코드 거버넌스란 무엇인가요?

코드 거버넌스는 수동 프로세스의 집합에서 자동화된 정책 기반 관행으로 발전했습니다. 이는 크고 복잡한 코드베이스가 규모와 정교함으로 확장할 수 있는 거버넌스 프레임워크를 필요로 하기 때문입니다.

2010년대의 DevOps 혁명은 수동 승인과 중앙 집중식 제어에 의존하는 거버넌스 모델에 도전장을 던졌습니다. 오늘날 자동화 시스템은 프로세스를 강화하고 있으며, '시프트 레프트(Shift Left)' 개념으로 인해 보안 및 규정 준수 활동이 소프트웨어 개발 라이프사이클(SDLC)의 초기 단계로 이동했습니다.

생성형 AI의 등장은 완전히 새로운 거버넌스 계층을 도입했습니다. 개발자들은 이제 대형 언어 모델(LLM)을 기반으로 한 머신 러닝 도구를 사용해 상당한 양의 코드를 생성할 수 있으므로 개발 속도가 크게 향상됩니다. 그러나 AI가 생성한 아웃풋의 코드 품질과 관련 보안 위험, IP 문제, 모델 사용 정책 등을 해결하기 위해서는 코드 거버넌스도 발전해야 했습니다.

이제 조직은 AI 생성 코드를 사용할 수 있는 시기, 검토 방법, 배포 전에 필요한 검증 단계를 지정하는 거버넌스 정책을 구현하고 있습니다.

아래는 코드 거버넌스에서 가장 일반적인 몇 가지 구성 요소입니다.

품질이 낮은 코드는 기술 부채를 초래하고, 이는 결국 기술 스택의 확장성을 저해합니다. 코딩 표준은 이러한 문제를 방지하기 위해 개발자가 코드를 작성하고 구성하는 방법을 정의합니다. 이러한 표준은 명명 규칙, 형식, 문서, 파일 구조 및 언어별 모범 사례와 같은 영역을 다룹니다. 이러한 작은 문제들이 대규모 코드베이스에서 시간이 지남에 따라 큰 문제로 누적될 수 있습니다.

모든 개발자가 동일한 표준을 따를 때 코드 작업이 더 쉬워집니다. 엔지니어는 서로의 작업을 해독하는 데 소요되는 시간을 줄이고 새로운 것을 구축하는 데 더 많은 시간을 할애합니다.

버전 관리 시스템은 팀이 소스 코드 변경 사항을 관리하는 방식을 정의합니다. 이러한 정책은 브랜치 생성, 코드 병합, 커밋 메시지 작성을 위한 워크플로를 정의합니다. 버전 제어 시스템은 실수로 인한 덮어쓰기를 방지하는 데 도움이 되는 감사 추적을 생성하여 변경 사항의 명확한 기록을 보장합니다. 이제 팀들은 누가 특정 수정을 했는지, 그리고 그 이유가 무엇인지 파악할 수 있습니다.

코드 검토 프로세스에서는 소프트웨어 변경 사항을 코드베이스에 병합하기 전에 다른 개발자가 검토해야 합니다. 검토는 버그 식별, 설계 결정 검증, 팀 전체의 지식 공유 등 다양한 목적으로 사용됩니다. 잘 작성된 검토는 더 높은 품질의 소프트웨어로 이어집니다.

보안 거버넌스는 소프트웨어가 확립된 보안 요구사항 및 규정 준수 규칙에 따라 개발 및 유지 관리되도록 보장하여, 개발 과정이 보다 광범위한 위험 관리 전략을 준수하도록 합니다. 여기에는 보안 취약점 검사, 접근 제어, 종속성 관리, 비밀 코드 탐지, 안전한 코딩 지침 및 정기적인 검토와 같은 관행이 포함됩니다. 보안 거버넌스는 개발 라이프사이클의 마지막 단계뿐만 아니라 개발 라이프사이클 전반에 걸쳐 보호 조치를 통합합니다.

거버넌스를 테스트하면 소프트웨어가 배포되기 전에 소프트웨어가 모든 확립된 표준을 충족하는지 확인하는 데 도움이 됩니다. 하지만 테스트 역시 '시프트 레프트'했습니다. 팀은 CI/CD 파이프라인에 테스트 요구사항을 임베딩함으로써 결함을 조기에 식별하고 프로덕션 환경에 회귀가 발생할 위험을 줄일 수 있습니다.

규정 준수와 감사 가능성은 소프트웨어와 그 개발 프로세스가 규제 요구사항을 준수하는지 확인하는 데 중점을 둡니다. 문서화된 승인, 변경 이력 및 테스트 기록은 코드와 관련된 일반적인 규정 준수 조치 중 일부입니다.

지속적 통합 및 지속적 배포(CI/CD) 제어는 소프트웨어 배포에 사용되는 자동화된 프로세스를 관리합니다. 이러한 제어 기능은 코드가 환경 간에 이동하기 전에 통과해야 하는 자동화된 검사를 정의합니다. CI/CD 거버넌스는 프로덕션 단계에 도달하는 소프트웨어가 사전 정의된 표준을 충족하는 동시에 배포 전반에서 위험 감소를 촉진하는 데 도움이 됩니다.

코드형 거버넌스(GaC) 및 코드형 정책(PaC)은 정책, 규칙 및 표준을 머신이 읽을 수 있는 코드로 변환하여 거버넌스 및 정책 시행을 워크플로에 직접 포함하는 접근 방식입니다. 목표는 모든 배포, 인프라 변경 또는 데이터 접근 요청이 발생하기 전에 미리 정의된 기준을 충족하는 것입니다. 이러한 사전 대응 방식은 정책 엔진, 클라우드 인프라, 그리고 현재는 AI 에이전트와 같은 기술을 기반으로 합니다.

오픈 정책 에이전트(OPA)와 같은 기술을 통해 정책 시행이 더욱 정교해졌으며, 이를 통해 조직은 거버넌스 정책을 프로그래밍 방식으로 정의하고 시행할 수 있게 되었습니다. 문서와 수동 승인에 의존하는 대신, 거버넌스 요구사항이 코드에 포함되어 있어 SDLC 전체에서 자동으로 적용할 수 있습니다.

이와 유사하게, 코드형 인프라(IaC) 및 Terraform과 같은 도구는 선언적 언어 접근 방식을 사용하여 IT 인프라의 프로비저닝 및 관리를 자동화합니다. 이때 개발자는 목표를 달성하기 위해 필요한 단계가 아니라 원하는 최종 상태를 명시합니다. 인프라 정의는 일반적으로 YAML 및 JSON과 같은 형식을 사용하여 표현되므로 쉽게 자동화하고 검증할 수 있습니다.

AI 기반 코딩 환경은 GaC, PaC 및 Iac를 수행할 수 있습니다. 예를 들어 IBM® Bob을 사용하여 이러한 프로세스를 SDLC에 임베딩할 수 있습니다.