Ben Kim

스타트업에서 보안을 효과적으로 챙기는 방법

스타트업에서 서비스를 만들며 보안까지 챙기기엔 매우 힘든점이 많습니다. 

DevOps와 기존의 보안을 통합하기 위한 DevSecOps가 이야기된지는 오랜 시간이 되었지만, 여전히 DevSecOps를 문화에 적용하여 구현하고 개선할 수 있는 사례만드는데 많은 기업이 아직 어려움을 느끼고 있습니다.

DevSecOps의 주요 이점으로는 크게 5가지가 있습니다.

• 보안 취약점 감소: 개발 프로세스의 초기 단계부터 보안 취약점을 식별하고 해결하여 취약점을 효과적으로 제거할 수 있습니다.

• 빠른 개선 속도: 자동화된 테스트 및 배포를 통해 빠르게 보안 취약점을 개선하고 출시 속도를 높일 수 있습니다, 보안 요구사항을 서비스 개발의 마지막 단계에서 진행하는 것이 아닌, 지속적인 단계에서 보안 검수를 진행함으로 빠른 개선을 기대할 수 있습니다.

• 향상된 규정 준수: 규정 요구 사항을 개발 프로세스에 통합하여 규정 준수를 유지하는 데 도움이 됩니다.

• 비용 절감: 보안 결함으로 인한 비용을 줄이고 운영 효율성을 향상시킵니다.

• 협업 향상 및 보안 문화 개선: 개발, 보안 및 운영 팀 간의 협업을 통해 조직에 보안 문화를 개선할 수 있습니다.

DevSecOps는 6개의 단계로 구분지어 도입할 수 있습니다.

• 계획 및 준비: DevSecOps의 목표, 범위 및 성공 기준을 조직적으로 정의합니다.

• 문화 및 프로세스 변화: 조직 문화를 보안 중심으로 바꾸고 보안을 개발 프로세스에 통합합니다.

• 도구 및 기술 선택: 요구사항을 충족하는 적절한 DevSecOps 도구 및 기술을 선택합니다.

• 자동화 및 통합: 지속적 통합/지속적 배포(CI/CD) 파이프라인, 자동화된 보안 테스트 및 보안 모니터링을 적용하고 통합합니다.

• 측정 및 보고: DevSecOps의 목표를 측정하고 보고합니다.

• 지속적인 개선: 프로세스의 효율성을 지속적으로 개선하고 새로운 기술을 도전적으로 도입합니다.

DevSecOps의 구현 어려움?

많은 조직이 DevSecOps의 효율성을 알고, 도입을 시도하지만 구현 과정에서 다양한 어려움에 직면할 수 있습니다. 크게 5가지 정도의 구현/도입 어려움이 있는데요.

• 문화적 변화
  DevSecOps의 가장 큰 어려움이라고 하면 엔지니어링 조직 문화를 변화시키는 것입니다. 개발, 보안 및 운영팀은 종종 서로 다른 목표와 우선순위를 가지고 있으며, 효과적으로 협력하기 위해서는 이러한 차이를 해소해야합니다. 성공적인 구현을 위해서는 조직 전체에서 보안을 중요시하는 문화를 조성해야합니다.

• 프로세스 및 도구 통합
  개발, 보안 및 운영 프로세스를 통합해야합니다. 이는 다양한 팀에서 사용하는 다양한 도구를 통합하는 복잡한 작업이 될 수 있습니다. A팀은 CI/CD 파이프라인 중 Github Action을 이용하고 있고, B팀은 Jenkins를 이용하고 있다면 이는 도구를 통합하는데 있어 큰 장애물이 될 수 있습니다. DevSecOps를 성공적으로 구현하려면 조직은 프로세스와 도구를 서로 원활하게 통합하고 연동할 수 있게 구현해야 합니다.

• 전문 지식 부족
  개발, 보안 및 운영분야의 전문 지식이 필요합니다. 각 팀의 지식 차이가 크고 목표에 대한 이해도가 다르다면 DevSecOps의 목표를 성공적으로 구현하고 유지 관리하는데 큰 비용이 발생할 수 있습니다. 즉, 조직적인 보안 전문 지식의 전체적인 수준을 향상시키는 것이 중요합니다.

• 지속적인 교육 및 훈련
  DevSecOps는 지속적인 통합과 배포뿐만 아니라, 지속적인 교육과 훈련도 필요로 합니다. 엔지니어링 조직은 DevSecOps의 방법론 및 모범 사례에 대한 지식 수준을 유지해야 하고, 성공적인 구현을 위해 엔지니어링 팀은 지속적인 교육 및 훈련 기회를 제공받아야 합니다. 또한 구축 된 DevSecOps의 모범사례를 문서화 등으로 지속적인 공유가 이루어져야 합니다. .

• 측정 및 보고
  DevSecOps의 성공을 측정하고 보고하는 방법을 확립해야 합니다. 이를 통해 엔지니어링 조직은 DevSecOps 목표 달성 여부를 지속적으로 확인할 수 있으며, 미비한 부분을 보완하기 위한 접점을 확인할 수 있습니다.

DevSecOps를 시작할 수 있는 여러 방법 중 Cremit 에서 제공하는 기능 중 CLI 도구를 통해 Secret Detection으로 시작하는 사례를 공유합니다.

https://cremit.io/ko/blog/devsecops-why-start-with-cremit

스타트업의 보안, 최소한은 챙겨야한다!

안녕하세요. 여러분!

방금 막 가입한 Security SaaS 솔루션을 만들고 있는 크리밋의 김동현이라고 합니다!

디스콰이엇을 눈팅만 하다, 활동을 활발히 해볼껄 싶은 생각이 급 드네요. :)

혹시, 여러분은 클라우드 서비스를 이용하시다 주요 정보의 탈취로 좋코딩에 나온 영상처럼 이슈를 겪어보시진 않았나요?

저희는, Github, GitLab과 같은 소스코드 저장소 뿐만 아니라 협업도구(Notion, Confluence, Jira), 메신저(Slack, Teams), 저장소(AWS S3, GCP GCS), 드라이브 (Google Drive, OneDrive)에서 발견되는 Secret(AWS API Key 등)와 민감정보(주민등록번호, 아이디 및 패스워드)를 탐지하여 효율적으로 알려주는 서비스를 제공합니다!

약 10년정도 초기멤버, 창업, 스타트업, Global 회사의 보안 Domain 전문가로 있으면서 당장 큰 보안 문제를 효율적으로 해결하기 위해 저희팀은 시작했습니다.

제품을 개발하시며, 서비스를 운영하시며, 겪고 계신 문제가 보안과 관련이 있으시다면 언제든 편하게 말씀주세요!