Tier-1 금융 기관이 혁신적인 보안 인증 경험을 만든 방법

게임이 보안 규정 준수와 관련하여 개발자의 마음을 사로잡는 방법일까요?

수백만 명의 고객, 신뢰할 수 있는 글로벌 금융 기관으로서의 풍부한 역사, 혁신에 대한 헌신과 디지털 혁신에 보조를 맞춘 이 티어 1 뱅킹 고객은 조직 내에서 진정으로 독특한 교육 경험의 일환으로 Secure Code Warrior를 활용했습니다.

이들은 수천 명의 직원이 기계 학습 및 사이버 보안을 비롯한 여러 분야에서 실용적인 최첨단 기술을 배울 수 있도록 지원하는 것을 목표로 사내 기술 교육 이니셔티브를 만들었습니다.

금융 서비스 산업은 현재 급속하고 급진적인 변화를 겪고 있습니다. 많은 기업들이 신흥 기술의 급속한 발전에 맞춰 서비스 오퍼링을 변경하고 있습니다.본질적으로 이들은 금융에 중점을 둔 본격적인 기술 회사가 되고 있습니다.고객의 접근 방식을 통해 이러한 추세를 따라갈 수 있었을 뿐만 아니라 대부분의 기업보다 더 나은 (그리고 더 스마트한) 성과를 달성할 수 있었습니다.이들은 이처럼 중요하고 떠오르는 분야에 대한 최신 정보를 얻기 위해 직원들에게 막대한 투자를 해왔으며, 그 결과 핀테크 혁신과 전문성의 최전선에 서 있습니다.

이 프로그램을 성공적으로 실행하려면 고객과 팀 전체가 개발자들이 보안 코딩에 완전히 정통하고 높은 수준의 사이버 보안 인식을 갖출 필요가 있다는 것을 깨달았습니다.Security Awareness Manager는 처음부터 보안에 대해 흥미를 느끼도록 팀을 적극적으로 참여시키려 했습니다.

더 챌린지

고객사의 Security Awarense Manager는 보안 업계에서 오랫동안 근무하면서 크고 작은 기업의 온라인 애플리케이션 채택이 폭발적으로 증가하고 디지털 중심 팀이 빠르게 증가하는 상황을 최전선에서 이끌었습니다.그는 이러한 초고속 확장 이후 발생할 수 있는 불가피한 전문 지식의 사일로화를 직접 목격했으며, 결국 많은 보안 및 개발 팀에서 이러한 문제를 겪었습니다. “온라인 채택 초기 단계에서 개발자들은 보안에 대해 생각하고 이를 소프트웨어 빌드에 적용했습니다.그러나 점점 더 사일로화되는 환경에서는 한 팀이 예를 들어 운영 체제를 개발하여 분석을 위해 보안 팀으로 보내면 종종 빨간색 표시와 수정 방법에 대한 메모를 남깁니다.보안은 불가피하지만 발견과 지식은 블랙홀 속으로 사라져 버렸다가 몇 번이고 반복해서 발생합니다.” 라고 그는 말했습니다.

그는 자신의 역할에서 자주 접하는 보안 문제에 대해 이야기하면서 “인적 문제”를 언급했습니다.

소프트웨어 엔지니어는 기능을 구축하는 데 돈을 받고 있으며 보안은 애자일 개발에 큰 걸림돌로 보일 수 있습니다.이들은 자신의 우선 순위를 정하느라 바빠서 보안 측면을 다른 사람의 일로 여기는 경우가 많습니다.가장 극단적인 측면에서는 '음, 아직 아무 일도 일어나지 않았다'는 견해를 취하는 사람들도 있습니다.왜 우리는 이 소프트웨어의 보안에 대해 그렇게 걱정하고 있으며, 이로 인해 개발 라이프사이클이 중단되는 이유는 무엇일까요? '디지털화가 심화되는 세상에서 이러한 태도는 바뀌어야 합니다.성가신 일로 비춰지기보다는 소프트웨어 보안에 대한 책임 분담의 중요성을 강조해야 합니다.

디지털 생활을 강화하기 위해 개발에 대한 의존도가 높아지면서 그는 벽에 적힌 글을 보았습니다. 사회로서 우리는 선량한 사람들을 위해 점점 더 불공평해지는 경쟁의 장에서 해커들을 도둑질하고 있습니다.개발자들은 보안을 진지하게 받아들이고, 예리한 관심을 갖고, 자신의 조직 (그리고 실제로 모든 진지한 기술 회사) 의 최전방 방어선이 되어야 했습니다.

그래서 그는 전통적인 교육을 완전히 바꾸기 시작했습니다.

구현 과정

보안 인식 관리자는 소프트웨어 품질의 새로운 표준을 설정하려는 고객의 전반적인 철학을 주도했습니다.구체적으로 말하자면, 소프트웨어에 내재된 보안 수준이 전체 품질 및 제품 생존 가능성을 나타내는 지표라는 개념입니다.오늘날 보안은 대부분의 경우 품질 측정과 밀접하게 연관되어 있지 않으며, 전체 UI와 마찬가지로 소프트웨어를 평가할 때 속도 및 서비스 가능성을 고려하지도 않습니다.

“보안은 높은 소프트웨어 품질을 위한 타협할 수 없는 요구 사항이 되어야 합니다.” 라고 그는 말했습니다.“안정성은 안정성과 상관관계가 있는데, 이는 대부분의 기업, 특히 빠르게 변화하고 디지털화되는 비즈니스 모델을 가진 기업에게 큰 관심사입니다.”

커밋된 코드의 취약점을 수정하는 데 드는 비용이 처음부터 안전하게 작성되었을 때보다 최대 30배 더 비싸기 때문에 개발 팀에 실행 가능한 보안 문화를 “적용”하는 것이 주요 목표가 되었습니다.결국 스캐닝 도구로는 탐지할 수 없는 특정 취약점이 있으며, 이러한 취약점을 해결하는 가장 효율적인 솔루션은 보안을 중시하는 개발 팀입니다.

Security Awareness Manager는 다른 형태의 교육에 대한 자신의 경험을 자세히 설명했습니다. 이러한 교육 중 다수는 여전히 일반적으로 사용되고 있으며, 이러한 교육 중 다수는 개발자들이 수많은 이론 기반 작업을 통해 보안에 대해 배우거나 더 나쁜 경우, 드물게 '확인란에 체크하고 넘어가는' 규정 준수 교육을 받으면 지속적인 영향을 미치기에 충분한 실습 학습이나 시간이 소요되지 않습니다.좀 더 효과적인 솔루션을 적용하여 이 상황을 바꾸기로 결심했습니다.” 라고 그는 말했습니다.

참여도가 높을 때 얻을 수 있는 이점

정통한 보안 인식 관리자와 그의 팀의 조언에 따라 고객은 Secure Code Warrior 플랫폼이 필수적인 부분인 맞춤형 인증 프로그램을 구현했습니다.

이들은 보다 효과적이고 참여도가 높은 개발자 교육 솔루션에 대한 연구를 통해 게임화의 얼리 어답터가 되어 자체적인 체계적이고 본격적인 커리큘럼을 통해 게임화의 효능과 잠재력을 극대화할 수 있었습니다.

“참여도가 높은 교육을 문화의 일부로 삼고 학생들이 계속 학습할 수 있도록 하는 것이 중요했습니다.그는 “이 시스템은 보안에 대한 지식, 기술 및 가치관을 구축하기 위한 신중한 접근 방식이며, 결과적으로 학생들이 매일 사용하는 실제 소스 코드로 작업하게 한다”고 말했다.

업계 표준 보안 모범 사례와 내부 지침을 모두 포함하는 포괄적인 솔루션을 구축한 덕분에 고객은 교육을 신속하게 동원하여 조직 내 소프트웨어 보안에 긍정적인 영향을 미칠 수 있었습니다.

그 결과

고객의 인증 프로그램은 성공적이고 지속적으로 발전하는 교육 형식으로, 사내 기술 교육 시설과 같은 미래 지향적인 이니셔티브에 적합합니다.이처럼 재미있고 인터랙티브하며 인센티브를 제공하는 심화 과정을 통해 모든 학생이 지식을 보존할 수 있는 최고의 기회를 얻을 수 있을 뿐만 아니라 보안을 최우선으로 하는 문화와 사고방식을 진정으로 발전시킬 수 있도록 지원합니다.게임화는 분명 학습 만족도를 높여주긴 하지만, 프로그램의 핵심 실용성은 여전합니다. 바로 개발자에게 응용 프로그램의 고위험 취약점을 식별하고 방지하는 데 필요한 기술을 제공하는 것입니다.

중요한 점은 교육이 필수가 아니라 개발자 측의 동기 부여 요소가 필요하다는 것입니다.이는 의심할 여지 없이 인센티브와 보상을 제공함으로써 뒷받침되었지만, 팀 전체가 이 프로그램을 채택한 것은 팀의 지지가 부풀어 오르고 프로세스에 대한 승인이 있었기 때문입니다.

이 프로그램은 핵심 역량이 지속적으로 개발될 뿐만 아니라 개발 팀과 AppSec 팀 간의 관계 격차를 해소하여 팀원들이 동일한 이해를 바탕으로 동일한 언어를 사용하고 상호 관심을 형성하도록 도와줍니다.

규정 준수 확인란과는 거리가 먼 이 프로그램은 소중한 직원과 그들의 경력을 지속적으로 지원하는 토대가 되었으며, 지구상에서 가장 고성장 산업 중 하나인 사이버 보안에서 측정 가능한 기술 향상을 제공합니다.처음부터 소프트웨어 보안 개선의 벤치마크가 될 것은 바로 이와 같은 교육 프로그램입니다.

간략한 정보

• 자격증을 마치고 강사가 되는 것에 관심을 보인 학생들로부터 전례 없는 반응이 있었습니다.이러한 기초적인 전도는 입소문을 통한 지원, 이해 및 전반적인 보안 인식을 확산시키는 강력한 요소입니다.
• 저희 고객은 조직 내 2500명 이상의 개발자를 대상으로 프로그램을 배포하는 중입니다. 이 중 90% 이상이 이미 시스템에서 활동하고 있습니다.
• 이들은 이 교육을 통해 직원의 전반적인 경력 개발을 지원하여 끊임없이 변화하는 기술 공간에서 기술을 활용하는 데 필요한 지식을 갖추도록 합니다.

비디오 대본

기존의 보안 코드 교육으로 인해 개발자는 입을 다물게 됩니다.그렇죠?

보안 코드 워리어의 민첩한 학습 접근 방식을 통해 개발자는 관련성이 높은 Just in Time 교육의 짧은 마이크로 버스트를 통해 빠르게 학습할 수 있습니다.

시뮬레이션된 IDE 학습 환경인 Coding Labs는 판도를 바꿉니다. Coding Labs를 사용하면 개발자가 브라우저에서 실행되는 완전한 대화형 IDE 환경에서 실습을 통해 학습할 수 있습니다.

개발자는 코드를 작성하고 실제 취약점을 수정합니다.

코딩 랩은 필요한 실시간 상황에 맞는 피드백을 자동으로 제공합니다.시뮬레이션된 IDE에서 제공되는 이러한 실용적인 학습 접근 방식을 통해 참여도가 높아지고 일상 업무와 관련성이 훨씬 높아집니다.그 결과 위험 감소, 비용이 많이 드는 재작업 방지, 취약성 수정 속도 측면에서 측정 가능한 생산성이 향상됩니다.

코딩 랩은 다른 보안 교육 옵션과 크게 다릅니다.개발자가 새 가상 컴퓨터를 가동할 필요가 없습니다.

개발자들이 잘 알고 애용하는 UI로 실습 교육을 제공합니다.

개발자의 실수를 해결하기 위한 맞춤형 코드 스니펫과 단계별 답변을 제안하여 개발자의 발전을 돕습니다.

또한 개발자가 비효율적인 강의실 및 규정 준수 중심의 행사를 피할 수 있습니다.이것이 바로 보안 코드 워리어 고객이 위험 감소, 비용이 많이 드는 재작업 방지, 취약점 수정 등의 측면에서 측정 가능한 생산성이 2~3배 향상되는 이유이기도 합니다.

데모를 예약하고 지금 바로 코딩 랩이 실제로 작동하는 모습을 확인해 보세요.

‍

코스는 시큐어 코드 워리어의 기반입니다. 학습 플랫폼, 전체 사이버 보안 프로그램 내에서 인식과 시스템을 구축할 수 있는 프레임워크별 학습 경로를 사용했습니다.
이제 새로워졌습니다 워크스루 및 미션 >>>>>>>>>>>>>>>>>##############################################
다음과 같은 방법으로 교육 성과 개발자 참여도를 높입니다. 단계적으로 건물 보안 코딩 기술, 성인 학습에 대한 검증된 스캐폴드 접근 방식.또한 이러한 최신 개선 사항은 개발자의 보안 체계와 기술을 테스트하는 광범위한 공격 및 대화형 코딩을 통해 플레이어의 피로를 덜어줍니다.

주요 주제는 다음과 같습니다.

• 코스 내 워크스루 및 미션의 실시간 데모
• OWASP 10 2021, NIST/미국 정부 명령, 인증 레벨 4/5를 담은 새로운 템플릿
• 스캐폴드 러닝과 이를 통해 팀을 위한 보안 기술을 점진적으로 관리하는 방법

워터폴, 애자일, 데브옵스... 몇 년에 한 번씩 조직 내에서 최적의 소프트웨어를 만들기 위한 새로운 방법론이 탄생하는 것 같습니다.이러한 프로세스에는 모두 장점과 약점이 있지만, 프로세스를 간소화하는 것 (그리고 이전에 없던 관료주의) 은 개발자의 주요 목표인 멋진 기능 구축에 다소 방해가 되는 것처럼 느껴질 수 있습니다. 하지만 일반적인 취약점으로 인한 제로 데이 보안 침해가 증가하는 상황에서 팀은 처음부터 시작하는 보다 안전한 SDLC에 적응해야 하며, 이를 실현할 수 있는 것은 DevSecOps입니다. ITY.개발자인 여러분이 어떻게 가장 좋아하는 작업을 손상시키지 않으면서 DevSecOps 파이프라인의 강력한 한 부분이 될 수 있는지 알아보세요. 기술을 향상시키고 전문가가 되세요.이 과정에서 훨씬 더 인기있는 엔지니어.

소프트웨어는 디지털 혁신과 혁신을 현대 비즈니스 운영의 핵심 동력으로 삼아 모든 부문과 산업에 걸쳐 기업의 생명줄로 발전했습니다.

시장 출시 속도와 애플리케이션 가용성은 대부분의 기업에서 이사회 차원의 주제이지만, 이렇게 개발 및 제공 가속화에는 너무 자주 치러지는 막대한 대가가 따릅니다. 바로 보안의 우선 순위 하향입니다.Evans Data와 함께 수행한 독립적인 연구에 따르면 개발자 중 29% 만이 취약성이 없는 코드 작성을 우선시해야 한다고 생각하는 것으로 나타났습니다.

그 결과 소프트웨어 개발과 보안 간의 마찰은 여전히 해결되지 않고 있으며, 엄청난 데이터 침해 상황에서 비즈니스를 운영할 때 발생할 수 있는 위험은 사상 최고치를 기록하고 있습니다.

알리안츠, BMW, 지멘스, 콘트라스트, 시큐어 코드 워리어 (Secure Code Warrior) 의 보안 전문가 패널이 이 노변 채팅에서는 배포 속도를 저하시키거나 코드 품질 및 보안을 손상시키지 않으면서 개발 팀과 AppSec 팀을 조화시킬 수 있는 방법에 대해 논의합니다.

다음을 배우게 됩니다.

• 개발자의 사고방식을 이해하고 엔지니어링 우수성에 어필하여 동기를 부여하는 방법
• 현대적인 AppSec 팀에 더 나은 투자
• IAST란 무엇이며 RASP와 함께 시간과 비용을 절약할 수 있는 방법
• 개발자가 보안 팀에 적절한 도움을 요청할 수 있는 방법
• 보안 팀이 개발자가 취약점을 식별, 평가 및 우선 순위를 지정하여 즉각적인 완화 또는 지속적인 모니터링이 필요한지 여부를 결정하도록 도울 수 있는 방법