4.1 보안의 기초와 문화

개요와 동기

보안은 끝에 덧붙이는 기능이 아니며, 엔지니어링과 떨어져 앉은 하나의 전문 팀의 일도 아닙니다. 대규모 조직에서 보안은 전체 시스템이 어떻게 설계되고, 구축되고, 운영되고, 다스려지는지의 속성입니다. 수천 명의 엔지니어가 수백 개의 서비스에 걸쳐 코드를 출하할 때, 가장 약한 고리가 인시던트가 얼마나 큰 피해를 줄 수 있는지 결정합니다. 잘못 설정된 스토리지 버킷 하나, 패치되지 않은 의존성 하나, 과도한 권한을 가진 서비스 계정 하나가 수백만 건의 레코드를 노출시킬 수 있습니다. 기초와 문화가 그런 일이 대규모에서 일어나지 않게 지킵니다.

기업에게 이해관계는 재무적이고 평판에 관한 것입니다. 침해 비용, 규제 벌금, 잃은 고객, 낮아진 기업 가치입니다. 정부에게는 국가 안보, 대중의 신뢰, 필수 서비스의 연속성까지 확장됩니다. 두 환경은 어려운 진실을 공유합니다. 보안을 순전히 통제와 관문으로 시행할 수는 없습니다. 일을 하는 사람들이 내면화해야 합니다. 엔지니어가 위협을 이해하고, 책임감을 느끼고, 우려를 제기한 것에 보상받는 문화는 과로한 보안 팀에게 골키퍼를 맡기는 문화보다 훨씬 나은 결과를 냅니다.

이 장은 이 가이드의 다른 모든 보안 장을 떠받치는 멘탈 모델과 문화적 실천을 펼칩니다. 보안을 모두의 일로 만들기, 위협 모델링, 보안 개발 수명 주기, 심층 방어와 제로 트러스트 같은 기초적 아키텍처 원칙, 두려움이나 유행이 아닌 실제 위험으로 보안 작업의 우선순위를 정하는 방법을 다룹니다.

함께 보기: 4.2장(애플리케이션 보안), 4.3장(인프라와 클라우드 보안), 4.4장(보안 운영), 4.6장(컴플라이언스와 거버넌스)이 이 기초 위에 서 있습니다.

핵심 원칙

보안은 모두의 일입니다. 모든 엔지니어, 제품 관리자, 운영자가 자기가 만드는 것의 보안을 소유합니다. 보안 팀은 가능하게 하고, 조언하고, 감사합니다. 혼자 일을 하지 않고, 할 수도 없습니다.
침해를 가정하십시오. 공격자가 이미 안에 있는 것처럼 설계하십시오. 침해된 구성 요소가 닿을 수 있는 것을 최소화하십시오.
심층 방어. 어떤 단일 통제도 충분하지 않습니다. 하나의 실패가 전체의 실패를 뜻하지 않도록 독립적인 통제를 겹겹이 두십시오.
최소 권한. 필요한 최소한의 접근을 최소한의 시간 동안 부여하고, 더는 필요 없을 때 자동으로 회수하십시오.
왼쪽으로 이동(shift left). 문제를 가능한 한 일찍, 고치기 가장 쌀 때 찾아 고치십시오.
위험 기반 우선순위. 이번 주에 뉴스가 된 것이 아니라, CIA 삼각형(기밀성, 무결성, 가용성)에 따라 가능성과 영향의 조합이 가장 높은 곳에 노력을 쓰십시오.
비난 없는 학습. 보안 인시던트와 아슬아슬하게 피한 사건을 처벌의 계기가 아니라 학습 기회로 다루십시오.

권장 사항

보안 챔피언 프로그램을 수립한다

각 엔지니어링 팀에 지정된 보안 챔피언을 심으십시오. 챔피언은 전업 보안 전문가가 아닙니다. 추가 교육을 받고 중앙 보안 팀과 직접 연결된 엔지니어입니다. 설계를 검토하고, 발견 사항을 분류하고, 팀원의 질문에 답하고, 보안 맥락을 계획에 싣습니다. 이는 모든 팀에 전문가를 채용하지 않고도 조직 전반에 보안 전문성을 확장하며, 조언이 코드베이스를 실제로 아는 동료에게서 오므로 신뢰를 쌓습니다.

챔피언에게 실질적 지원을 주십시오. 배운 것을 나누는 정기 모임, 교육과 학회 예산, 성과 평가에서의 인정, 전달 약속에서 떼어 낸 시간입니다. 서류에만 있는 챔피언 프로그램은 아무것도 낳지 않습니다.

위협 모델링을 일상적으로 실천한다

위협 모델링은 만들기 전에 “무엇이 잘못될 수 있는가?”를 묻는 규율 있는 습관입니다. 새 서비스, 주요 기능, 신뢰 경계의 모든 변경에 대해 하십시오. 실제로 자주 일어날 만큼 가볍게 유지하십시오.

STRIDE는 보안 속성에 대응하는 실용적 체크리스트입니다. 위장(Spoofing, 인증), 변조(Tampering, 무결성), 부인(Repudiation, 부인 방지), 정보 노출(Information disclosure, 기밀성), 서비스 거부(Denial of service, 가용성), 권한 상승(Elevation of privilege, 인가)입니다. 각 데이터 흐름을 따라가며 각 범주가 어떻게 적용되는지 물으십시오.
PASTA(Process for Attack Simulation and Threat Analysis)는 기술적 위협을 비즈니스 영향에 연결하는 더 무겁고 위험 중심적인 7단계 방법입니다. 가치가 높은 시스템에 쓰십시오.
공격 트리는 목표(“고객 데이터 탈취”)를 공격자가 밟을 갈라지는 단계로 분해해, 경로를 찾고 쳐내는 데 도움을 줍니다.

위협 모델을 코드 옆의 살아 있는 문서로 유지하고, 아키텍처가 바뀔 때마다 재검토하십시오.

보안 소프트웨어 개발 수명 주기를 구축한다

마지막 관문으로 다루는 대신 모든 단계에 보안을 엮어 넣으십시오.

요구 사항: 기능 요구 사항과 함께 보안 및 프라이버시 요구 사항을 포착하십시오.
설계: 위협 모델링을 하고 신뢰 경계를 검토하십시오.
구현: 보안 코딩 표준, 코드 리뷰, 커밋 전 비밀 스캔을 시행하십시오.
테스트: 파이프라인에서 SAST(정적 애플리케이션 보안 테스트), DAST(동적 애플리케이션 보안 테스트), 의존성 스캔을 실행하십시오(4.4장 참조).
릴리스: 출처를 검증하고, 산출물에 서명하고, 설정을 확인하십시오.
운영: 모니터링하고, 패치하고, 대응하십시오.

shift-left의 요점은 모든 일을 앞으로 쌓아 엔지니어를 압도하는 것이 아닙니다. 일찍 고치는 것이 훨씬 싼 종류의 결함을 잡는 것입니다.

제로 트러스트 아키텍처 원칙을 채택한다

전통적인 경계 보안은 네트워크 안의 모든 것이 신뢰할 수 있다고 가정합니다. 그 가정은 공격자가 발판을 얻는 순간 무너집니다. 제로 트러스트는 암묵적인 네트워크 신뢰를 명시적이고 지속적인 검증으로 대체합니다. 네트워크의 어디서 오든 신원, 기기 태세, 맥락에 근거해 모든 요청을 인증하고 인가하십시오. 강한 신원, 최소 권한 인가, 마이크로 분할, 어디서나 암호화를 결합하십시오. 제로 트러스트는 제품이 아니라 여정이므로 한 단계씩 접근하십시오.

CIA 삼각형을 활용해 위험으로 우선순위를 정한다

모든 자산과 통제를 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 중심으로 구성하십시오. 모든 데이터가 같은 보호를 필요로 하지는 않습니다. 공개 마케팅 페이지와 건강 기록 데이터베이스의 기밀성 요구는 크게 다릅니다. 자산을 분류하고, 침해의 가능성과 영향을 추정하고, 희소한 보안 노력을 위험이 가장 높은 조합에 향하게 하십시오. 위험 결정을 적어 두어 다른 이들이 나중에 검토하고 변호할 수 있게 하십시오.

장단점

접근 방식	장점	단점
중앙 보안 팀이 모든 보안을 소유	깊은 전문성. 일관된 표준	병목. 엔지니어가 이탈. 확장되지 않음
분산 보안 (챔피언)	확장됨. 책임감을 키움. 더 빠른 피드백	투자 필요. 고르지 않은 기술. 조율 필요
모든 것에 무거운 선행 위협 모델링	철저함. 설계 결함을 잡음	전달을 늦춤. 체크박스 채우기가 될 수 있음
가볍고 위험을 겨냥한 위협 모델링	빠르고 중요한 것에 집중	“위험이 낮은” 시스템의 위협을 놓칠 수 있음
릴리스를 막는 엄격한 관문	컴플라이언스를 시행	마찰. 우회를 부추김

핵심 긴장은 속도와 보증 사이에 있습니다. 관문과 중앙 통제 쪽으로 너무 기울면 엔지니어가 우회하는 마찰을 만들어 그림자 IT와 분노를 낳습니다. 지원 없는 자율 쪽으로 너무 기울면 일관성 없고 감사되지 않은 보안을 얻습니다. 지속 가능한 답은 가드레일을 갖춘 강한 문화입니다. 가능한 곳은 자동화하고, 판단이 필요한 곳은 사람이 하고, 항상 단지 강요하는 것이 아니라 설명합니다.

팀과 논의할 질문

어떤 시스템이 무거운 위협 모델링을 받을 자격이 있으며, 등급은 누가 정합니까? 큰 자산에서 모든 서비스에 7단계 PASTA 분석을 돌릴 수는 없으므로, 30분짜리 STRIDE 한 번이면 충분한 때와 가치가 높은 시스템이 깊고 비즈니스 영향 주도의 모델링을 받을 만한 때에 대한 명시적 규칙이 필요합니다. 결정을 CIA 분류에 닻을 내리십시오. 규제 대상 기록, 결제 흐름, 인증 로직을 보유한 시스템이 맨 위에 있고 공개 마케팅 페이지는 그렇지 않습니다. 기업과 정부 업무에서 감사자는 주어진 시스템이 왜 그렇게 모델링되었는지 변호하라고 요구할 것이므로, 등급 기준을 적고 그것을 적용하는 소유자를 지명하십시오. 현재 자산 분류와 위협 모델이 없는 서비스 목록을 회의에 가져오십시오. 둘 사이의 간극이 진짜 위험이기 때문입니다. 기준에 합의하지 못하면 모든 것을 가볍게 모델링하거나 아무것도 깊이 모델링하지 않는 쪽이 기본이 되며, 둘 다 실패입니다.
보안 챔피언과 전달 마감이 충돌할 때, 누가 실제로 릴리스를 멈출 수 있습니까? 챔피언 프로그램은 챔피언이 추가 교육과 좋은 의도만이 아니라 실질적 권한을 지닐 때만 결과를 바꿉니다. 챔피언이 출하를 막을 수 있는지, 중앙 AppSec 팀에 에스컬레이션하는지, 전달을 멈추는 것을 정당화하는 발견 사항의 심각도와 추적만 하는 심각도는 무엇인지 미리 결정하십시오. 이는 압박 아래서 가장 중요합니다. 제품 관리자가 출시 일주일 전에 설계 결함을 면제하고 싶어 할 때가 바로 해결되지 않은 결함을 고치기 가장 비싼 때이기 때문입니다. 보안 우려가 마감을 만난 최근 사례를 가져와 누가 어떻게 결정했는지 따라가 보십시오. 그 이야기가 진짜 에스컬레이션 경로를 드러냅니다. 정직한 답이 전달이 항상 이긴다는 것이라면 챔피언은 장식이니, 더 많이 두기 전에 인센티브를 고치십시오.
“침해를 가정”하는 것이 다음 설계 리뷰에서 구체적으로 무엇을 바꿉니까? 이 원칙은 고개를 끄덕이기는 쉽고 실행하기는 어려우므로, 구체적 약속에 못 박으십시오. 어떤 신뢰 경계를 조일지, 어디에 마이크로 분할을 더할지, 침해된 단일 서비스 계정이 닿을 수 있는 것을 어떻게 줄일지입니다. 큰 팀에서 수익은 영향 범위 축소이므로, 한 서비스에 안착한 공격자가 그 뒤의 데이터 저장소로 피벗할 수 없습니다. 기업과 정부 환경에서 이는 설계에 넣기 싸고 사후 보강하기 고통스러운 최소 권한과 수명이 짧은 자격 증명 결정도 형성합니다. 실제 서비스 다이어그램 하나를 가져와 공격자가 웹 계층을 장악한 뒤 무엇을 하는지 물으십시오. 그다음 이번 분기에 두 가지 봉쇄 변경을 약속하십시오. 침해가 일어난다는 막연한 동의는 권한, 네트워크 규칙, 자격 증명 수명 하나를 움직이지 않는 한 무가치합니다.
보안 문화가 실제로 개선되고 있음을 어떻게 알며, 이사회에 변호할 지표는 무엇입니까? 교육 이수율과 티켓 수는 모으기 쉽고 거의 쓸모없습니다. 위험 감소가 아니라 활동을 측정하고, 대규모 조직은 그것에 빠져 익사하기 때문입니다. 예산을 걸 수 있는 성과 지표를 고르십시오. 심각도 높은 발견 사항의 시정 시간 중앙값, 현재 위협 모델을 지닌 서비스의 비율, 프로덕션 전에 잡힌 인시던트의 비율, 신뢰가 커지면서 줄지 않고 늘어야 하는 자발적으로 보고된 아슬아슬한 사건의 비율입니다. 상충하는 고려는 모든 좋은 지표가 조작될 수 있다는 점이므로, 각각을 반대 지표와 짝짓고 스냅샷이 아니라 추세를 검토하십시오. 현재 대시보드를 가져와 보안이 진정으로 나빠진다면 어느 숫자가 바뀌겠는지 물으십시오. 바뀌지 않을 것은 장식입니다. 기업과 정부 환경에서 규제 기관이나 감사 위원회가 통제가 동작한다는 증거를 요구할 것이므로, 단지 초록으로 보이는 것이 아니라 정밀 조사 아래서 변호할 수 있는 지표를 고르십시오.
다음에 엔지니어가 실수를 보고하면 실제로 무슨 일이 일어나며, 프로세스가 슬라이드에서만이 아니라 실제로 비난이 없습니까? 비난 없는 학습은 가장 자주 공언되고 가장 드물게 실천되는 원칙입니다. 첫 심각한 인시던트가 리더십이 진심인지 시험하기 때문입니다. 문제를 고칠 책임과 그것을 일으킨 것에 대한 처벌을 어떻게 분리할지, 사후 검토를 누가 운영해 이름 붙은 개인이 아니라 깨진 시스템에 대한 것으로 유지할지 미리 결정하십시오. 긴장은 실제입니다. 이해관계자들은 누군가에게 책임을 묻기를 원하지만, 보고자를 처벌하면 다음 실수가 침해가 될 때까지 숨겨져 있을 것이 보장됩니다. 최근 두 인시던트 검토를 가져와 사람을 비난했는지 통제를 비난했는지, 경보를 울린 엔지니어가 감사를 받았는지 조용히 밀려났는지 확인하십시오. 정부와 규제 기업에서는 의무적 침해 공개 규칙이 이해관계를 더 높입니다. 실수를 숨기는 문화는 법적 처벌이 따르는 보고 마감도 놓칠 것이기 때문입니다.
shift-left 도구의 마찰은 누가 소유하며, 사고 있습니까, 만들고 있습니까, 아니면 빠져 허우적댑니까? 자동화된 정적 및 동적 분석, 의존성 스캔, 비밀 스캔은 보안 개발 수명 주기의 중추이지만, 엔지니어를 거짓 양성으로 범람시키는 파이프라인은 그들이 보안 출력을 무시하도록 가르치며 이는 스캔이 없는 것보다 나쁩니다. 누가 도구를 조정하고, 누가 발견 사항을 분류하는지, 통합 플랫폼을 살지 직접 유지해야 하는 오픈 소스 스캐너를 조립할지 결정하십시오. 경쟁하는 고려는 커버리지 대 소음, 통제 대 비용입니다. 늑대가 나타났다고 외치는 싼 스캐너는 챔피언 프로그램이 여러 해 쌓은 신뢰를 태웁니다. 현재 거짓 양성 비율, 엔지니어가 차단 검사를 기다리는 평균 시간, 조용히 관문을 끈 팀 목록을 가져오십시오. 대기업과 정부에서는 조달과 도구 난립의 각도를 더하십시오. 열 팀이 각자 스캐너를 사면 어떤 감사자도 조정할 수 없는 일관성 없는 커버리지를 낳기 때문입니다.

분야별 관점

스타트업. 보안 팀도 여유 있는 런웨이도 없다면 문화가 유일하게 감당할 수 있는 통제입니다. 인증이나 결제에 닿는 모든 기능 전에 30분짜리 위협 모델링 화이트보드를 습관으로 삼고, 비용이 들지 않으므로 어디서나 최소 권한과 MFA를 켜고, 누구든 우려를 제기할 수 있는 비난 없는 채널을 유지하십시오. 무거운 프로세스와 도구는 건너뛰십시오. 창업 엔지니어들이 유지할 수 없고, 지금 쌓는 규율이 나중에 기업 구매자가 여러분을 신뢰하게 합니다.

소기업. 전담 보안 전문가도 빠듯한 예산도 없으니, 자체 파이프라인을 세우기보다 이미 사는 도구의 안전한 기본값에 기대십시오. MFA, 패치, 최소 권한을 대신 시행하는 관리형 플랫폼을 선호하고, 보안을 데이터 위생의 질문으로 다루십시오. 어떤 민감한 데이터를 보유하고 누가 닿을 수 있는지 아십시오. 만들기 대 사기를 골라야 한다면 사십시오. 최신으로 유지하는 관리형 통제가 썩게 두는 맞춤형 통제보다 낫기 때문입니다.

대기업. 수백 개의 서비스와 수천 명의 엔지니어 규모에서 과제는 많은 팀에 걸친 일관성과 거버넌스입니다. 보안 챔피언 프로그램을 운영하고, CIA 분류에 묶인 위협 모델링 등급을 표준화하고, 모든 팀이 좋은 기본값을 상속하도록 포장된 길 템플릿과 자동화된 파이프라인 검사를 제공하십시오. 기준선에 대한 시정과 커버리지 지표를 추적하고, 각 시스템이 왜 그렇게 모델링되고 통제되었는지 보이는 감사 추적을 유지하십시오.

정부. 조달 규칙, 투명성 의무, 공적 책임성이 모든 선택을 형성합니다. 제로 트러스트 원칙과 수명이 짧은 자격 증명은 흔히 행정 정책으로 의무화되며, 강화 예산이 어디로 갔는지에 대한 문서화되고 위험 기반의 근거를 감사자에게 보일 수 있어야 합니다. 가장 민감한 시민 기록을 보유한 시스템을 먼저 우선하고, 대중이 알 권리가 있는 곳에서는 안전장치를 공개하고, 불투명한 블랙박스를 받아들이지 말고 벤더에게 한계를 공개하도록 요구하십시오.

사례

스타트업. 열 명 규모의 스타트업은 보안 팀도 그럴 예산도 없으므로, 두 창업 엔지니어가 인증이나 결제에 닿는 모든 기능 전에 위협 모델링을 30분짜리 화이트보드 습관으로 만듭니다. 무엇이 잘못될 수 있고 누가 그러기를 원하는지 묻습니다. 비용이 들지 않는 몇 가지 기초 습관을 채택합니다. 모든 클라우드 역할의 최소 권한, 모든 계정의 MFA, 누구든 비난의 두려움 없이 우려를 제기할 수 있는 비난 없는 채널입니다. 나중에 투자를 유치하고 기업 구매자가 보안을 어떻게 다루는지 물을 때, 그 초기 문화 덕에 하나를 지어내려고 허둥대는 대신 정직하게 답할 수 있습니다.

대기업. 엔지니어 6,000명의 글로벌 은행이 스쿼드당 훈련된 챔피언 한 명으로 보안 챔피언 프로그램을 운영합니다. 챔피언은 월간 길드에 참석하고, 분기별 교육을 이수하고, STRIDE로 모든 새 서비스의 위협 모델링을 이끕니다. 중앙 AppSec 팀은 포장된 길 템플릿과 자동화된 파이프라인 검사를 유지합니다. 2년에 걸쳐 심각도 높은 발견 사항의 시정 시간 중앙값이 45일에서 9일로 줄었고, 설계 단계의 위협 모델링이 결제 API의 인가 결함을 프로덕션에 닿기 전에 잡아 보고 대상이 되었을 인시던트를 피했습니다.

정부. 레거시 시스템을 현대화하는 한 국가 세무 기관이 행정 정책이 의무화한 제로 트러스트 원칙을 채택합니다. 모든 내부 서비스 호출은 수명이 짧은 자격 증명으로 인증되고 요청마다 인가되며, 네트워크 세그먼트는 더는 신뢰를 부여하지 않습니다. 기관은 시민 대면 서비스마다 “납세자 기록 유출”과 “신고서 변조”를 뿌리로 한 공격 트리에 비추어 위협 모델링을 합니다. CIA 영향 수준에 맞춘 위험 기반 우선순위가 가장 민감한 기록을 보유한 시스템에 먼저 강화 예산을 집중시킵니다.

비즈니스 사례: 동기, ROI, TCO

보안 문화를 구축하는 비용은 실재합니다. 챔피언의 시간, 교육, 도구, 위협 모델링과 리뷰를 하는 소소한 지연입니다. 그러나 그 비용은 하지 않는 비용에 비하면 작습니다. 평균적인 주요 데이터 침해는 조사, 통지, 시정, 규제 벌금, 법적 노출, 잃은 비즈니스를 세면 수백만에 이릅니다. 정부의 침해는 어떤 청구서도 완전히 담지 못하는 임무 중단과 대중 신뢰의 침식을 더합니다.

보안 투자의 수익은 세 곳에서 옵니다. 피한 인시던트(일어나지 않은 침해), 줄어든 시정 비용(설계 시점에 고친 결함은 프로덕션에서 고친 것의 일부 비용), 더 빠른 전달(포장된 길과 자동화된 검사가 팀이 수동 리뷰를 기다리는 대신 자신 있게 출하하게 함)입니다. 리더십을 설득할 때 보안을 추상적 선이 아니라 가격표가 붙은 위험 관리로 구성하십시오. 상위 위험의 기대 손실(가능성 곱하기 영향), 그것을 줄이는 비용, 여전히 남는 위험을 보이십시오. 경영진은 측정할 수 있는 위험 감소에 재원을 댑니다.

안티패턴과 함정

보안 연극. 인상적으로 보이지만 실제 위험을 줄이지 않는 통제로, 무언가를 보호하려는 것이 아니라 감사를 만족시키려고 채택됩니다.
끝의 관문으로서의 보안 팀. 출시 일주일 전에 설계 결함을 발견하는 것. 고치기 가장 비싸고 면제되기 가장 쉬운 때입니다.
비난 문화. 실수를 보고한 엔지니어를 처벌하면 다음 실수는 숨겨져 있을 것이 보장됩니다.
체크박스 위협 모델링. 아무도 읽지 않는 템플릿을 채워, 실제 아키텍처와 동떨어진 문서를 만드는 것.
만능 통제. 공개 웹사이트와 결제 시스템에 같은 무거운 프로세스를 적용해 노력을 낭비하고 분노를 낳는 것.
두려움에 이끌린 우선순위. 자산을 실제로 위협하는 것이 아니라 뉴스에서 유행하는 취약점을 쫓는 것.
이름뿐인 챔피언. 시간, 교육, 권한을 주지 않고 챔피언을 지명하는 것.

성숙도 모델

1단계: 시작. 보안은 반응적이고 중앙집중적입니다. 리뷰는 있어도 늦게 이루어지고 위협 모델링은 없습니다. 인시던트가 즉흥적 수정을 이끕니다. 엔지니어는 보안을 남의 문제로 보고 공유된 표준이 없습니다.

2단계: 발전. 보안 팀이 있고 표준을 정의하지만 실천은 팀마다 일관되지 않습니다. 주요 프로젝트에서는 일부 위협 모델링이 일어나고 다른 곳에서는 없습니다. 기본 교육이 제공됩니다. 보안은 여전히 관문으로 인식되고 shift-left는 실제가 아닌 열망입니다.

3단계: 표준화. 보안 챔피언이 모든 팀에 심겨 있습니다. 위협 모델링은 CIA 분류에 맞춰 등급이 매겨진 새 서비스의 일상이며, 보안 개발 수명 주기가 문서화되어 조직 전체에서 시행됩니다. 위험 기반 우선순위가 작업을 이끌고, 보안 코딩 표준과 파이프라인 검사가 기본 포장된 길이며, 비난 없는 사후 인시던트 검토가 표준입니다.

4단계: 관리. 보안 성과가 기준선에 대해 측정되고 통제됩니다. 조직은 심각도 높은 발견 사항의 시정 시간 중앙값, 위협 모델 커버리지, 프로덕션 전에 잡힌 인시던트의 비율, 아슬아슬한 사건의 보고율을 팀별로 나누어 추적합니다. 챔피언이 릴리스를 멈출 권한이 정의되고 실제로 행사됩니다. 위험 결정은 가능성 곱하기 영향으로 정량화되고, 기록되고, 고정된 주기로 검토되어 통제 간극이 놀람이 아니라 데이터로 드러납니다.

5단계: 오케스트레이션. 보안이 진정으로 모두의 일이며 전달, 위험, 비즈니스 계획과 통합되어 있습니다. 위협 모델링과 보안 설계는 습관적이고 가벼우며, 제로 트러스트 원칙이 대체로 실현되어 있습니다. 지표가 지속적 개선을 이끌고, 조직은 팀 간 아슬아슬한 사건에서 배우며, 위협 그림과 아키텍처가 바뀜에 따라 통제가 자동으로 적응합니다.

논의를 위한 아이디어

교육 이수를 세는 것을 넘어 보안 문화가 실제로 개선되고 있는지 어떻게 측정합니까?
보안 챔피언이 다루는 것과 중앙 팀이 소유하는 것의 알맞은 경계는 어디입니까?
위협 모델링이 관료적 체크박스가 되지 않고 가치 있게 유지되려면 어떻게 해야 합니까?
레거시 자산에 완전한 제로 트러스트 아키텍처가 현실적이며, 아니라면 실용적인 부분 집합은 무엇입니까?
같은 엔지니어를 두고 경쟁할 때 보안 작업은 기능 전달에 대해 어떻게 우선순위가 매겨져야 합니까?
어떤 인센티브가 엔지니어의 행동을 보안 소유권 쪽으로 실제로 바꿉니까?

핵심 요점

보안은 한 팀에 위임하는 작업이 아니라 대규모 조직의 문화적 속성입니다.
보안 챔피언은 엔지니어링 전반에 전문성과 책임감을 확장합니다.
위협 모델링(STRIDE, PASTA, 공격 트리)은 설계 결함을 일찍, 싸게 드러냅니다.
보안 SDLC와 shift-left 사고방식은 결함이 비용이 가장 적게 들 때 잡습니다.
심층 방어, 최소 권한, 제로 트러스트가 기초적 아키텍처 원칙입니다.
CIA 삼각형과 위험 기반 우선순위는 희소한 노력을 가장 중요한 곳으로 향하게 합니다.
보안 문화를 구축하는 비용은 그것이 막는 침해의 비용보다 훨씬 작습니다.

참고 문헌과 더 읽을거리

Adam Shostack, Threat Modelling: Designing for Security
Ross Anderson, Security Engineering: A Guide to Building Dependable Distributed Systems
Michael Howard and Steve Lipner, The Security Development Lifecycle
Betsy Beyer et al. (Google), Building Secure and Reliable Systems
National Institute of Standards and Technology, SP 800-207: Zero Trust Architecture
National Institute of Standards and Technology, Secure Software Development Framework (SSDF), SP 800-218
OWASP, Threat Modelling and Security Champions guidance