애플리케이션 코드와 인프라 전반에서 보안 위험을 더 일찍 발견하기 위해 시프트 레프트를 구현하는 방법

프로덕션 환경에서 발견되는 보안 문제는 실제 비즈니스 위험으로 이어집니다. 서비스 중단, 컴플라이언스 위반 및 릴리스 지연은 대부분 개발 라이프사이클의 훨씬 이른 단계에서 유입된 취약점에서 시작됩니다.

문제는 시점입니다. 보안 점검은 코드가 이미 작성되고, 병합되거나, 배포된 이후에 수행되는 경우가 많습니다. 그 시점에는 취약점이 더 이상 개별적으로 존재하지 않고 애플리케이션, 인프라 및 종속성 전반에 내재되어 있으므로, 문제를 해결하는 과정이 더욱 복잡해집니다.

데이터는 이러한 영향이 얼마나 큰지 명확하게 보여줍니다.

• 프로덕션 환경에서 문제를 수정하는 비용은 설계 단계에서 해결하는 것보다 최대 30배 더 많이 들 수 있습니다.
• 지속적인 노출 관리 체계를 구현한 조직은 침해를 경험할 가능성이 3배 낮습니다.
• 인증서 관리와 같은 기본적인 허점도 위험을 초래하며, 언제든지 SSL/TLS 인증서의 25%가 만료된 상태일 수 있습니다.

동시에 개발 속도는 점점 빨라지고 있습니다. AI, 자동화 및 DevOps를 통해 팀은 그 어느 때보다 빠르게 개발할 수 있게 되었지만, 시스템은 애플리케이션, 인프라, 종속성 및 클라우드 환경 전반에 걸쳐 계속해서 더욱 복잡해지고 있습니다. 수동 코드 검토와 정책 점검은 신뢰성이 낮기로 잘 알려져 있습니다. 수동 워크플로에서 발생하는 경고의 25%는 오탐으로, 인적 오류의 위험을 높이고 배포 주기를 지연시킵니다.

그 결과 취약점이 유입되고 확산되며 통제하기 더욱 어려워지는 노출 기간이 점점 길어지고 있습니다.

현대적인 개발 모델은 기존 보안 접근 방식을 앞질렀습니다. 과거의 느린 릴리스 주기에서는 효과적이었던 방식이 이제는 지속적인 딜리버리를 따라갈 수 없습니다.

이러한 격차를 초래하는 요인은 다음과 같습니다.

• 후반 단계에서 발견되는 문제는 딜리버리에 차질을 초래합니다. 보안 문제는 병합 또는 배포 이후에 발견되는 경우가 많아 재작업, 롤백 및 릴리스 지연을 초래합니다.
• AI는 속도와 위험을 모두 가속화합니다. 코드의 약 40%가 AI로 생성되면서 코드 생성량이 증가했지만, 대규모로 취약점이 유입될 가능성도 함께 증가하고 있습니다.
• 재작업은 리소스를 소모합니다. IT 예산의 20~30%가 품질이 낮은 코드를 유지하고 기술 부채를 해결하는 데 사용됩니다.

이러한 패턴은 보안이 여전히 대부분 사후 대응 방식에 머물러 있다는 근본적인 문제를 보여줍니다.

취약점이 늦게 발견되면 팀은 긴급 대응에 매달릴 수밖에 없으며, 그 결과 혁신에 집중해야 할 시간과 예산, 노력이 문제 해결에 투입됩니다. 시스템 간 연결성이 높아질수록 취약점은 발견되기 전에 여러 계층으로 확산될 수 있습니다.

이제 보안은 더 이상 배포 마지막 단계의 최종 점검 역할만으로는 충분하지 않습니다. 현대적인 플랫폼은 빠르게 변화하는 인프라, 사람 중심의 거버넌스로 인한 대응 지연, 장기간 사용되는 고정 자격 증명의 광범위한 사용, 수작업 프로세스로 인한 구성 드리프트와 같은 과제에 직면해 있습니다. 이러한 변화에 발맞추려면 보안은 배포 라이프사이클 전반에 내재된 프로그래밍 가능하고 자동화되며 지속적인 운영 방식으로 발전해야 합니다.

현대적인 소프트웨어 딜리버리 속도에 발맞추기 위해 조직은 보안을 소프트웨어 개발 라이프사이클(SDLC)의 초기 단계로 이동시키는 시프트 레프트 접근 방식을 도입하고 있습니다.

보안을 후속 점검 단계로 취급하는 대신, 팀이 소프트웨어를 설계, 개발 및 배포하는 방식 전반에 보안을 내재화합니다. 이 접근 방식은 취약점이 유입된 시점부터 해결될 때까지의 시간을 단축하고, 문제가 누적되는 것을 방지합니다.

시프트 레프트 모델은 일반적으로 다음과 같은 핵심 방식을 도입합니다.

• 배포 후가 아니라 코드 작성 단계에서 취약점을 발견합니다.
• 심각도 점수뿐 아니라 실제 영향과 맥락을 기반으로 위험의 우선순위를 정합니다.
• 개발자가 워크플로를 중단하지 않고 즉시 문제를 해결할 수 있도록 지원합니다.
• 보안 점검을 CI/CD 파이프라인에 직접 통합합니다.

인프라의 경우에도 동일한 접근 방식을 프로비저닝 라이프사이클의 초기 단계부터 적용합니다.

•  리소스를 배포하기 전에 컴플라이언스 정책을 적용합니다.
• 자격 증명 노출을 줄이기 위해 시크릿을 안전하게 관리합니다.
• 환경 전반에서 감사 추적 및 거버넌스를 유지합니다. 
• 구성을 표준화하여 드리프트 및 구성 오류 위험을 줄입니다.

이러한 방식을 함께 적용하면 조직은 개발 속도를 늦추지 않으면서도 문제 해결 비용을 절감하고, 딜리버리를 가속화하며, 공격 표면을 줄일 수 있습니다.

시프트 레프트 원칙을 도입하려면 단순한 프로세스 변경만으로는 충분하지 않습니다. 전체 스택 전반에서 노출 관리를 지속적이고 통합된 방식으로 수행하는 접근 방식이 필요합니다.

실제로 성과가 높은 팀은 다음 사항을 중점으로 하는 모델로 전환하고 있습니다.

• 조기 탐지: 코드를 작성하는 단계에서 취약점을 식별하여 후속 단계의 장애를 방지합니다. 
• 자동화된 해결: 반복적으로 발생하는 문제를 워크플로 내에서 직접 해결하여 수작업을 줄입니다.
• 지속적인 학습: 릴리스 주기마다 우선순위 지정을 개선하고 불필요한 노이즈를 줄입니다.
• 통합 가시성: 코드, 인프라, 종속성 및 런타임 환경 전반의 인사이트를 연결합니다.
• 부서 간 협업: 개발, 운영 및 보안 팀이 코드 개발부터 배포 및 런타임 운영까지 엔드 투 엔드 보안 적용에 대한 공동 책임을 바탕으로 협업할 수 있도록 지원합니다.
• 표준화된 모범 사례 및 골든 워크플로: 일관된 배포 패턴, 보안 가드레일 및 승인된 자동화 워크플로를 구축하여 보안 격차를 줄이고, 구성 드리프트를 최소화하며, 프로덕션 환경의 안정성과 운영 효율성을 향상시킵니다.

이러한 방식은 딜리버리 마지막 단계에서 보안을 간헐적으로 적용하는 대신, 개발부터 배포까지 전체 라이프사이클에 걸쳐 보안을 지속적으로 평가하고, 개선하며, 적용하는 피드백 루프를 구축합니다.

그 결과 후반 단계에서 발생하는 예기치 않은 문제가 줄어들고, 운영 위험이 감소하며, 더 빠르고 예측 가능한 릴리스와 엔지니어링 리소스의 효율적인 활용이라는 측정 가능한 성과를 얻을 수 있습니다.

개발 속도가 계속 빨라지고 AI가 속도와 복잡성을 모두 높여감에 따라 보안도 이에 발맞춰 발전해야 합니다.

원칙은 간단합니다. 보안을 더 앞단으로 이동시키고, 사후에 수행하는 작업이 아니라 팀의 개발 방식 자체에 내재화하는 것입니다.

이 접근 방식을 성공적으로 도입한 조직은 취약점이 운영 문제로 이어지기 전에 발견하고, 비용이 많이 드는 재작업과 프로덕션 환경의 장애를 최소화하며, 병목 현상을 초래하지 않고 컴플라이언스를 유지할 수 있습니다. 이러한 방식을 통해 조직은 보안이 설계 단계부터 내재된 소프트웨어를 제공할 수 있습니다.

궁극적으로 복원력이 뛰어난 소프트웨어는 프로덕션 환경에서 만들어지는 것이 아닙니다. 코드의 첫 줄부터 이를 실행하는 인프라에 이르기까지 라이프사이클의 모든 단계에 내재되어 구축됩니다.

개발 및 배포 라이프사이클의 초기 단계에서 소프트웨어 위험을 식별하는 방법을 알아보세요.

IBM Concert가 노출 관리를 혁신하는 방법 알아보기

Terraform이 대규모 환경에서 안전한 인프라를 구현하는 방법을 살펴보세요.

SDLC 전반에 걸쳐 시프트 레프트 보안을 구현하는 방법을 알아보세요.

IBM Secure Coder 살펴보기