[지디넷코리아]소프트웨어 개발자들이 자신이 작성한 코드 보안을 책임져야 한다는 주장이 제기돼 주목을 끌고 있다. 전 백악관 사이버범죄 고문 하워드 슈미트가 지난 11일 시큐어런던 2005 컨퍼런스 연설에서 이같이 밝혔다.

현재 R&H 시큐리티 컨설팅 CEO를 맡고 있는 슈미트는 이날 연설에서 많은 개발자들이 보안 코드를 작성하는 데 필요한 기술은 갖고 있지 않다며, 소프트웨어 개발자에 대한 교육 수준도 더 높아져야 한다고 강조했다.

슈미트는 이어 “소프트웨어 개발 측면에서 개발자가 자신이 작성한 코드에 대해 개인 품질을 보증할 필요가 있다”며, 최근 자신이 만난 일부 개발자들을 사례로 소개했다. 이들 개발자들은 SSL을 사용해 백엔드 데이터베이스와 연계해주는 웹 애플리케이션을 개발하고 있다.

슈미트에 따르면 “이 개발자들은 강력한 인증, 강력한 패스워드, 암호화 터널을 보유하고 있고, 저장된 데이터는 암호화된다. 하지만 이 데이터가 구매 오피스로 전송될 때는 일반 텍스트 파일로 전송된다. 이는 엔드 투 엔드 솔루션이라고 할 수 없다. 엔드 투 엔드 솔루션을 위해 개발자들의 개인 책임을 확보할 필요가 있다. 이렇게 하면 ‘이 솔루션의 보안이 완벽한가?’라고 개발자들에게 확인받을 수 있다”는 것이다.

그는 또한 소프트웨어 개발자 중 64%가 스스로의 보안 애플리케이션 작성 능력에 대해 확신하지 못하고 있는 것으로 조사된 최근의 MS 조사결과도 언급했다. 이런 개발자들에게는 더 나은 교육 프로그램이 마련돼야 한다는 주장이다.

이어 “대부분의 대학 교육과정은 지금까지는 활용성, 확장성, 관리성에만 중점을 두어왔다. 여기에 보안은 배제돼 있다. 현재는 많은 대학들이 정보 보증과 보안에 중점을 두고 있지만 지금까지 웹 애플리케이션 개발은 어떻게 하면 사용자의 클릭을 유도할 것인가에 관한 마우스 클릭으로 측정돼왔다”고 덧붙였다.

개발자의 자질, 개발 업체의 책임감 강조
그는 소프트웨어 개발업체들이 미래 개발자를 고용하기 전에 적절한 보안 수준을 확보하고 있는지 확인해야 한다며 소프트웨어 개발 업체의 역할도 강조했다.

BCS(British Computer Society)는 소프트웨어 개발에 책임이 따라야 한다는 점에는 동의하지만 소프트웨어 개발 기업이 아니라 기업에 고용된 개발자가 작성된 코드에 대한 보안을 책임져야 한다는 주장에는 동의하지 않았다.

BCS 보안 대표는 인터뷰에서 “소프트웨어 개발자들이 자신들이 작성하는 코드 보안에 대해 개인적으로 책임을 져야 한다는 하워드의 주장은 극단적이다. 하지만 그가 말하고자 하는 요지에 대해서는 전체적으로 동의한다. 많은 개발자들이 이런 수준의 책임을 요구하는 데 대해, 특히 법적 책임이 뒤따른다면 상당히 불편하게 느낄 것이다. 기업이 개발하는 소프트웨어의 보안 기능을 엄격하게 테스트하는 것은 기업의 책임이다”고 밝혔다.

그는 이를 통해 개인의 책임을 경감해줄 수 있다고 지적하며, “코드는 정적인 것이 아니다. 일단 구매하면 수정이 가능하다”고 덧붙였다. 또한 보안 공격의 상당수는 사용자가 최신 패치를 설치하지 않았거나 시스템을 부적합하게 설치했기 때문에 가능하게 된다고 설명했다.

BCS 대표는 구매 기업들도 소프트웨어의 보안에 대한 일부 책임을 수용해야 한다고 주장하며, “소프트웨어는 개발 목적에 부합해야 한다. 신뢰할 수 있는 온라인 환경을 구축하는 것은 필수다”고 지적했다.@