자바 개발자를 위한 데브옵스 툴

260

자바 개발자를 위한 데브옵스 툴

그러나 보안 검사를 시행하는 관문은 꼭 바이너리 승격 단계에서 최초로 등장해야 하는가? 조

금 더 일찍 시작할 수 지점은 없을까? 이러한 질문에 답하려면 시프트 레프트의 개념을 이해해

야 한다.

7.11

시프트 레프트시프트 레프트

애자일 개발, 데브옵스, 보안 구현은 오랜 시간 동안 상호 배타적인 것으로 간주되어 왔다. 고

전적인 개발 작업이 매번 직면했던 문제 중 하나는 소프트웨어 제품의 보안을 최종적이고 정적

인 완료 상태로 온전하게 정의할 수 없다는 것이었다. 소프트웨어 개발의 보안 역설이라 불리

는 난제다.

애자일 개발은 짧은 주기를 반복하며 소프트웨어를 개발한다. 모든 과정이 너무나 역동적인 나

머지 각 개발 주기마다 상세한 보안 분석을 수행하기 어려워 보인다. 그러나 현실은 그 반대다.

애자일 방법론과 보안 개발 기법은 서로를 매우 잘 보완한다. 애자일 개발의 핵심 역량은 촉박

한 기간과 통보 간격 속에서 요구 사항을 구현하는 능력이다.

과거에는 보안을 정적인 프로세스로 간주하는 경향이 있었고, 이러한 시각을 고수한 채 애자

일 개념을 보안 영역에 적용하려 했다. 보안 요건을 효과적으로 구현하려면 보안 처리 과정이

일반적인 형태로 개발 과정에 적용되어야 한다. 그러나 애자일 개발은 기능 지향적인 방법론이

다. 역으로 보안 요건은 대부분 비기능 영역에 속하며 암묵적인 양식에 맞추어 구현되는 경우

가 많다. 보안 엔지니어링의 결함은 개발 주기 산정에 악영향을 미치며 시간적 압박을 발생시

킨다. 또한 ...