30만 명의 개발자들은 정확히 어떤 보안 조치를 취했을까?

BSIMM 8이 나왔습니다! 정말 대단하네요. 대규모 조직이 안전한 소프트웨어를 생산하기 위해 어떤 보안 조치를 취하는지에 대한 유일한 대규모 연구입니다.

이 연구는 Gary McGraw의 지도 하에 애플리케이션 보안 전문가들이 수행하여 수집된 데이터의 일관성과 정확성을 보장했으며, 30만 명의 개발자들의 일상 업무에 대한 심층적인 통찰력을 제공했습니다. 제 최근 발표에서는 BSIMM의 수치를 인용했는데, 평균적으로 개발자 100명당 애플리케이션 보안 전문가는 2명이라고 언급했습니다.

그러나 BSIMM4 이후로는 상황이 달라졌습니다. BSIMM8 보고서에 따르면 이 수치는 더 낮아져 현재 100명의 개발자당 1.6명에 불과합니다. 인력 부족으로 인해 더 많은 애플리케이션 보안 전문가를 고용하는 것은 현실적으로 불가능합니다. 우리는 그 어느 때보다 개발자에게 도구를 제공하고 교육을 실시하여, 조직이 즉시 활용 가능하고 확장 가능한 안전한 코드를 작성할 수 있도록 지원해야 합니다.

해당 보고서는 또한 교육 실천에서 가장 흔한 활동이 모든 직원에게 인식 교육을 제공하는 것으로, 67%를 차지한다고 밝혔습니다. 저는 Secure Code Warrior(SCW)의 교육 실천에서 수행하는 내용을 정리하기 시작했고, 우리의 솔루션이 교육 실천의 모든 12가지 활동(레벨 1(대부분의 기업이 수행)부터 레벨 3(소수의 기업만 수행)까지)을 모두 충족시킬 수 있음을 깨달았습니다.

전체 연습을 아우를 수 있는 단일 솔루션! 12가지 훈련 실습 중Secure Code Warrior 실습은:

• 레벨 1: 인식 교육 제공
• 레벨 1: 개인 맞춤형 교육 제공
• 레벨 2: 훈련을 통한 위성 성능 향상 (SCW 지표)
• 레벨 3: 과정 완료 시 진행도 보상 (SCW 배지)
• 레벨 3: 공급업체 또는 아웃소싱 직원에게 교육 제공 (SCW 평가)
• 레벨 3: 외부 소프트웨어 보안 행사 개최 (SCW 챔피언십 모드)
• 레벨 3: 훈련을 통한 위성 식별 (SCW 지표)

현재의 해결책이 이러한 문제들을 해결할 수 있다고 확신하십니까?