공개: 사이버 산업이 보안을 정의하는 방법

기업이 규정 준수를 위해서뿐만 아니라 중요한 비즈니스 요구 사항으로 Secure by Design 원칙을 제품 개발 프로세스에 포함시켜야 한다는 사실이 점점 더 분명해지고 있습니다.이 지침은 기업이 제품을 시장에 출시하기 전에 제품의 악용 가능한 결함을 식별하여 완화할 수 있도록 하기 위한 것입니다.이러한 지침을 단순한 애드온이 아닌 기본 기둥으로 취급하는 조직에서 이러한 원칙에 따라 구축한 제품은 경쟁이 심화되는 이 시장에서 앞서 나가는 경향이 있습니다.

하지만 미국 정부의 사이버 보안 및 인프라 보안국 (CISA) 이 발표한 지 2년이 지난 지금 보안을 고려한 설계 가이드라인, 실제 구현은 여전히 업계 전반에서 풀기 어려운 수수께끼입니다.이러한 원칙이 중요하다는 것은 누구나 알고 있지만, 어떻게 하면 대규모로 효과적으로 구현할 수 있을까요?

최신 백서에서, 공동 창립자인 Pieter Danhieux 박사와 Matias Madou 박사 (Dr. Matias Madou) 는 CISO, AppSec 리더 및 보안 전문가를 포함한 20명 이상의 엔터프라이즈 보안 리더와 함께 이 퍼즐의 핵심 요소를 파악하고 Secure by Design 운동의 이면에 있는 현실을 알아냈습니다.보안 팀 전체가 같은 포부를 갖고 있지만, 플레이북을 공유하지는 않았습니다.

몇 가지 주요 결과를 확인해 보십시오.

• 대부분의 보안 실무자와 비즈니스 리더는 Secure by Design 이니셔티브의 아이디어와 가치에 동의하고 있지만, 여전히 해석의 여지가 있으며 이를 구현하기 위한 업계 전반의 표준 접근 방식은 없습니다.

• 위협 모델링은 단순히 규정 준수 체크리스트에서 빠질 수 있는 것이 아닙니다. 이는 보안에 정통한 개발자와 AppSec 대응자가 위험을 악용하기 전에 미리 대비할 수 있도록 지원하는 중요하고 일관된 방법입니다.

• 양날의 검인 AI - AI는 혁신적이면서도 공격 범위를 크게 확장하는 강력한 보안 위험입니다.폭발적인 성장으로 인해 위험이 빠르게 진화하고 있습니다. 숙련되지 않은 개발자와 리소스가 부족한 AppSec 팀은 이러한 위험을 완화하는 데 어려움을 겪는 경우가 많습니다.

문제는 Secure by Design (Secure by Design) 원칙을 적용하는 것의 중요성에 대한 이해 부족이 아닙니다. 보안 소프트웨어의 필요성은 기본적인 요구 사항이자 기본 기대치가 되었습니다.부족한 것은 이러한 원칙을 소프트웨어 개발 라이프사이클 전반에 포함하기 위한 조정되고 확장 가능한 전략입니다.

또한 성공적인 출시를 결정하기 위한 명확한 벤치마크나 측정 가능한 결과가 부족한 것 같습니다.이러한 지표가 없다면 팀은 자신의 노력이 진정으로 영향을 미치고 있는지 짐작할 수밖에 없습니다.현재로선 전선이 단합된 것 같지만 전략을 공유하지는 않습니다.

보안 설계는 필수적이고 불가피하며 규정 준수가 높은 부문에만 국한되지 않습니다.개발자에게도 부담을 주지 말고 권한을 부여해야 합니다.적절한 기술, 도구 및 지원을 갖추면 이들은 본질적으로 단순한 빌더가 아니라 방어자가 되어 가장 중요한 부분, 즉 원천에서 보안을 구현합니다.

지금 다운로드 팀이 강력한 개발자 위험 관리 전략과 정밀 측정을 활용하여 기업 내에서 성공적이고 통합된 Secure by Design 이니셔티브를 추진할 수 있는 방법을 알아보십시오.