스타트업에서 서비스를 만들며 보안까지 챙기기엔 매우 힘든점이 많습니다. 

DevOps와 기존의 보안을 통합하기 위한 DevSecOps가 이야기된지는 오랜 시간이 되었지만, 여전히 DevSecOps를 문화에 적용하여 구현하고 개선할 수 있는 사례만드는데 많은 기업이 아직 어려움을 느끼고 있습니다.

DevSecOps의 주요 이점으로는 크게 5가지가 있습니다.

• 보안 취약점 감소: 개발 프로세스의 초기 단계부터 보안 취약점을 식별하고 해결하여 취약점을 효과적으로 제거할 수 있습니다.
• 빠른 개선 속도: 자동화된 테스트 및 배포를 통해 빠르게 보안 취약점을 개선하고 출시 속도를 높일 수 있습니다, 보안 요구사항을 서비스 개발의 마지막 단계에서 진행하는 것이 아닌, 지속적인 단계에서 보안 검수를 진행함으로 빠른 개선을 기대할 수 있습니다.
• 향상된 규정 준수: 규정 요구 사항을 개발 프로세스에 통합하여 규정 준수를 유지하는 데 도움이 됩니다.
• 비용 절감: 보안 결함으로 인한 비용을 줄이고 운영 효율성을 향상시킵니다.
• 협업 향상 및 보안 문화 개선: 개발, 보안 및 운영 팀 간의 협업을 통해 조직에 보안 문화를 개선할 수 있습니다.

DevSecOps는 6개의 단계로 구분지어 도입할 수 있습니다.

• 계획 및 준비: DevSecOps의 목표, 범위 및 성공 기준을 조직적으로 정의합니다.
• 문화 및 프로세스 변화: 조직 문화를 보안 중심으로 바꾸고 보안을 개발 프로세스에 통합합니다.
• 도구 및 기술 선택: 요구사항을 충족하는 적절한 DevSecOps 도구 및 기술을 선택합니다.
• 자동화 및 통합: 지속적 통합/지속적 배포(CI/CD) 파이프라인, 자동화된 보안 테스트 및 보안 모니터링을 적용하고 통합합니다.
• 측정 및 보고: DevSecOps의 목표를 측정하고 보고합니다.
• 지속적인 개선: 프로세스의 효율성을 지속적으로 개선하고 새로운 기술을 도전적으로 도입합니다.

DevSecOps의 구현 어려움?

많은 조직이 DevSecOps의 효율성을 알고, 도입을 시도하지만 구현 과정에서 다양한 어려움에 직면할 수 있습니다. 크게 5가지 정도의 구현/도입 어려움이 있는데요.

• 문화적 변화
  DevSecOps의 가장 큰 어려움이라고 하면 엔지니어링 조직 문화를 변화시키는 것입니다. 개발, 보안 및 운영팀은 종종 서로 다른 목표와 우선순위를 가지고 있으며, 효과적으로 협력하기 위해서는 이러한 차이를 해소해야합니다. 성공적인 구현을 위해서는 조직 전체에서 보안을 중요시하는 문화를 조성해야합니다.
• 프로세스 및 도구 통합
  개발, 보안 및 운영 프로세스를 통합해야합니다. 이는 다양한 팀에서 사용하는 다양한 도구를 통합하는 복잡한 작업이 될 수 있습니다. A팀은 CI/CD 파이프라인 중 Github Action을 이용하고 있고, B팀은 Jenkins를 이용하고 있다면 이는 도구를 통합하는데 있어 큰 장애물이 될 수 있습니다. DevSecOps를 성공적으로 구현하려면 조직은 프로세스와 도구를 서로 원활하게 통합하고 연동할 수 있게 구현해야 합니다.
• 전문 지식 부족
  개발, 보안 및 운영분야의 전문 지식이 필요합니다. 각 팀의 지식 차이가 크고 목표에 대한 이해도가 다르다면 DevSecOps의 목표를 성공적으로 구현하고 유지 관리하는데 큰 비용이 발생할 수 있습니다. 즉, 조직적인 보안 전문 지식의 전체적인 수준을 향상시키는 것이 중요합니다.
• 지속적인 교육 및 훈련
  DevSecOps는 지속적인 통합과 배포뿐만 아니라, 지속적인 교육과 훈련도 필요로 합니다. 엔지니어링 조직은 DevSecOps의 방법론 및 모범 사례에 대한 지식 수준을 유지해야 하고, 성공적인 구현을 위해 엔지니어링 팀은 지속적인 교육 및 훈련 기회를 제공받아야 합니다. 또한 구축 된 DevSecOps의 모범사례를 문서화 등으로 지속적인 공유가 이루어져야 합니다. .
• 측정 및 보고
  DevSecOps의 성공을 측정하고 보고하는 방법을 확립해야 합니다. 이를 통해 엔지니어링 조직은 DevSecOps 목표 달성 여부를 지속적으로 확인할 수 있으며, 미비한 부분을 보완하기 위한 접점을 확인할 수 있습니다.

DevSecOps를 시작할 수 있는 여러 방법 중 Cremit 에서 제공하는 기능 중 CLI 도구를 통해 Secret Detection으로 시작하는 사례를 공유합니다.

https://cremit.io/ko/blog/devsecops-why-start-with-cremit