DevOps 和安全专业人员必须适应不断变化的网络安全格局，该行业提高开发人员技能的方法也需要随之发展。

我们现在知道开发人员发布代码的速度比以往任何时候都快。这带来了新的风险，因为为了满足紧迫的期限和市场需求，安全性往往被取消优先级。

现代组织使用敏捷学习原则采用开发人员驱动的安全性。这种快速而灵活的方法使开发人员能够快速内部化他们可以立即应用的安全编码技术。

Secure Code Warrior 教会开发人员如何在编码时识别、避免和修复漏洞。我们的安全编码敏捷学习平台为开发人员提供了当今业内最完整、最可靠的漏洞内容，让开发人员可以自由地以他们首选的方式学习。

通过将敏捷安全代码学习与现代软件交付相结合，开发人员可以在整个软件开发生命周期中有效地学习、应用和保留软件安全原则。

在这本电子书中，您将学习如何：

• 将敏捷学习原则与 DevSecOps 交付方法保持一致，将安全性转移到软件开发生命周期的开始。
• 了解安全成熟度阶段，为敏捷安全代码学习方法建立基准。
• 利用 SCW 安全专家和 SCW 客户的建议和关键行动。
  

개발자 위험 관리는 애플리케이션 계층 자체의 비트와 바이트가 아닌 코드 기여자에 초점을 맞춘 애플리케이션 보안에 대한 총체적이고 사전 예방적인 접근 방식입니다.

SDLC 전반에서 개발자 보안 위험을 사전에 측정, 관리 및 완화하여 보안 태세를 개선하고 소프트웨어를 더 빠르게 릴리스하며 취약성을 53% 이상 줄이세요.

개발자 위험 관리의 철학은 코드 기여자의 역량을 강화하고 거버넌스를 적용하여 프로그래밍 방식으로 코딩 기술을 보호함으로써 개발자 주도의 보안 코드 이니셔티브의 혜택과 영향력이 기하급수적으로 증가한다는 것입니다.

OpenText Application Security(이전 명칭: Fortify) Secure Code Warrior 개발자가 보안 챔피언이 될 수 있도록 지원함으로써 애플리케이션 보안을 강화하기 위해 파트너십을 체결했습니다. 이 통합을 통해 특정 취약점에 대한 교육, 신속한 해결, 그리고 개발자의 실무 교육을 통해 처음부터 안전한 코드 작성 능력을 향상시킬 수 있습니다.

이 협력은 소프트웨어 개발 라이프사이클에 보안을 포함함으로써 보안 위험을 줄이고 비용을 최소화하며 규정 준수를 간소화하여 기업이 고객의 신뢰를 구축하고 고품질 코드를 더 빠르게 출시할 수 있도록 지원합니다.

파트너십에 대한 자세한 내용은 원페이저에서 확인하세요.

빠르고 안전한 혁신 - Trust Agent: AI

AI 코딩 도구의 광범위한 채택으로 개발 라이프사이클에 새로운 위험 요소가 등장하고 있습니다. 가시성과 거버넌스가 없으면 '섀도 AI'와 안전하지 않은 코드의 유입에 노출될 수 있습니다. 에이전트 신뢰: AI는 보안을 유지하면서 AI 도입을 확실하게 관리하는 데 필요한 심층적인 가시성과 제어 기능을 제공합니다. AI 도구 사용과 개발자의 보안 코딩 기술의 상관관계를 파악하여 커밋 수준에서 위험을 식별하고 완화함으로써 그 어느 때보다 빠르고 안전하게 혁신할 수 있도록 도와주는 솔루션입니다.

지금 한 페이지 분량의 안내서를 다운로드하여 SCW Trust Agent의 사용 방법을 알아보세요: AI를 통해 보안 태세를 강화하고, 개발 수명 주기를 최적화하며, 취약성을 크게 줄일 수 있습니다.

‍

Sage는 급여, 인사 및 재무를 위해 간단하고 사용하기 쉬운 소프트웨어와 서비스를 기업에 제공하는 영국의 다국적 기업용 소프트웨어 회사입니다. 2017년 기준 영국에서 두 번째로 큰 기술 기업이자 세계에서 세 번째로 큰 전사적 자원 관리 소프트웨어 공급업체이며, 전 세계 600만 명 이상의 고객을 보유한 최대 규모의 중소기업 공급업체입니다.

상황 

Secure Code Warrior 와 협력하기 전에 Sage는 약 10년간 보안 챔피언 네트워크의 윤곽을 잡기 시작했습니다. 보안에 중점을 둔 개발자로 구성된 강력한 네트워크에도 불구하고 교육은 산발적으로 이루어졌고 위험 감소에 초점을 맞춘 구조화되어 있지 않았습니다. 

Sage는 유연한 접근 방식으로 장기간에 걸쳐 관계를 구축하고 보안을 내장하는 데 시간을 투자하는 것이 중요하다는 것을 인식했습니다. Sage의 프로그램은 목표를 위험 감소와 해당 프로그램의 실질적인 영향에 연결했습니다. 특정 사업부와 함께 프로그램을 시범 운영할 때는 위험 감소를 측정하고 이를 다시 비즈니스에 재생하여 개발자와 고위 경영진의 동의를 얻는 방법에 중점을 두었습니다. 

액션

Sage의 사람 중심 보안 책임자인 매즈 하워드는 보안 챔피언의 페르소나를 이해하기 위해 개발자들과 협력했습니다. 그녀는 각 사업부의 개발자를 만나 인터뷰를 진행하여 무엇이 개발자에게 동기를 부여하는지, 어떤 방식으로 학습하는 것을 좋아하는지, 업무에서 어떤 한계를 느끼는지 파악했습니다. 그녀와 그녀의 팀은 개발자 및 팀 리더와 관계를 구축하기 위해 노력했으며, 접근 방식에 있어 유연성을 갖는 것이 중요하다고 강조했습니다.

Mads는 관계 구축 접근 방식을 강조합니다,

"스프린트 주기 동안 교육에 소요되는 시간을 통제하는 사람들인 개발 팀 리더, 엔지니어링 팀 리더, 제품 관리자와의 관계를 구축하는 데 많은 시간을 할애했습니다."

매즈에 따르면, 보안 챔피언 네트워크를 확장하는 것으로 결론이 났습니다,

"보안 챔피언 네트워크는 이 프로그램의 핵심 통제 수단으로 여겨져 왔습니다. 따라서 제품이 이 프로그램을 통과하기 위해서는 보안 챔피언의 역할을 진지하게 받아들이고 이들에게 탄탄한 보안 교육을 제공해야 했습니다." 

Sage의 글로벌 보안 팀의 목표는 복잡한 기술 환경에서 개발자의 학습 요구 사항을 고려한 보안 제어 프로그램을 구현하고 기존 보안 도구와 함께 작동하여 취약성 관리를 지원하는 파트너를 선택하는 것이었습니다. 

교육이 성숙한 보안 제어 프로그램의 중요한 측면으로 인식되는 것이 중요했습니다. 그들은 교육을 통해 위험 감소를 측정하는 데 집중했습니다: 

• 위험 점수 개선
• 취약점 백로그의 취약점 수명 감소
• 해결 시간
• 폐쇄형 취약점 대 개방형 취약점 없음
• Sage 작성 코드의 줄당 이슈 수(타사 제외)

마스를 위해,

"Sage의 다음 단계는 개발자 워크플로우에 내장된 안전한 코딩 프로그램을 통해 업스킬링하면 측정 가능한 위험 감소 효과를 얻을 수 있음을 입증하는 것입니다."

결과

매즈는 자신과 팀에 제공한 파트너십과 가이드( Secure Code Warrior )의 중요성을 강조했습니다,

"솔직히 말해서 Secure Code Warrior 의 지원이 없었다면 다양한 기술 계층이나 개발팀 측면에서 이 정도 수준의 완성도를 갖춘 프로그램을 구축할 수 없었을 것입니다." 

매즈와 그녀의 팀은 인터뷰를 완료하고 개발자의 동의를 얻은 후, 더 광범위한 보안 문화 프로그램의 일환으로 Secure Code Warrior 을 구현하기 시작했습니다. 

매즈에 따르면 그 결과는 다음과 같습니다,

"Sage에는 현재 200명 이상의 보안 챔피언이 프로그램에 등록되어 있으며, 보안 챔피언이 일주일에 3.5시간(또는 업무 시간의 10%)을 기술 구축에 할애하는 경우 보안 코딩 프로그램을 옹호하고, 지속적인 교육을 옹호하고, 이 프로그램이 제공하는 가치를 옹호할 수 있습니다." 

위험 감소에 대한 고위 리더의 동의와 측정 가능한 목표를 통해 Mads는 플랫폼 사용자 수와 플레이 시간뿐만 아니라 취약점 수정 시간, 취약점 수명, 고객을 위해 구축된 새로운 기능과 비교하여 취약점 감소에 대한 전체적인 관점을 제공하기 위해 성공을 측정하기 시작할 수 있었습니다. 한 팀의 경우 취약점을 수정하는 데 걸리는 평균 시간이 82% 감소하는 등 그 영향이 매우 컸습니다.. 

그러나 하워드는 더 중요한 것은 정량화할 수 없는 것, 즉 프로그램에 참여하려는 팀의 참여와 헌신, 의지가 중요하다고 덧붙였습니다.

주요 내용

Sage의 경험은 잘 계획되고 실행된 보안 교육의 관련성, 유연하고 통합된 접근 방식의 중요성을 강조하며, 이는 강력하고 안전한 코딩 프로그램을 목표로 하는 모든 조직이 배울 가치가 있는 교훈입니다. 매즈에 따르면 개발자와 대립하는 것이 아니라 개발자와 협력하는 것이 성공적인 보안 제어 프로그램을 구현하고 보안을 회사 문화에 포함시키는 열쇠라는 점을 기억하는 것이 중요하다고 합니다. 

• 보안 문화 조성은 하루아침에 이루어지지 않습니다. 오랜 기간에 걸쳐 관계를 구축하고 보안을 내재화하는 데 시간을 투자하고 리소스를 투입하는 것이 중요합니다. 
• 모든 것을 위험 감소로 연결하고 보안 코딩 프로그램의 실질적인 영향에 집중하세요.
• 이러한 위험 감소를 측정하여 비즈니스에 다시 적용하는 방법에 집중하여 개발자와 고위 경영진 모두에게 프로그램이 영향력 있고 성공적인 것으로 인식되도록 하세요. 

보안 챔피언이 되고자 하는 개발자를 위해 그녀와 그녀의 팀은 다음과 같은 조언도 제공했습니다: 

• 주변에 보안에 관심이 있는 사람들과 네트워크를 구축하고 컨퍼런스 및 강연에 참여하세요. 관심 있는 주제에 대해 배우는 데 시간을 투자하세요. 
• 조직의 문화는 하루아침에 바뀌지 않으며, 발전하고 성숙하는 데 시간이 걸린다는 점을 명심하세요. 

‍

주요 내용

네덜란드 상공회의소(KVK)는 업계의 모범 사례로 손꼽히는 현대적이고 개발자 중심의 보안 프로그램을 구축했습니다. Secure Code Warrior 협력을 통해 KVK는 안전한 코딩 관행을 일상적인 개발 워크플로에 내재화하고, 조직 전반에 걸쳐 채택된 체계적인 인증 프로그램을 수립했으며, 선제적이고 개발자 주도적인 보안 접근 방식의 효과를 입증하는 가시적인 위험 감소 성과를 달성했습니다. 주요 성과는 다음과 같습니다:

우리는 이미 강력한 보안 기반을 갖추고 있었지만, 이를 한 단계 더 발전시켜 모든 개발자에게 보안이 자연스러운 습관이 되도록 하고자 했습니다. 그래서 Secure Code Warrior 교육을 전략의 핵심으로 삼았고 Secure Code Warrior 팀이 처음부터 자신 있게 안전한 소프트웨어를 구축할 수 있도록 역량을 강화했습니다.

– 개발 서비스 제품 책임자 세바스티안 라인바우트

‍도전

개발자 중심의 보안 마인드셋 구축

네덜란드 상공회의소(KVK)는 전국 기업가 지원을 주도하는 핵심 기관입니다. 경제 활동에 종사하는 기업, 법인 및 단체의 등록을 담당하는 공식 기관으로서 KVK는 비즈니스 생태계의 투명성을 증진하고 건전성을 강화합니다. 등록 업무 외에도 KVK는 법률 및 규제 지침부터 자금 조달, 최신 동향, 사이버 보안에 이르기까지 주요 기업가 주제에 관한 가치 있는 정보와 조언을 제공합니다. 신뢰할 수 있는 데이터를 제공하고 국가 및 지역 경제 이해관계자들과 협력함으로써, KVK는 기업가들이 번성할 수 있는 안전하고 정보가 풍부한 환경 조성에 기여합니다. KVK가 애플리케이션 보안을 한층 강화하기 위한 여정을 시작했을 당시, 침투 테스트를 포함한 기초적인 보안 조치가 이미 마련되어 있었습니다. 이러한 조치들이 유용한 통찰력을 제공했음에도 불구하고, KVK는 개발 라이프사이클의 초기 단계에서 보안을 확대하고 개발자들이 위험 감소를 주도할 수 있도록 지원하는 기회를 포착했습니다.

2022년 KVK는 Secure Code Warrior 개발자 중심 접근 방식으로 첫 보안 코딩 교육 프로그램을 시작했습니다. 개발자 참여를 위한 초보적 노력으로 시작된 이 프로그램은 경영진과 CISO 사무실의 지원을 받으며 빠르게 전사적 프로그램으로 발전하여, 보안 개발을 단순한 목표에서 조직적 표준으로 전환시켰습니다.

해결책

프로그램이 아닌 문화를 구축하기

CISO의 후원을 받아 KVK의 보안 소프트웨어 개발 라이프사이클 팀은 Secure Code Warrior 협력하여 전사적 전략을 Secure Code Warrior 의무적인 역할 기반 인증 프로그램을 구축하였습니다. 이 프로그램은 다음과 같은 특징을 지닙니다:

KVK는 Secure Code Warrior플랫폼의 유연성을 활용해 조직 고유의 요구사항에 맞춤화된 인증 프로그램을 구축했습니다. 교육 프로그램을 특정 역할에 매핑함으로써 신입 사원은 OWASP Top 10 인식 교육으로 시작하는 반면, 선임 엔지니어들은 실제 업무 흐름에 기반한 고급 시나리오 기반 연습을 수행합니다. 챔피언급 개발자들은 동료들을 멘토링하고 지식 공유를 촉진하며 팀 전반에 걸쳐 보안 전문성을 확대하는 데 기여합니다. KVK 프로그램은 기술 역량이 최신 상태를 유지하도록 연간 재인증 절차를 포함하며, 조직이 적용 범위를 지속적으로 확대하고 AI 기반 취약점 및 신종 위협과 같은 새로운 위험에 적응해 나감에 따라 완전한 구현이 진행 중입니다.

세바스티안은 "인증 프로그램을 개발 프로세스에 통합한 것은 전환점이었습니다"라고 말했습니다. "이를 통해 모든 개발자에게 보안이 공유된 우선순위이자 소프트웨어 구축 방식의 자연스러운 일부임을 보여주었죠. Secure Code Warrior 통해 학습은 일회성 행사가 아닌 지속적이고 상황에 맞는 방식으로, 일상적인 개발 문화에 자연스럽게 녹아들었습니다."

결과: 교육은 관련성이 높고 달성 가능하며 개발자의 일상 업무와 직접 연결된다는 느낌을 주었습니다. 2024년 초까지 KVK 개발자의 90%가 기초 수준 인증을 획득했으며, 이는 개발자 주도 보안으로의 전략적 전환과 문화적 변화를 입증하는 중요한 성과였습니다 .

결과

실질적 영향, 측정 가능한 진전

KVK의 Secure Code Warrior 통한 보안 개발 투자는 강력한 성과를 Secure Code Warrior :

KVK는 주요 보안 지표를 기반으로 조직의 안전한 코딩 관행에 대한 헌신을 측정하는 벤치마크인 SCW 트러스트 스코어®를 활용합니다. 6개월 동안 KVK의 트러스트 스코어는 크게 상승하여 전 세계 조직 상위 12%에 진입했습니다.

"SCW 신뢰도 점수는 위험이 어디에 있는지, 그리고 가장 중요한 부분에 훈련을 집중해야 하는지에 대한 명확하고 데이터 기반의 가시성을 제공합니다."라고 세바스티안은 설명했습니다. "이는 단순한 벤치마크가 아니라 진전을 입증하고 안전한 개발의 진정한 비즈니스 가치를 보여주는 데 도움이 되는 로드맵입니다."

KVK는 Secure Code Warrior 협력하여 개발자 주도 보안의 새로운 기준을 세웠습니다. 강력한 리더십, 명확한 전략, 측정 가능한 성과를 결합함으로써 보안 개발을 핵심 비즈니스 역량으로 전환했으며, 이는 규정 준수 요건을 충족하고 업계의 모범 사례가 되고 있습니다. SCW의 보고 체계가 ISO 27001/27002 인증 기준에 부합함에 따라, KVK는 감사 과정에서 프로그램의 효과성을 검증할 수 있으며, 보안 개발이 단순한 권장 사항이 아닌 필수 요건임을 입증합니다.

KVK는 인증 프로그램을 엔지니어링 분야를 넘어 QA 테스터, 데브옵스, 로우코드 개발자까지 확대할 계획이며, 이는 보안이 조직 전반에 걸친 공동 책임임을 강조합니다. 또한 개발자들이 GitHub Copilot 같은 도구와 함께 안전하게 코딩할 수 있도록 SCW의 AI/LLM 중심 콘텐츠를 도입할 계획이며, SCW 전문 서비스팀과 협력하여 Trust Agent의 출시를 최적화하고 있습니다. 이러한 노력들은 안전한 코딩이 개발자뿐만 아니라 조직 전체의 공동 책임이 될 때 가능한 바를 보여줍니다.

세바스티안은 Secure Code Warrior 파트너십은 원활하고 Secure Code Warrior "라고 말했습니다 . "그들은 우리의 교육 프로그램을 구현하고 개선하는 데 도움을 주었으며, 그 결과 측정 가능한 위험 감소와 더욱 강화된 보안 개발 문화가 정착되었습니다."

KVK는 Secure Code Warrior 통해 안전한 개발을 위한 견고한 기반을 마련했으며, 이제 막 시작 단계에 접어들었습니다.

웨비나에서 그녀는 다음과 같이 설명합니다:

• 개발자를 찾는 가능한 방법
• SCW 고객이 직면한 과제
• 트러스트 에이전트: 개발자 검색을 위한 커밋
• 신규 고객을 위한 다음 단계
  ↪f_200D↩