왜 우리는 사이버 보안에서 인적 요소를 절대 간과해서는 안 되는가

최근 우리는 포브스 테크놀로지 위원회 첫 번째 글이 게시된 것을 기쁘게 생각합니다. 글쓴이는 우리의 회장 겸 최고경영자(CEO)인 피터 댄시크스입니다. 이 글은 개발자의 기술을 향상시켜 더 안전한 코드를 작성하는 것이 사이버 공격과 데이터 유출을 방지하는 핵심이라는 점을 상세히 설명합니다. 뿐만 아니라,이러한 보안 의식을 갖춘 개발자들이 어떻게 많은 IT 부서가 인식하는 것보다 더 우수하고 안전한 코드를 제공할 수 있는지 밝혀냈습니다. 이러한 접근 방식에 대한 필요성은 분명 시급합니다. 최근 연구에 따르면 현재 39초마다 한 번씩 사이버 공격이 발생하며, 단 한 번의 성공적인 랜섬웨어 공격이 초래한 중단 사태 (콜로니얼 파이프라인 사례)만 봐도, 더 큰 관점에서 볼 때 솔라윈즈 해킹 사건보다덜 파괴적이지 않았습니다.

‍

많은 일반적인 취약점이 여전히 존재하는 이유는, 개발자들에게 동일한 기능을 더 안전하고 보증된 방식으로 개선할 수 있는 방법을 제시하여 불량한 코딩 패턴을 대체하려는 시도가 전혀 이루어지지 않았기 때문입니다. 또한 소프트웨어 개발 후기 단계에서 결함을 수정하는 데 드는 비용은 시간 소모와 배포 지연 측면에서 극히 막대합니다. 특히 공격자가 이전에 발견되지 않은 취약점을 악용한 후 코드를 배포한 뒤 수정을 진행할 경우, 수백만 달러의 비용이 발생할 수 있습니다.심각한 보안 침해 사건 이후 기업 평판에 미치는 손상까지 고려하지 않은 금액이다.

보안 교육을 받은 개발자는 자연스럽게 더 나은 프로그래머가 됩니다. 물론 최고정보보안책임자(CISO)는 단기간에 보안 도구를 포기해서는 안 되지만, 상위 리더십의 포용적인 예방적 보안 접근법을 통해 CISO는 특히 소프트웨어 개발 생명주기 초기에 보안 코딩을 적용할 때 기업의 가장 큰 자원인 인적 요소를 활용할 수 있습니다.

이를 위해, 다음 세 가지 가장 중요한 고급 전략을 기억하십시오.

1. 적극적이고 주도적인 태도를 취해야 하며, 수동적인 태도를 취해서는 안 된다.

기업은 종종 수동적인 대응의 함정에 빠지곤 합니다. 예를 들어, 경쟁사의 행동에 대응하기만 할 뿐 독보적인 비전을 수립하고 추구하지 못하는 경우가 그렇습니다. 코드 내 보안 취약점과 관련해서도 많은 이들이 기본적으로 이러한 방식을 취하며, 성공적인 침해가 발생해야 비로소 사이버 보안을 진지하게 고려합니다. 안타깝게도 그때쯤이면 피해는 이미 발생했으며,벌금, 복구 비용, 고객 이탈, 브랜드 회복 비용이 모두 이익을 잠식합니다. 행동 대신 또 다른 반응은 안전한 코드 작성에 초점을 맞추기보다 자동 또는 수동 코드 스캔에 의존해 기존 코드의 취약점을 발견하는 것입니다. 안타깝게도 코드 스캔은 완벽한 해결책이 아니며, 이는 코드 내 취약점이 많을수록 일부 취약점이 누락될 가능성이 커진다는 것을 의미합니다.

소프트웨어 개발 수명 주기를 구축하여 사용자에게 코드 취약점을 배포할 가능성을 현저히 낮추려면, 개발자와 협력하여 그들이 처음부터 안전한 코드를 작성하도록 돕는 적극적인 접근 방식을 취해야 합니다.

2. 기술을 향상시키되, 지나치게 교정하지 마십시오.

개발자에게 안전한 코드 작성에 필요한 지식을 제공하기로 결정했다면, 그 방법을 현명하게 선택하십시오. 프로그래밍 작업을 중단시키는 내부 교육 워크숍은 개발자와 관리자 모두를 좌절시킵니다. 야간이나 주말에 참석해야 하는 외부 과정은 더욱 인기가 없습니다. 가장 좋은 방법은 프로그래밍 기술을 점진적으로 함양하는 것입니다. 즉, 코딩 과정에서 관련 정보를 단계적으로 제공하는 것이죠 — 본질적으로 개발자의 주의를 크게 분산시키거나 개발 속도를 늦추지 않으면서 기술을 향상시키는 것입니다.

3. 격려하라, 가정 하지 마라

개발자는 보안 기술 향상을 처벌이나 순전히 힘든 일로 여겨서는 안 됩니다. 관리자는 보안 코딩이 회사 성공에 미치는 중요한 역할을 전달함으로써 개발자를 동기부여해야 합니다. 마찬가지로 중요한 것은 보안 코딩을 하는 개발자가 회사에 더 큰 가치를 제공하며, 향후 더 많은 경력 기회를 누릴 것임을 전달하는 것입니다.

바이든 정부는 이를 환영한다고 밝혔다 행정 명령 사이버 보안에 대한 관심을 높였으며, "개발자와 공급업체 자체의 보안 관행을 평가하는 기준을 포함하고, 보안 관행 준수를 입증할 수 있는 혁신적인 도구나 방법을 마련할" 필요성을 강조했다. 그러나 도구가 필수적임에도 불구하고이는 충분하지 않습니다. 어떤 도구도 개인이 설치된 시스템과 도구를 무시하거나 오해하거나 남용하거나 우회하는 능력을 완전히 제거할 수는 없습니다. 기업의 보안을 극대화하기 위해 최고정보보안책임자(CISO)는 인적 요소를 활용하여 개발자들이 자발적인 보안 지지자이자 실천자가 되도록 장려해야 합니다.