황금을 쫓다: Paysafe의 지속적으로 향상되는 보안 코드 기준

페이세이프는 금융 거래를 신뢰 기반 경험으로 전환하는 데 기여하며, 연간 152억 달러 이상의 거래량을 처리하는 안전하고 원활한 플랫폼을 제공하기 위해서는 기본적인 규정 준수 기준을 충족하는 것 이상의 노력이 필요하다는 점을 잘 알고 있습니다. 지난 4년간 페이세이프는 Secure Code Warrior와의 협력을 통해 개발자 위험 관리에 대한 종합적인 접근 방식을 지속적으로 추진해 왔으며, 그 애플리케이션 보안 프로그램은 다음과 같은 전반적인 비즈니스 요구 사항에 긍정적인 영향을 미쳤습니다:

도전 과제: Paysafe의 보안 코드 기준 향상

글로벌 온라인 결제 서비스 제공업체인 Paysafe는 보안 코딩을 전략적 최우선 과제로 삼아 왔으며, 그 범위는 PCI DSS 규정 준수 요구사항 충족을 넘어섭니다. 전문가 주도 정규 강의 교육 과정과 기술 평가가 초기 작업의 일부였음에도 불구하고, Paysafe의 목표는 보안 코딩 프로그램의 범위와 규모를 지속적으로 확대하고, 최상급 애플리케이션 보안 접근 방식을 채택하며, 엔지니어가 처음부터 안전한 코드를 작성하도록 보장하는 것이었습니다.

"우리에게 있어 제공하는 교육은 단순히 체크박스를 표시하는 것에 그치지 않습니다. 우리의 목표는 직원들이 지속적인 발전 상황을 이해하도록 하는 것입니다. 우리는 더 나아지고 더 많은 것을 이루기 위해 끊임없이 노력하고 있습니다. 엔지니어링 팀과 보안 팀이 협력하기를 바랍니다. 자체적으로 개발할 수 있는 팀은 상황을 더 잘 이해하고 더 나은 코드를 설계할 수 있습니다."라고 Paysafe의 인사 개발 파트너 보얀 흐리스토프(Boyan Hristov)는 말했습니다.

Paysafe의 비전은 보안을 좌측 이동(Security Left Shift)하여 보안 의식을 갖춘 엔지니어를 양성하고, 안전한 코딩 관행을 소프트웨어 개발 수명 주기의 모든 단계에 내재화하는 것입니다. 이를 지원하기 위해 확장 가능하고 매력적이며 지속적인 프로그램이 필요하며, 이 프로그램은 PCI 준수 목적의 감사 증거를 제공할 뿐만 아니라 깊고 지속적인 문화적 변화를 주도해야 합니다.여기에는 게임화된 학습 경험, 정기적인 대회, 지속적인 교육이 포함되어 개발자들의 참여를 유도하고 업계 보안 트렌드의 최전선에 서도록 지원합니다.

해결 방안: 보안 코드 전사의 첨단 기법 활용

페이세이프는 보안 코딩 관행을 확대하고 엔지니어를 유치하며 개발 라이프사이클 초기 단계에 보안을 내재화하기 위해 Secure Code Warrior 개발자 위험 관리 플랫폼을 도입했습니다. 시간이 지남에 따라 그들의 보안 챔피언 프로그램이 지속적으로 발전하면서 Secure Code Warrior는 사이버 위험 방어 목표 달성에 핵심적인 역할을 수행했습니다.

페이세이프는 개발자들이 플랫폼에 유기적으로 참여할 수 있도록 허용하며, 매력적인 상품을 제공하는 토너먼트와 같은 게임화 활동을 장려하여 개발자들의 참여와 열정을 이끌어냅니다. 프로그램 초기에는 PCI 규정 준수 요건을 충족시키기 위한 평가를 의무화했으며, 추가 콘텐츠와 활동을 선택 사항으로 제공했습니다.

해당 계획이 주목받으면서 경영진은 추가 지원을 제공했으며, 개발팀과 정보보안팀의 목표를 더욱 효과적으로 조율했습니다. 이를 통해 Paysafe 팀은 계획을 한 단계 발전시켜 공식적인 인증 프로그램을 도입할 수 있었으며, 여기에는 핵심 성과 지표(KPI)와 성과 인센티브가 포함되었습니다.

해당 프로그램의 다음 단계는 업계 표준인 OWASP Top 10 주제에 중점을 두며, 인증 단계는 개발자가 다양한 성취 수준을 통해 진전할 수 있도록 합니다. 현재 이 프로그램의 규모와 성숙도는 새로운 수준에 도달하여 정규직부터 임시직에 이르기까지 개발자의 기준을 전반적으로 향상시켰습니다.

“지난 4년간 SCW와 구축한 파트너십을 매우 소중히 여깁니다. Paysafe 최고정보보안책임자(CISO) 앨런 오스본은 “우리는 안전한 코드 개발을 최우선으로 하고 SDLC 초기 단계에서 맞춤형 애플리케이션 보안 교육을 제공함으로써 보안팀과 엔지니어링팀 간의 유대감을 강화하는 데 함께 노력해 왔습니다”라고 말했습니다.

최고정보보안책임자(CISO), 최고기술책임자(CTO) 및 엔지니어링 경영진의 지속적인 지원과 협력을 바탕으로, Paysafe는 보안 코드 전사(Security Code Warriors)와 협력하여 프로그램을 지속적으로 발전시켜 왔습니다. 현재 이 프로그램은 비즈니스 요구사항과 긴밀히 연계되어 실질적인 성과를 제공하며, 내부 팀에게 여전히 관련성과 매력을 유지하고 있습니다.

성과: 조직 전체의 안전한 코드에 대한 새로운 기준

4년 전 시작된 이후로 Paysafe의 애플리케이션 보안 조치는 개선되었습니다. Secure Code Warrior와의 협력을 통해 Paysafe는 개발자 위험 관리에 대한 포괄적인 접근 방식이 조직 전체에 큰 영향을 미칠 수 있음을 입증했습니다.

Paysafe의 SAST 스캔 데이터 분석에 따르면, Secure Code Warrior(SCW) 교육을 받은 팀이 개발한 애플리케이션은 초기 개발 단계 스캔에서 탐지된 취약점이 현저히 감소한 것으로 나타났습니다. 개발자가 SCW 플랫폼에 더 적극적으로 참여한 팀에서는 첫 스캔 시 발견된 취약점 수가 더욱 줄어든 것으로 확인되었습니다.

Secure Code Warrior 활발하고 참여도가 높은 팀들은 초기 개발 단계에서 발견된 취약점이 전년 대비 크게 감소한 것을 확인했습니다. 이는 지속적인 기술 기반 교육이 안전한 코딩 습관을 강화하는 데 부가적인 가치를 제공함을 보여줍니다. 초기부터 안전한 코드를 작성함으로써 해당 팀과 SDLC 내 다른 팀들은 상당한 시간을 절약했습니다. 개발 초기 단계에서 취약점을 예방함으로써코드 취약점을 식별하고 기록하며 재작업할 필요가 없어 수천 시간의 개발 시간을 절약했습니다. 이는 개발자 생산성을 45% 향상시켜 보안 코딩 기술 향상과 일상적 개발 프로세스 개선의 이점을 입증하는 데 기여했습니다. 엔지니어링 팀과 AppSec 팀 모두에게 윈윈(win-win) 상황입니다.

페이세이프의 보안 코드에 대한 집착은 그들을 두각나게 하여 은행 및 금융 서비스 벤치마크^{범위 내에서} SCW 신뢰^점수® 4위를 차지하는 데 기여했습니다. 이는 그들이 자랑스러워하는 성과이지만, 페이세이프의 보안 코드 프로그램에 대한 헌신은 여기서 그치지 않습니다. 페이세이프는 Secure Code Warrior와의 협력을 통해 얻은 성과에 고무되어 이 프로그램을 한 단계 더 발전시키기 위해 노력하고 있습니다.

페이세이프 최고정보보안책임자(CISO) 앨런 오스본은 "Secure Code Warrior는 개발자의 업무 효율성을 높이고, 제품 출시 및 개선 속도를 가속화하며, 시간이 지남에 따라 비용과 위험을 현저히 감소시키는 데 기여했습니다.” “개발자 교육 강화에 힘입어, 보안 코딩은 단순한 '좋은 일'을 넘어 실질적인 투자 수익을 창출하는 효과적인 투자임이 입증되었습니다. 이는 동시에 개발자의 기술, 경험 및 역량을 강화하는 결과로 이어졌습니다.”

다음으로, Paysafe는 추가적인 거버넌스 및 위험 관리 조치를 프로세스에 통합함으로써 보안 기준을 더욱 강화할 계획입니다. SCW Trust Agent는 Secure Code Warrior와의 장기적인 파트너십을 심화하고 탁월한 사이버 보안에 대한 의지를 보여줄 것입니다.