azure Repos 등을 포함한 모든 Git 기반 소스 코드 관리 도구에 SCW Trust Agent를 배포하세요.

애자일 보안 코드 학습

SCW Trust Agent는 개발자의 보안 역량에 대한 인사이트와 지식과 기술을 구축하는 데 필요한 도구를 제공하는 SCW Agile( Learning Platform)의 지원을 받습니다. 

PDF 다운로드

PDF 버전 열기

PCI-DSS 요구 사항을 지원하기 위해 인프라 및 프로세스를 평가하세요.

새로운 PCI-DSS 4.0 요건에 대한 주요 업데이트 및 일정

PCI-DSS 4.0은 카드 소유자 데이터의 보안을 강화하기 위한 업데이트를 도입하여 결제 카드 업계의 현재 위험과 기술 발전을 해결합니다. 이 개정안을 통해 조직은 보안 목표를 준수하고, 다단계 인증을 카드 소유자 데이터 환경의 모든 액세스로 확장하고, 모든 네트워크에서 암호화를 강화하는 등 맞춤형 보안 조치를 채택할 수 있습니다. 또한 지속적인 위험 분석 및 완화, 보안 사고를 적시에 감지하고 대응할 수 있는 역량 개선이 더욱 강조됩니다. 이러한 새로운 요구 사항에는 전환 기간이 있어 조직이 기존 표준을 준수하면서 새 버전을 채택할 시간을 가질 수 있습니다.

CISO가 최신 PCI-DSS 업데이트에 우선순위를 두어야 하는 이유

이러한 업데이트된 표준을 준수하는 것은 규정 준수 유지뿐만 아니라 새롭게 등장하는 사이버 위협과 위험으로부터 보호하는 데에도 매우 중요합니다. 이러한 표준을 구현함으로써 조직은 위반에 대한 탄력성을 확보하여 평판을 보호하고 규정 미준수로 인해 발생할 수 있는 막대한 벌금을 피할 수 있습니다.

DSS 4.0 발효일: 2024년 3월, 2025년 3월까지 실현.

PCI-DSS 4.0은 지속적인 보안 프로세스를 일상적인 비즈니스 운영에 통합하는 것의 중요성을 강조합니다.

규정 준수는 일회성으로 끝날 수 없습니다 assessment. 이러한 접근 방식은 조직 내에서 보안 인식과 사전 예방적 위험 관리 문화를 조성하는 임무를 맡은 CISO에게 필수적입니다. 또한 PCI-DSS 4.0을 도입하면 안전한 결제 환경을 뒷받침하는 강력한 보안 인프라를 구축하여 비즈니스 가치를 창출하는 데 도움이 됩니다.

개발자가 규정을 준수하는 소프트웨어를 제공할 준비가 되어 있나요?

개발자는 소프트웨어 보안의 우수성을 달성하는 데 있어 필수적인 역할을 하지만 종종 활용도가 낮습니다. 개발자는 PCI DSS 4.0의 광범위한 그림과 소프트웨어 빌드에 대한 기본 접근 방식의 일부로 제어 및 통합할 수 있는 사항을 이해하는 것이 중요합니다.

PCI DSS의 요구 사항 6은 보안 소프트웨어 개발 및 유지 관리에 대한 기대치를 설명합니다.

여기에는 보안 개발 표준부터 개발자 교육, 구성 및 변경 제어 관리에 이르기까지 다양한 항목이 포함됩니다. 카드 소지자 데이터 네트워크(CHD)에서 사용되는 소프트웨어를 개발하는 모든 조직은 이러한 의무를 준수해야 합니다.

요구 사항 6.2.2에 설명된 대로 맞춤형 및 사용자 지정 소프트웨어를 개발하는 소프트웨어 개발 담당자는 12개월에 한 번 이상 다음과 같이 교육을 받습니다:

• 직무 및 개발 언어와 관련된 소프트웨어 보안에 대해 설명합니다.
• 안전한 소프트웨어 설계 및 보안 코딩 기술을 포함합니다.
• 소프트웨어의 취약점을 탐지하기 위한 보안 테스트 도구를 사용하는 방법을 포함합니다.

이 표준은 교육에 최소한 다음 항목이 포함되어야 한다고 명시하고 있습니다:

• 사용 중인 개발 언어
• 안전한 소프트웨어 설계
• 보안 코딩 기술
• 코드의 취약점을 찾기 위한 기술/방법 사용
• 이전에 해결된 취약점의 재유입을 방지하는 프로세스

또한 개발자는 모든 공격 기법(요구 사항 6.2.4.에 설명되어 있습니다.)을 숙지해야 합니다. 여기에는 예시로 제공되는 공격 범주 목록이 포함되어 있습니다:

• SQL, LDAP, XPath 또는 기타 명령, 매개변수, 개체, 결함 또는 인젝션 유형 결함을 포함한 인젝션 공격.
• 버퍼, 포인터, 입력 데이터 또는 공유 데이터를 조작하려는 시도를 포함하여 데이터 및 데이터 구조에 대한 공격.
• 취약하거나 안전하지 않거나 부적절한 암호화 구현, 알고리즘, 암호 모음 또는 작동 모드를 악용하려는 시도를 포함하여 암호화 사용에 대한 공격입니다.
• API, 통신 프로토콜 및 채널, 클라이언트 측 기능 또는 기타 시스템/애플리케이션 기능 및 리소스의 조작을 통해 애플리케이션의 특징과 기능을 악용하거나 우회하려는 시도를 포함한 비즈니스 로직에 대한 공격입니다. 여기에는 크로스 사이트 스크립팅(XSS) 및 크로스 사이트 요청 위조(CSRF)가 포함됩니다.
• 식별, 인증 또는 권한 부여 메커니즘을 우회하거나 악용하려는 시도 또는 이러한 메커니즘 구현의 취약점을 악용하려는 시도를 포함하여 액세스 제어 메커니즘에 대한 공격.
• 취약점 식별 프로세스에서 확인된 "고위험" 취약점을 통한 공격, 규정 6.3.1에 정의된 대로.

PCI-DSS 4.0 규정 준수에 Secure Code Warrior 도움이 되는 방법

가장 효과적인 교육 옵션은 규정 준수가 중요한 보안 코드 학습 프로그램의 부산물이 되는 애자일( learning platform )입니다. 특히 Secure Code Warrior 을 통해 취약성을 줄이고 개발자의 생산성을 높일 수 있습니다:

• 지식의 격차를 해소하고 개발자가 사용하는 언어와 프레임워크에 대한 정확한 교육을 제공함으로써 PCI 데이터를 안전하게 보호하는 방법에 대한 견고하고 일관된 이해를 제공합니다. 자세히 알아보기 Learning Platform.
• 지속적이고 측정 가능하며 확립된 기술 검증 프로세스를 제공하여 교육이 제대로 흡수되고 실무에 적용되었는지 확인합니다. 개발자를 위한 준비된 보안 코드 교육 경로에 대해 자세히 알아보세요.
• 적시에 상황에 맞는 마이크로버스트 학습을 제공하는 애자일 학습 방법을 통해 교육을 실시합니다. 일반적이고 빈번하지 않은 교육은 더 이상 실행할 수 없으며 취약성 감소에 원하는 영향을 미치지 못합니다. 지원되는 취약점에 대해 자세히 알아보세요.
• 보안 교육 및 코딩 표준을 문서화하는 데 도움을 주며, PCI-DSS 감사 시 규정 준수를 입증하는 데 유용합니다. PCI-DSS 4.0에 대한 자세한 분석은 백서 PCI DSS 4.0의 모든 것에서 확인할 수 있습니다.

‍

PDF 버전 열기

‍

PDF 버전 열기

보안 코딩 프로그램의 영향을 정량화하는 업계 최초의 벤치마크

기업 전반의 소프트웨어 팀은 생산 전에 고품질의 안전한 코드를 더 빨리, 그리고 실패 없이 제공해야 한다는 압박을 받고 있습니다. 이로 인해 개발자 주도 보안이라는 개념이 생겨났고, 이는 개발자 생산성 향상, 소프트웨어 개발 주기 전반에 걸친 신속한 움직임, 혁신의 증가로 이어져 궁극적으로 비즈니스 성장으로 이어지는 강력한 움직임으로 이어졌습니다. 보안 학습 프로그램의 세계에서는 동일한 보안 코드 프로그램을 진행하더라도 팀마다 최고 성과자, 평균 성과자, 추가 지원이 필요한 팀 등 다양한 전문성을 갖춘 경우가 많습니다. 하지만 무엇이 우수하고 무엇이 상대적으로 우수해 보이는지 어떻게 알 수 있을까요? 조직은 개발자의 보안 수준을 정의할 수 있는 벤치마크가 필요합니다. 보안 학습 프로그램의 현재 상태를 측정하고, 그 효과를 평가하며, 팀의 성과를 최적화할 수 있는 기준점으로 사용할 수 있는 점수입니다.

가치와 혜택

• 간단하고 효과적이며 의미 있는 데이터
• 보안 프로그램의 성공 여부 측정
• 소프트웨어 품질 향상
• 팀 관계 개선
• 코딩 기술 확보를 위한 인사이트
• 참여 사용자 및 개발자 유지

보안 프로그램의 현재 상태를 벤치마킹하세요.

보안 프로그램을 업계 동종 업계와 비교하여 비즈니스 목표에 부합하는 표준을 수립하세요. 벤치마크를 활용하면 성능 비교를 위한 기준이 마련되어 데이터 기반의 의사 결정과 지속적인 개선 기회를 통해 보안 태세를 최적화할 수 있습니다.

‍

동료, 경쟁사 및 글로벌 조직의 맥락에서 측정됨

SCW 신뢰 점수는 개별 학습자의 기술 수준을 집계하여 조직의 신뢰 점수를 계산함으로써 보안 프로그램의 효과를 측정합니다. 은행 및 금융 서비스, 기술 및 글로벌 산업에 맞춘 벤치마크를 통해 이 보고서는 사용자 지정 가능한 드릴다운 및 필터 옵션을 통해 회사의 신뢰 점수, 업계 벤치마크 분포, 학습자 기술 수준 분포에 대한 인사이트를 제공합니다.

‍

업계에서 가장 포괄적인 보안 기술 벤치마크에 대한 자신감 확보

SCW 신뢰 점수는 600개 이상의 기업과 25만 명의 학습자로부터 수집한 2천만 개 이상의 학습 데이터 포인트에서 얻은 인사이트를 활용하는 동적 알고리즘을 활용하는 업계 최초의 솔루션입니다. 이 솔루션은 OWASP Top 10에 대해 습득한 지식의 깊이와 같이 플랫폼 내에서 완료된 다양한 학습 활동을 고려합니다. 이러한 탁월한 인사이트를 통해 조직은 자신감을 가지고 다른 조직과 비교하여 성과를 측정할 수 있습니다.

‍

PDF 다운로드

‍

금융 서비스 기관은 빠르게 진화하는 금융 세계에서 기술을 효율적이고 효과적으로 활용할 수 있는 능력에 따라 다양한 과제에 직면해 있습니다.

조직은 경쟁이 치열한 클라우드 기반 비즈니스 환경에서 내부적으로나 업계 전반적으로 급격한 변화의 시기에 운영되고 있습니다. 예를 들어, 조직은 지속적인 디지털 혁신을 추진하면서 결제 프로세스 및 기타 절차를 가속화할 수 있는 인공 지능과 같은 신기술에 대한 투자를 방해하는 조직적 마찰을 극복하기 위해 노력하고 있습니다. 

그러나 이러한 성장이 안전한 코딩 환경을 유지하는 능력에 어떤 영향을 미치는지에 대해서도 더 많은 인식이 필요합니다.

이 금융 서비스 기업을 위한 보안 트렌드 가이드에서는 다음과 같은 내용을 확인할 수 있습니다:

• AI 개발 도구가 소프트웨어 개발 수명 주기에 어떤 영향을 미치는지 알아보세요.
• 금융 서비스에 규제 강화가 중요한 이유와 그것이 팀에 미치는 영향에 대해 알아보세요.
• 애자일 학습이 팀의 안전한 코딩에 어떤 도움이 될 수 있는지 알아보세요.
• 타사 앱의 성장이 보안 환경에 어떤 영향을 미치는지 알아보세요.
• 팀 전반의 ROI에 대한 집중도가 높아져 교육에 대해 걱정할 필요가 없는 이유입니다.

‍

소프트웨어 개발은 변화하고 있으며, AI는 이러한 변화의 최전선에 서 있습니다. Gartner 보고서 "2024년 예측: 소프트웨어 엔지니어링을 재편하는 생성적 AI"는 단순한 코드 생성을 넘어 기술 습득, 테스트, 접근성, 애플리케이션 현대화와 같은 광범위한 측면을 다루며 소프트웨어 개발 수명 주기(SDLC)를 혁신하는 데 있어 생성적 AI(GenAI)의 중추적인 역할을 강조합니다. 애플리케이션 보안 리더로서 개발자에게 AI로 생성된 소프트웨어 자산을 비판적으로 검토하는 방법을 교육할 수 있도록 조언합니다. 

이 무료 가트너 예측 보고서에서 자세한 내용을 확인할 수 있습니다:

• 심층적인 인사이트: 코드 생성에 대한 GenAI의 과대 광고에서 SDLC 전반에 걸친 광범위한 애플리케이션으로의 전환, 기술 격차, 테스트 병목 현상, 더 높은 접근성 표준에 대한 요구 등을 살펴보세요.

• 전략적 권장 사항: SDLC 전반에 걸쳐 GenAI를 통합하는 방법, DevSecOps 관행 개선, 애플리케이션 현대화 노력 가속화 등 리더를 위한 실행 가능한 조언을 얻으세요.

• 미래 트렌드: 2027년까지 플랫폼 엔지니어링 팀의 40%가 2023년의 5%에서 크게 증가한 40%가 AI를 사용하여 SDLC의 모든 단계를 보강할 것이라는 전략적 계획 가정에 대해 알아보세요.
  ↪f_200D↩

GARTNER는 미국 및/또는 그 계열사의 등록 상표 및 서비스 마크이며 허가를 받아 여기에 사용되었습니다. 모든 권리 보유. Gartner는 연구 간행물에 언급된 공급업체, 제품 또는 서비스를 보증하지 않으며, 기술 사용자에게 최고 등급 또는 기타 지정을 받은 공급업체만 선택하도록 권장하지 않습니다. 가트너 연구 보고서는 가트너 연구 기관의 의견으로 구성되며 사실에 대한 진술로 해석되어서는 안 됩니다. Gartner는 이 연구와 관련하여 상품성 또는 특정 목적에의 적합성에 대한 보증을 포함하여 명시적이든 묵시적이든 모든 보증을 부인합니다.

‍

PCI DSS 4.0 공개: 개발자를 위한 보안 역량 강화의 기회 포착

앱 보안 담당자나 개발 관리자라면 대부분의 개발자가 규정 준수 교육을 받는 것을 달가워하지 않는다는 사실을 이미 알고 있을 것입니다. "규정 준수"라는 단어만 들어도 대부분의 사람들이 하품을 억누릅니다. 하지만 규정 준수 교육은 반드시 필요하며, 개발자들의 마음을 사로잡기 위해 더 노력해야 합니다.

안전한 소프트웨어 개발은 더 이상 어떤 회사에서나 '있으면 좋은 것'이 아니라 모든 조직에서 최우선적으로 고려해야 할 사항입니다. 그리고 방대한 양의 민감한 고객 정보를 보유하고 있는 조직이라면 비용이 많이 드는 사이버 공격의 표적이 될 수 있습니다. 개발자는 코드를 가장 먼저 접하는 사람이므로 보안 규정 준수 조치에 다른 팀원들과 마찬가지로 참여해야 합니다.

개발자와 앱보안 전문가가 함께 힘을 모아 더 높은 수준의 코드를 추구할 수 있는 기회입니다. 지금까지는 개발자가 보안을 우선순위로 삼을 수 있는 적절한 도구가 부족했고, 사일로화된 보안 전문가가 그 책임을 혼자 감당할 수 없었다는 사실을 전 세계가 천천히 따라잡아가고 있습니다. 하지만 업계가 보안을 공동의 책임으로 삼는 AI 기반 DevSecOps의 미래로 나아가면서 반복되는 취약성의 흐름을 막는 데 필요한 기술을 구축할 수 있습니다.

2025년으로 예정된 PCI DSS 4.0 준수 기한은 소프트웨어 보안에 긍정적인 영향을 미치는 데 필요한 기술과 기술 스택을 갖춘 개발자에게는 업계에서 가장 큰 기회입니다. 이 최신 가이드라인은 지금까지 가장 운영 유연성이 높은 가이드라인으로, 이제 개발자가 의미 있는 변화를 주도할 수 있는 강력한 맞춤형 보안 프로그램을 만들어야 할 때입니다.

개발팀의 PCI DSS 규정 준수를 위한 간단한 가이드를 읽어보세요:

• 최신 개발자가 PCI DSS 4.0을 준수하기 위해 필요한 사항.
• 보안 전문가와 개발 관리자가 협력하여 강력한 개발자 중심 보안 프로그램을 구축하는 방법을 알아보세요.
• 취약성을 영구적으로 줄이기 위한 가장 강력하고 보람 있는 교육 이니셔티브에 대한 단계별 권장 사항을 확인하세요.

‍