리소스 아티클 DevOps 환경에 보안 통합

요약

많은 조직에서 DevOps는 보안과 별개로 운영되어 왔습니다. 개발 및 배포 속도가 빨라지면서 보안 통제는 종종 뒷전으로 밀리곤 합니다. 하지만 보안을 나중이 아닌 초기 단계부터 포함하려는 DevSecOps 움직임이 효과를 거두고 있는 것으로 나타났습니다.

DevOps란 무엇인가요?

DevOps는 소프트웨어 개발과 IT 운영 간의 장벽을 허물고 지속적 통합 프로세스를 활용하는 일련의 방식입니다.

전통적으로 많은 조직은 인프라 내에서 애플리케이션을 개발, 배포 및 관리하기 위해 기능별로 팀을 분리했습니다. 그러나 혁신과 비즈니스의 디지털 전환을 위한 경쟁이 치열해지면서 새로운 기능을 개발하고 출시하는 속도도 빨라졌습니다. 보안은 종종 뒷전으로 밀려나 품질 저하와 고객 불만으로 이어집니다. 개발 주기 막바지에 애플리케이션 코드를 변경하면 추가 테스트와 재인증으로 인해 막대한 비용이 들 뿐만 아니라, ‘보안이 업무 속도를 늦춘다’는 일반적인 인식을 더욱 강화하게 됩니다.

주기가 단축되고 개발 팀이 소프트웨어를 더 빠르게 출시하기 위해 애자일 방법론을 더욱 적극적으로 도입함에 따라, DevOps를 통한 지속적 통합은 더 많은 새로운 기능을 시장에 더 빨리 선보이고 출시 빈도를 높이는 것을 목표로 합니다. 핵심은 속도입니다.

“지속적 통합의 목표는 더 많은 새로운 기능을 담은 릴리스를 더 자주, 더 빠르게 시장에 선보이는 것입니다. 핵심은 속도입니다.”

DevOps에 보안을 더 일찍 통합하려면 어떻게 해야 할까요?

소프트웨어 개발 수명 주기 초기에 보안 모범 사례를 적용하면 비용과 효율성 측면에서 매우 긍정적인 효과를 거둘 수 있습니다. 하지만 많은 조직에서 보안 팀은 여전히 사일로화되어 있습니다. 이는 DevOps 운동 이전에 개발 팀과 운영 팀이 서로 분리되어 운영되던 것과 같습니다. 이에 따라 지속적 통합 및 배포 프로세스에 보안을 통합하는 새로운 움직임인 DevSecOps가 등장했습니다.

DevSecOps 운동의 인기가 높아지는 데에는 ‘시프트 레프트(shifting left)’라는 방법론이 큰 역할을 하고 있습니다. ‘시프트 레프트’란 소프트웨어 개발팀이 처음부터 견고한 코드 작성에 집중하는 것을 의미합니다. 이 방법을 통해 보안은 사후 대응적인 관문 역할에서 벗어나 예방적인 역할에 더 집중하게 됩니다. 보안팀은 개발팀에 지침과 지원을 제공하고, 지속적 통합/지속적 제공(CI/CD) 개발 파이프라인에 보안 자동화를 조기에 구축합니다.

DevSecOps 환경에서 보안은 공동의 책임입니다. 이를 통해 협업과 피드백이 크게 강화되고 개발, 운영, 보안 간의 장벽이 허물어져 더 낮은 비용과 높은 효율성으로 기능을 더 빠르게 시장에 출시할 수 있습니다.

규모와 효율성을 높이는 5가지 방법

보안을 공동의 책임으로 인식하더라도, 보안 팀은 개발자가 단번에 보안 전문가가 되어 처음부터 올바른 보안 통제 결정을 내릴 것이라고 기대할 수는 없습니다. DevOps와 마찬가지로 DevSecOps는 애플리케이션을 개발하고 배포하는 방식에 문화적 변화를 요구하는 철학입니다. 하지만 보안 팀이 아래의 다섯 가지 영역에 집중하면 비용을 절감하고 효율성을 높이며 확장 역량을 개선할 수 있습니다: