보안 코딩 측면에서 개발 팀이 밤새 잠을 설치게 만드는 것은 무엇인가?

안전하지 않은 코드로 인해 기업들은 수백만 달러의 손실을 입었습니다. 그렇다면 안전한 코딩 관행을 채택하는 데 무엇이 걸림돌이 되고 있을까요?

거의 모든 것이 소프트웨어에 의존하는 세상에서, 코드 보안을 보장하는 것은 매우 중요합니다. 브랜드 평판과 재정적 생존 가능성이 여기에 달려 있습니다. 그렇지만 보안 코딩에 대한 우려가 많으며, 이를 전면적이고 효과적으로 도입하는 데 방해가 되는 장애물도 많습니다. 새로운 작업 방식이 그 어느 때보다 필요합니다. 따라서 2020년, Secure Code Warrior는 에반스 데이터(Evans Data)와 협력하여 개발자와 그들의 관리자가 보안 코딩, 보안 코드 관행 및 보안 운영에 대해 어떻게 생각하는지에 대한 초기 연구를 수행했습니다*(백서 다운로드) 여기).

현재 조직은 안전한 코드 관행을 시행하기 어렵다고 느끼고 있습니다. 개발자와 관리자들은 특히 취약점 처리와 코드에 대한 책임 소재를 다루는 데 어려움을 겪고 있습니다.

분명히, 보안 코딩 관행을 지원하기 위한 더 나은 교육 및 지원 계획이 필요합니다. 개발자와 그들의 관리자에게 보안 코딩에 대한 우려 사항을 물었을 때 이러한 필요성이 명확해졌습니다. 우리의 연구*에 따르면, 두 집단 모두 동일한 근본적인 관심사를 공유하고 있습니다. 그러나 역할이 다르기 때문에 가장 시급한 문제에 대해서는 의견이 분분합니다.

개발자들이 가장 우려하는 것은 "기존 취약점을 복제한 코드"입니다. 개발자를 코드 품질로 평가할 때 이는 당연한 일입니다. 어떤 개발자도 안전하지 않은 코드의 원천이 되거나, 재작업이 필요해 팀 속도를 늦추는 코드를 남기고 싶어 하지 않습니다.

개발자들이 두 번째로 많이 우려하는 문제는 동료가 도입한 오류를 처리하는 것입니다. 마감일 준수와 코드에 대한 책임감 역시 최우선 과제입니다. 안전한 코드 작성이 어렵다는 사실 또한 마찬가지이며, 이는 안전한 코드 작성을 위한 새로운 교육 방법에 대한 필요성을 다시 한번 반영합니다.

반면, 관리자들은 상향식 접근 방식을 더 많이 채택한다.

팀 매니저이자 리더로서 그들이 가장 중요하게 생각하는 것은 코드에 대한 책임감입니다. 만약 팀이 형편없는 코드를 생성한다면, 그 책임은 팀 매니저에게 있지 않습니다.

다음으로 이전 취약점을 복제한 코드입니다. 학습 과정이 도전적이라는 사실이 세 번째로 꼽힙니다. 현재 보안 코드 교육 방법이 효과를 발휘하지 못하자 관리자들은 새로운 접근 방식이 필요하다는 점을 인식하게 되었습니다.

안전한 코딩 관행을 채택하는 데의 장애물

관리자에게 조직 내에서 안전한 코딩 관행을 채택하는 데 장애물이 무엇인지 물었을 때, 두 가지가 분명해졌습니다: 커뮤니케이션과 교육입니다.

45%의 응답자는 이해관계자와 경영진 간의 소통 부족이 주요 장애물이라고 답했습니다. 42%는 신입 사원의 안전한 프로그래밍 기술 부족을 아쉬워했습니다. 동시에 40%는 교육 시간과 자원이 부족하다고 밝혔습니다.

조직 전체에서 보안 코드 관행을 성공적으로 도입하는 데에는 프로세스와 인적 자원과 관련된 장애물이 존재한다.

그러나 이러한 까다로운 문제들이 존재함에도 불구하고, 여전히 진전을 이룰 수 있습니다. 신입 직원의 안전 프로그래밍 기술 부족과 교육 및 자원 부족 문제는 해결하기 더 쉽습니다.

보안 취약점 방어 측면에서 개발자는 최전선에 서 있습니다. 그러나 그들이 보안 프로토콜에서 담당하는 역할을 수행할 수 있도록 지원, 도구 및 교육을 충분히 받고 있을까요?

그들의 우려에 대한 간결한 답변은 "아니오"입니다.

사실은, 올바른 교육은 강연처럼 되어서는 안 됩니다.

보안 코딩 혁신의 주창자로서, Secure Code Warrior는 인간 중심의 접근 방식을 채택하여 개발자가 적극적으로 보안 코딩 기술을 습득하고 발전시킬 수 있도록 지원합니다. 검증된 학습 플랫폼은 개발 및 보안 팀이 선호하는 워크플로 내에서 상황별 학습과 높은 관련성을 제공합니다. 이를 통해 취약점을 발견할 뿐만 아니라, 취약점이 발생하기 전에 사전에 방지할 수 있도록 합니다.

이러한 실무 교육은 기술 향상의 기회입니다. 이 같은 직업 전환은 취약점 방지에 진지하게 임하고 팀원들과 협력하여 더 높은 수준의 코드 기준을 수립하는 개발자에게만 긍정적인 영향을 미칠 것입니다.

더 많은 정보를 원하시거나, 팀이 보안에 영향을 주지 않으면서 더 빠르게 "왼쪽에서 시작"하고 안전한 코드를 더 빨리 배포할 수 있는 능력에 대한 잠재적 영향을 알고 싶으시다면, 지금 데모 예약하기.

*반응에서 예방으로: 애플리케이션 보안 환경의 변화. 세큐어 코드 워리어스 및 에반스 데이터 컴퍼니 2020