DevSecOps란 소프트웨어 개발(Dev)·보안(Sec)·운영(Ops)을 통합하여 CI/CD 파이프라인 전 단계에 보안을 자동화·내재화하는 방법론이다. 전통적으로 개발 완료 후 침투 테스트를 수행하는 보안 뒷문(Bolt-on Security) 방식은 취약점 발견 비용이 수십 배 높아지는 문제가 있다. Gartner는 2025년까지 신규 DevOps 이니셔티브의 90%가 DevSecOps로 발전할 것으로 예측했다.
Shift Left는 보안 활동을 소프트웨어 개발 라이프사이클(SDLC)의 가능한 한 초기 단계(왼쪽)로 이동하는 원칙이다. IBM 연구에 따르면 설계 단계에서 발견된 취약점 수정 비용은 운영 단계의 1/100 수준이다. 요구사항 정의→위협 모델링(STRIDE)→보안 코딩 가이드라인→자동화 보안 테스트의 순서로 내재화한다.
| 도구 유형 | 전체명 | 적용 단계 | 탐지 대상 | 대표 도구 |
|---|---|---|---|---|
| SAST | Static Application Security Testing | 코드 커밋·빌드 | SQL Injection, XSS 등 소스 취약점 | SonarQube, Semgrep |
| SCA | Software Composition Analysis | 빌드·패키지 | 오픈소스 라이브러리 CVE | Snyk, OWASP Dependency-Check |
| DAST | Dynamic Application Security Testing | 스테이징·QA | 런타임 취약점, 인증 우회 | OWASP ZAP, Burp Suite |
| IAST | Interactive Application Security Testing | 테스트 실행 | 에이전트 계측 기반 실시간 탐지 | Contrast Security, Seeker |
CI/CD 파이프라인에 보안 품질 게이트를 삽입하여 임계값 초과 취약점 발견 시 파이프라인 자동 중단(Fail Fast)한다. CRITICAL/HIGH CVE 0건, 소스코드 보안 버그 밀도 X 이하, 라이선스 컴플라이언스 통과 등의 기준을 코드(Policy as Code)로 정의해 JIRA 이슈 자동 생성과 연계한다.
DevSecOps는 도구 도입이 아닌 보안 책임의 민주화(개발자도 보안 책임 공유)를 핵심으로 한다. 성공을 위해서는 보안 챔피언(Security Champion) 제도, 자동화된 보안 피드백 루프, 개발팀 보안 교육 내재화의 3가지 조직·문화 전환이 기술적 자동화만큼 중요하다.
필기 시험의 접근통제 영역은 용어 하나만 알아도 풀리는 문제와 개념을 뒤집어 묻는 문제가 섞여 나옵니다.…
유튜브에 AI 자동 생성 영상이 넘쳐납니다. 진짜 크리에이터들은 어떻게 살아남아야 할까요? AI와 경쟁하는 3가지 생존…
이틀 전에 사이드카가 걸렸을 때만 해도 "한 번 놀란 장"으로 끝날 줄 알았는데요. 15일 아침…
오전 시황 글에 이어 장중 후속 정리입니다. 코스피는 개장 직후 5%대였던 낙폭이 오전 10시 전후에…
10월 15일 목요일 아침, 코스피가 전날 종가보다 5.59% 낮은 5,673.01로 출발했습니다. 장 시작 7분 만에…
삼성 갤럭시 AI, 써보니 실망스러웠다. 온디바이스 한계, 지역 제한, 낮은 일상 활용도 등 현실적인 문제점…