Tier-1 금융 기관이 혁신적인 보안 인증 경험을 만든 방법

게임이 보안 규정 준수와 관련하여 개발자의 마음을 사로잡는 방법일까요?

수백만 명의 고객, 신뢰할 수 있는 글로벌 금융 기관으로서의 풍부한 역사, 혁신에 대한 헌신과 디지털 혁신에 보조를 맞춘 이 티어 1 뱅킹 고객은 조직 내에서 진정으로 독특한 교육 경험의 일환으로 Secure Code Warrior를 활용했습니다.

이들은 수천 명의 직원이 기계 학습 및 사이버 보안을 비롯한 여러 분야에서 실용적인 최첨단 기술을 배울 수 있도록 지원하는 것을 목표로 사내 기술 교육 이니셔티브를 만들었습니다.

금융 서비스 산업은 현재 급속하고 급진적인 변화를 겪고 있습니다. 많은 기업들이 신흥 기술의 급속한 발전에 맞춰 서비스 오퍼링을 변경하고 있습니다.본질적으로 이들은 금융에 중점을 둔 본격적인 기술 회사가 되고 있습니다.고객의 접근 방식을 통해 이러한 추세를 따라갈 수 있었을 뿐만 아니라 대부분의 기업보다 더 나은 (그리고 더 스마트한) 성과를 달성할 수 있었습니다.이들은 이처럼 중요하고 떠오르는 분야에 대한 최신 정보를 얻기 위해 직원들에게 막대한 투자를 해왔으며, 그 결과 핀테크 혁신과 전문성의 최전선에 서 있습니다.

이 프로그램을 성공적으로 실행하려면 고객과 팀 전체가 개발자들이 보안 코딩에 완전히 정통하고 높은 수준의 사이버 보안 인식을 갖출 필요가 있다는 것을 깨달았습니다.Security Awareness Manager는 처음부터 보안에 대해 흥미를 느끼도록 팀을 적극적으로 참여시키려 했습니다.

더 챌린지

고객사의 Security Awarense Manager는 보안 업계에서 오랫동안 근무하면서 크고 작은 기업의 온라인 애플리케이션 채택이 폭발적으로 증가하고 디지털 중심 팀이 빠르게 증가하는 상황을 최전선에서 이끌었습니다.그는 이러한 초고속 확장 이후 발생할 수 있는 불가피한 전문 지식의 사일로화를 직접 목격했으며, 결국 많은 보안 및 개발 팀에서 이러한 문제를 겪었습니다. “온라인 채택 초기 단계에서 개발자들은 보안에 대해 생각하고 이를 소프트웨어 빌드에 적용했습니다.그러나 점점 더 사일로화되는 환경에서는 한 팀이 예를 들어 운영 체제를 개발하여 분석을 위해 보안 팀으로 보내면 종종 빨간색 표시와 수정 방법에 대한 메모를 남깁니다.보안은 불가피하지만 발견과 지식은 블랙홀 속으로 사라져 버렸다가 몇 번이고 반복해서 발생합니다.” 라고 그는 말했습니다.

그는 자신의 역할에서 자주 접하는 보안 문제에 대해 이야기하면서 “인적 문제”를 언급했습니다.

소프트웨어 엔지니어는 기능을 구축하는 데 돈을 받고 있으며 보안은 애자일 개발에 큰 걸림돌로 보일 수 있습니다.이들은 자신의 우선 순위를 정하느라 바빠서 보안 측면을 다른 사람의 일로 여기는 경우가 많습니다.가장 극단적인 측면에서는 '음, 아직 아무 일도 일어나지 않았다'는 견해를 취하는 사람들도 있습니다.왜 우리는 이 소프트웨어의 보안에 대해 그렇게 걱정하고 있으며, 이로 인해 개발 라이프사이클이 중단되는 이유는 무엇일까요? '디지털화가 심화되는 세상에서 이러한 태도는 바뀌어야 합니다.성가신 일로 비춰지기보다는 소프트웨어 보안에 대한 책임 분담의 중요성을 강조해야 합니다.

디지털 생활을 강화하기 위해 개발에 대한 의존도가 높아지면서 그는 벽에 적힌 글을 보았습니다. 사회로서 우리는 선량한 사람들을 위해 점점 더 불공평해지는 경쟁의 장에서 해커들을 도둑질하고 있습니다.개발자들은 보안을 진지하게 받아들이고, 예리한 관심을 갖고, 자신의 조직 (그리고 실제로 모든 진지한 기술 회사) 의 최전방 방어선이 되어야 했습니다.

그래서 그는 전통적인 교육을 완전히 바꾸기 시작했습니다.

구현 과정

보안 인식 관리자는 소프트웨어 품질의 새로운 표준을 설정하려는 고객의 전반적인 철학을 주도했습니다.구체적으로 말하자면, 소프트웨어에 내재된 보안 수준이 전체 품질 및 제품 생존 가능성을 나타내는 지표라는 개념입니다.오늘날 보안은 대부분의 경우 품질 측정과 밀접하게 연관되어 있지 않으며, 전체 UI와 마찬가지로 소프트웨어를 평가할 때 속도 및 서비스 가능성을 고려하지도 않습니다.

“보안은 높은 소프트웨어 품질을 위한 타협할 수 없는 요구 사항이 되어야 합니다.” 라고 그는 말했습니다.“안정성은 안정성과 상관관계가 있는데, 이는 대부분의 기업, 특히 빠르게 변화하고 디지털화되는 비즈니스 모델을 가진 기업에게 큰 관심사입니다.”

커밋된 코드의 취약점을 수정하는 데 드는 비용이 처음부터 안전하게 작성되었을 때보다 최대 30배 더 비싸기 때문에 개발 팀에 실행 가능한 보안 문화를 “적용”하는 것이 주요 목표가 되었습니다.결국 스캐닝 도구로는 탐지할 수 없는 특정 취약점이 있으며, 이러한 취약점을 해결하는 가장 효율적인 솔루션은 보안을 중시하는 개발 팀입니다.

Security Awareness Manager는 다른 형태의 교육에 대한 자신의 경험을 자세히 설명했습니다. 이러한 교육 중 다수는 여전히 일반적으로 사용되고 있으며, 이러한 교육 중 다수는 개발자들이 수많은 이론 기반 작업을 통해 보안에 대해 배우거나 더 나쁜 경우, 드물게 '확인란에 체크하고 넘어가는' 규정 준수 교육을 받으면 지속적인 영향을 미치기에 충분한 실습 학습이나 시간이 소요되지 않습니다.좀 더 효과적인 솔루션을 적용하여 이 상황을 바꾸기로 결심했습니다.” 라고 그는 말했습니다.

참여도가 높을 때 얻을 수 있는 이점

정통한 보안 인식 관리자와 그의 팀의 조언에 따라 고객은 Secure Code Warrior 플랫폼이 필수적인 부분인 맞춤형 인증 프로그램을 구현했습니다.

이들은 보다 효과적이고 참여도가 높은 개발자 교육 솔루션에 대한 연구를 통해 게임화의 얼리 어답터가 되어 자체적인 체계적이고 본격적인 커리큘럼을 통해 게임화의 효능과 잠재력을 극대화할 수 있었습니다.

“참여도가 높은 교육을 문화의 일부로 삼고 학생들이 계속 학습할 수 있도록 하는 것이 중요했습니다.그는 “이 시스템은 보안에 대한 지식, 기술 및 가치관을 구축하기 위한 신중한 접근 방식이며, 결과적으로 학생들이 매일 사용하는 실제 소스 코드로 작업하게 한다”고 말했다.

업계 표준 보안 모범 사례와 내부 지침을 모두 포함하는 포괄적인 솔루션을 구축한 덕분에 고객은 교육을 신속하게 동원하여 조직 내 소프트웨어 보안에 긍정적인 영향을 미칠 수 있었습니다.

그 결과

고객의 인증 프로그램은 성공적이고 지속적으로 발전하는 교육 형식으로, 사내 기술 교육 시설과 같은 미래 지향적인 이니셔티브에 적합합니다.이처럼 재미있고 인터랙티브하며 인센티브를 제공하는 심화 과정을 통해 모든 학생이 지식을 보존할 수 있는 최고의 기회를 얻을 수 있을 뿐만 아니라 보안을 최우선으로 하는 문화와 사고방식을 진정으로 발전시킬 수 있도록 지원합니다.게임화는 분명 학습 만족도를 높여주긴 하지만, 프로그램의 핵심 실용성은 여전합니다. 바로 개발자에게 응용 프로그램의 고위험 취약점을 식별하고 방지하는 데 필요한 기술을 제공하는 것입니다.

중요한 점은 교육이 필수가 아니라 개발자 측의 동기 부여 요소가 필요하다는 것입니다.이는 의심할 여지 없이 인센티브와 보상을 제공함으로써 뒷받침되었지만, 팀 전체가 이 프로그램을 채택한 것은 팀의 지지가 부풀어 오르고 프로세스에 대한 승인이 있었기 때문입니다.

이 프로그램은 핵심 역량이 지속적으로 개발될 뿐만 아니라 개발 팀과 AppSec 팀 간의 관계 격차를 해소하여 팀원들이 동일한 이해를 바탕으로 동일한 언어를 사용하고 상호 관심을 형성하도록 도와줍니다.

규정 준수 확인란과는 거리가 먼 이 프로그램은 소중한 직원과 그들의 경력을 지속적으로 지원하는 토대가 되었으며, 지구상에서 가장 고성장 산업 중 하나인 사이버 보안에서 측정 가능한 기술 향상을 제공합니다.처음부터 소프트웨어 보안 개선의 벤치마크가 될 것은 바로 이와 같은 교육 프로그램입니다.

간략한 정보

• 자격증을 마치고 강사가 되는 것에 관심을 보인 학생들로부터 전례 없는 반응이 있었습니다.이러한 기초적인 전도는 입소문을 통한 지원, 이해 및 전반적인 보안 인식을 확산시키는 강력한 요소입니다.
• 저희 고객은 조직 내 2500명 이상의 개발자를 대상으로 프로그램을 배포하는 중입니다. 이 중 90% 이상이 이미 시스템에서 활동하고 있습니다.
• 이들은 이 교육을 통해 직원의 전반적인 경력 개발을 지원하여 끊임없이 변화하는 기술 공간에서 기술을 활용하는 데 필요한 지식을 갖추도록 합니다.

비디오 대본

기존의 보안 코드 교육으로 인해 개발자는 입을 다물게 됩니다.그렇죠?

보안 코드 워리어의 민첩한 학습 접근 방식을 통해 개발자는 관련성이 높은 Just in Time 교육의 짧은 마이크로 버스트를 통해 빠르게 학습할 수 있습니다.

시뮬레이션된 IDE 학습 환경인 Coding Labs는 판도를 바꿉니다. Coding Labs를 사용하면 개발자가 브라우저에서 실행되는 완전한 대화형 IDE 환경에서 실습을 통해 학습할 수 있습니다.

개발자는 코드를 작성하고 실제 취약점을 수정합니다.

코딩 랩은 필요한 실시간 상황에 맞는 피드백을 자동으로 제공합니다.시뮬레이션된 IDE에서 제공되는 이러한 실용적인 학습 접근 방식을 통해 참여도가 높아지고 일상 업무와 관련성이 훨씬 높아집니다.그 결과 위험 감소, 비용이 많이 드는 재작업 방지, 취약성 수정 속도 측면에서 측정 가능한 생산성이 향상됩니다.

코딩 랩은 다른 보안 교육 옵션과 크게 다릅니다.개발자가 새 가상 컴퓨터를 가동할 필요가 없습니다.

개발자들이 잘 알고 애용하는 UI로 실습 교육을 제공합니다.

개발자의 실수를 해결하기 위한 맞춤형 코드 스니펫과 단계별 답변을 제안하여 개발자의 발전을 돕습니다.

또한 개발자가 비효율적인 강의실 및 규정 준수 중심의 행사를 피할 수 있습니다.이것이 바로 보안 코드 워리어 고객이 위험 감소, 비용이 많이 드는 재작업 방지, 취약점 수정 등의 측면에서 측정 가능한 생산성이 2~3배 향상되는 이유이기도 합니다.

데모를 예약하고 지금 바로 코딩 랩이 실제로 작동하는 모습을 확인해 보세요.

‍