소프트웨어에서 보안이 최우선인가요? AI는 이것을 일상적인 실천으로 만드는 데 도움이 될 수 있습니다

AI는 DevSecOps 노력에 더 많은 힘을 더할 준비가 되어 있지만 많은 사람들은 여전히 그 의미에 대해 회의적입니다.

DevSecOps는 이란성 쌍둥이인 DevOps와 마찬가지로 보다 협력적이고 지능적인 워크플로를 지원하기 위해 소프트웨어 상점에서 수년 동안 진행되어 왔습니다. 이제 AI는 이러한 노력에 더 많은 힘을 실어줄 준비가 되어 있지만 많은 사람들은 여전히 그 의미에 대해 회의적입니다.

이는 363명의 IT 임원 및 관리자가 참여한 SANS Institute의 최근 설문 조사에서 얻은 내용 중 일부입니다. DevSecOps 워크플로에 AI 또는 기계 학습 기능을 추가하는 데 대한 관심이 높아지고 있는 것으로 나타났습니다. 지난해 조사와 실험을 통해 DevSecOps를 개선하기 위해 AI 또는 데이터 과학을 사용하는 경우가 2022년 33%에서 2023년 49%로 크게 증가했습니다(16%).

소프트웨어 개발 수명주기에 AI를 적용하는 것에 대한 관심이 높아지고 있는 반면, AI를 워크플로에 주입할 때 최대 속도로 진행하는 것에 대한 건전한 회의론도 있습니다. SANS의 저자인 Ben Allen과 Chris Edmundson은 "응답자의 약 30%가 AI나 데이터 과학 기능을 전혀 사용하지 않는다고 보고했습니다."라고 말했습니다. "이는 데이터 개인 정보 보호 및 지적 재산 소유권을 둘러싼 우려 수준이 높아지는 등의 문제를 반영할 수 있습니다."

보고서에 정의된 DevSecOps는 "소프트웨어 개발 수명주기의 모든 단계에 걸쳐 보안을 자동화, 모니터링 및 통합하려는 목적으로 소프트웨어 개발(Dev), 보안(Sec) 및 운영(Ops)의 교차점을 나타냅니다." 즉, 시작(설계 단계)부터 바로 보안을 구축하는 프로세스를 수립하고 배포까지 확인하세요.

궁극적으로 잘 작동하는 DevSecOps 노력은 "보안 문제 해결 시간 단축, 부담스러운 보안 프로세스 감소, 애플리케이션 보안 소유권 증가"를 제공한다고 Allen과 Edmundson은 말합니다.

보안 운영을 "AI 및 기계 학습 운영"(19% 완전 또는 부분 통합) 및 "데이터 과학 운영"(24%) 범주에 통합하는 파일럿 프로젝트가 증가했습니다. 저자는 이는 "조직이 AI 기능을 제품에 통합하기 전에 위협 모델링 및 위험 평가를 수행하고 있음을 나타낼 수 있는 징후"라고 말합니다.

많은 조직에서는 더 많은 자격을 갖춘 DevSecOps 인력이 시급히 필요하다고 느낍니다. 38%는 이 분야에서 기술 격차를 보고합니다. 저자는 “이 분야에서는 수요가 공급을 계속 초과하기 때문에 끊임없이 변화하는 이 분야에 더 많은 관심을 불러일으킬 필요가 실제로 필요합니다”라고 촉구합니다. "경쟁 압박 속에서 인재 부족에 대처하기 위해 조직은 입증된 DevSecOps 관행을 더욱 활용하고 새로운 기술 역량을 탐구해야 합니다."

아이디어에서 구현까지 소프트웨어의 흐름을 간소화하기 위한 플랫폼 엔지니어링 또한 기반을 확보하고 있으며 응답자의 27%가 전체 또는 부분적으로 채택했습니다. "플랫폼 엔지니어링 관행에 내재된 개발자 셀프 서비스 기능이 성숙해짐에 따라 애플리케이션을 구축, 패키징, 테스트 및 배포하는 데 사용되는 오케스트레이션을 활용하여 경로의 주요 지점에 보안 테스트 및 도구를 통합하는 것이 필수적입니다. 배치되었습니다."라고 Allen과 Edmundson은 말합니다. "보안 이해관계자와의 긴밀한 협력을 통해 설계되고 잘 구현된 소프트웨어 엔지니어링 플랫폼은 조직의 애플리케이션 보안 조정 및 상관 관계 목표를 충족할 수 있습니다."