본 게시물에 링크된 자료를 기준으로 2026년 11월 4일에 최종 검토되었습니다.
풀 리퀘스트는 깔끔해 보입니다. 코딩 어시스턴트가 대부분을 작성했고, 테스트도 통과했으며, 팀원 중 누구도 들어본 적 없는 라이브러리가 추가되었습니다. 하지만 이를 병합하면 지난주에는 존재하지 않았던 패키지나 접근 권한 검사를 통과하지 못하는 엔드포인트가 배포될 수도 있습니다. 이것이 바로 개발자를 위한 보안 교육이 메워야 할 부분입니다. OWASP의 Top 10:2025는 취약한 접근 제어를 가장 먼저 지적하며 다음과 같이 보고합니다. 테스트한 애플리케이션의 100%에서 접근 제어 기능에 결함이 있었습니다..
이 목록은 엔지니어링 관리자와 보안 전문가를 위한 것입니다. 3개 그룹으로 나뉜 10개의 기성 교육 과정과 각 과정에서 해결하는 문제, 그리고 배포 방법을 제공합니다. 각 그룹은 최종적으로 완성됩니다. 우리의 선택법률적인 측면에서 보면, 이 부분은 미국 연방 규정에 관한 것이므로 판결문이 아닌 강의 계획서로 활용하시기 바랍니다.
10개 코스 전체를 한눈에 보기
| 코스 | 다루는 내용 | 길이 | 그 배후에 있는 법은 무엇일까요? |
|---|---|---|---|
| 안전한 AI 기반 소프트웨어 개발 | 코딩 어시스턴트, 에이전트 및 안전한 AI 코딩 루프 | 45 분 | 아니 |
| CERT 및 MISRA 표준을 준수하는 메모리 안전성 C 및 C++ 코드 | 수명, 포인터, 일반적인 결함 및 정적 분석 | 45 분 | 아니 |
| 동시성 안전성 | 스레드, 잠금, 경쟁 조건 및 교착 상태 | 40 분 | 아니 |
| 엔터프라이즈 플랫폼 개발자 온보딩 | 최초 안전 변경, 확장 및 변경 관리 | 45 분 | 아니 |
| 데이터 분류 및 처리 | 데이터의 레벨, 저장, 공유 및 폐기 | 25 분 | 아니 |
| 모두를 위한 AI 보안 | 섀도우 AI, 프롬프트 주입 및 알 수 없는 코드 패키지 | 30 분 | 아니 |
| 보안 인식 필수 사항 | 공격의 단계와 핵심 습관 | 35 분 | 예 (미국 금융기관 대상) |
| 피싱 및 소셜 엔지니어링 | 위험 신호, 검증 및 보고 | 30 분 | 아니 |
| 비밀번호, 패스키 및 다단계 인증 | 안전한 로그인, 다단계 인증(MFA), 암호 키 및 복구 | 30 분 | 아니 |
| 사회공학, 사기 및 딥페이크 | 전화 사기, 결제 사기, 신분 도용 사기 | 35 분 | 아니 |
미국 연방 규정에 명시된 것은 보안 인식 교육뿐이며, 그것도 일부 조직에만 해당됩니다. FTC 보호 조치 규정에 따르면 해당 금융 기관은 보안 인식 교육을 제공해야 합니다. 직원들을 대상으로 보안 인식 교육을 실시합니다.그것은 다른 모든 사람들을 위한 방향을 제시하지는 않습니다.
안전하고 안정적인 개발
안전한 AI 기반 소프트웨어 개발: 위험 부담 없는 코딩 도우미 및 에이전트
이 45분짜리 강좌는 공격으로 이어지는 환영 패키지 예시로 시작하여, 코딩 어시스턴트와 에이전트가 실패하는 6가지 방식, 안전한 AI 코딩 루프(프롬프트, 검사, 테스트, 공개), 고객 데이터의 회색 영역, 셸 명령어 및 테스트되지 않은 풀 리퀘스트, 그리고 풀 리퀘스트에 AI 사용 라벨이 부착된 승인된 도구에 대해 다룹니다. 마지막에는 80% 이상 득점해야 통과하는 12문항의 최종 점검 문제가 있습니다. "결함 찾기" 부분은 정답 선택 슬라이드로 활용하면 효과적입니다. 복습 자료는 다음을 참조하세요. AI 기반 코드 검토 교육 가이드.
CERT 및 MISRA 표준을 준수하는 메모리 안전성 C 및 C++ 코드
메모리 안전성 결함은 C와 C++에서 잘 알려진 취약점 유형입니다. 이 45분짜리 강좌는 잘못된 포인터 하나로 인한 크래시 사례부터 시작하여 스택, 힙 및 메모리 수명, 포인터와 배열, use after free와 같은 일반적인 결함, 실제 코딩 규칙 및 정적 분석 검토에 이르기까지 다룹니다. "결함 이름 맞추기" 문제는 팀 코드 검토 세션에서 자연스럽게 활용할 수 있는 정답 선택 코너입니다.
동시성 안전성: 스레드, 잠금 및 경쟁 조건
경쟁 조건은 모든 테스트를 통과하지만 실제 운영 환경에서는 오류가 발생하는 원인이 됩니다. 40분 분량의 이 강좌에서는 10번 실행될 때마다 오류가 발생하는 카운터를 예시로 들어 스레드, 프로세스, 비동기 프로그래밍, 락, 뮤텍스, 세마포어, 경쟁 조건과 교착 상태, 언어별 패턴 분석, 그리고 복습 체크리스트를 다룹니다. 마지막으로 "뮤텍스 또는 세마포어 선택" 시나리오를 통해 백엔드 개발자들이 자신의 지식을 빠르게 점검할 수 있도록 합니다.
엔터프라이즈 플랫폼 개발자 온보딩: 비즈니스 플랫폼으로의 첫 번째 안전한 전환
설정 가능한 비즈니스 플랫폼에서 새로 개발하는 사람들은 첫 번째 변경 작업에서 종종 문제를 일으킵니다. 이 45분 과정은 실제 운영 중인 구성에 대한 첫 번째 변경, 플랫폼 개념, 보고서 및 처리, 확장 기능 및 구성 저장소, 변경 관리, 인수인계 노트 작성에 대해 다룹니다. 신입 사원이 벤더 객체를 건드리기 전, 입사 첫 주에 이 과정을 활용하세요.
저희의 추천: 안전한 AI 기반 소프트웨어 개발. 현재 많은 팀들이 어시스턴트가 작성한 코드를 배포하고 있으며, 이 과정은 해당 코드를 병합하기 전에 따라야 할 한 가지 절차를 제공합니다.
데이터 및 AI 도구 보안
데이터 분류 및 처리
개발자들은 운영 데이터를 테스트 시스템으로 복사하고 채팅으로 로그를 공유합니다. 이 25분 과정에서는 기밀 분류의 존재 이유, 회사 내 분류 체계, 데이터 라벨링, 저장, 공유 및 폐기 시 허용되는 사항과 허용되지 않는 사항, 위험 신호, 그리고 문제 발생 시 보고 절차에 대해 다룹니다. 마지막에는 10문항으로 구성된 최종 점검이 있으며, 80% 이상 득점해야 합격입니다. "기밀 데이터는 어디에 저장해야 합니까?"는 빠르게 답을 선택할 수 있는 문제입니다.
모두를 위한 AI 보안: 섀도우 AI, 프롬프트 주입 및 조작된 출력
프롬프트 주입 및 알 수 없는 코드 패키지는 코딩 도우미에 직접적인 영향을 미칩니다. 이 30분 과정에서는 섀도우 AI 및 손상된 챗봇, 프롬프트 주입 및 악성 콘텐츠, PDF 및 이메일에 숨겨진 지침, 무료 AI 확장 프로그램 및 알 수 없는 코드 패키지, 그리고 사고 보고 또는 승인된 도구 요청 방법에 대해 다룹니다. "현재 편집기에서 사용하는 AI 도구는 무엇입니까?"라는 주제의 워드 클라우드를 통해 정책에 포함해야 할 항목을 확인할 수 있습니다.
추천 기능: 데이터 분류 및 처리. 챗봇에 스택 트레이스를 붙여넣는 것은 데이터 유출이며, 이 짧은 강좌에서는 그러한 일이 발생하기 전에 각 단계를 명확히 설명합니다.
계정 및 피싱 방어
보안 인식 필수 사항
개발자는 소스 코드, 기밀 정보 및 파이프라인 접근 권한을 보유하고 있으므로 기본 보안 수준이 그들에게는 더욱 중요합니다. 이 35분 과정은 공격 대상의 이유, 공격의 구조, 위험 신호, 자기 보호 방법, 대응 및 보고 방법을 다루며, 12문항의 최종 평가를 통해 80% 이상의 점수를 받아야 통과할 수 있습니다. 금융 기관의 경우, 이 과정은 FTC 보호 조치 규칙에서 요구하는 보안 인식 교육 요건을 충족하는 간편한 방법입니다. 다만, 해당 규칙 자체에는 구체적인 교육 과정이 명시되어 있지 않습니다.
피싱 및 소셜 엔지니어링
개발자들이 저장소 및 클라우드 자격 증명을 노리는 피싱 공격을 당합니다. 이 30분 과정에서는 공격 구성 방식, 위험 신호, 자기 방어 방법, 신고 방법을 설명하며, 12문항으로 구성된 최종 평가를 통해 80% 이상의 점수를 획득해야 통과할 수 있습니다. 실습 자료에 가짜 코드 호스팅 로그인 페이지 예시를 추가하세요. 보안 운영 센터(SOC)는 개발자들이 신고한 내용을 분류합니다. 자세한 내용은 다음을 참조하세요. SOC 분석가 교육 목록.
직원용 비밀번호, 패스키 및 다단계 인증
개발자 계정은 코드와 파이프라인을 보호하므로 강력한 인증이 필요합니다. 이 30분 과정에서는 계정이 공격 대상이 되는 이유, 강력하고 고유한 로그인, 다단계 인증 및 암호 키, 가짜 로그인 페이지, 그리고 공유, 바로가기 및 복구의 회색 영역에 대해 다룹니다. "귀하의 계정 중 몇 개에 다단계 인증(MFA)을 사용하고 있습니까?"라는 질문에 대한 답변을 통해 솔직한 대화를 시작해 보세요.
사회공학, 사기 및 딥페이크: 전화 사기, 결제 사기 및 신분 도용 사기
사칭 사기는 접근 승인이나 배포 권한을 가진 엔지니어를 대상으로 합니다. 이 35분짜리 강좌에서는 그럴듯한 요청을 분석하고, 사기 수법, 아는 사람을 통한 신원 확인, 가짜 음성 및 영상, 그리고 직급과 기밀 유지가 증거가 아닌 압력의 수단인 이유를 설명합니다. "이 접근 권한을 승인하시겠습니까?"라는 시나리오를 통해 정답을 고르는 연습을 할 수 있습니다.
추천 솔루션: 직원용 비밀번호, 패스키 및 다단계 인증. 개발자 로그인 정보 하나만 도난당해도 전체 파이프라인에 접근할 수 있으며, 패스키는 피싱 공격에 대한 저항력을 가지고 있어 도난당한 비밀번호만으로는 더 이상 접근할 수 없습니다.
계획을 실행하는 방법
가장 흔한 결함이 발생하는 부분부터 시작하세요. 접근 제어 오류는 다음과 같은 곳에서 발견됩니다. 모든 애플리케이션은 OWASP의 데이터로 테스트되었습니다.안전한 코딩 교육 과정은 슬라이드만 보는 것이 아니라 복습 습관을 함께 병행해야 합니다.
- 신입 개발자의 첫 주: 보안 인식 필수 사항, 비밀번호, 패스키 및 MFA, 데이터 분류, 그리고 팀이 기존 플랫폼을 기반으로 교육을 진행하는 경우 해당 플랫폼 온보딩 과정 등이 포함됩니다.
- 첫 달 이내에: 안전한 AI 지원 개발, 모두를 위한 AI 보안, 그리고 팀에서 사용하는 언어에 맞는 메모리 안전성 또는 동시성 교육 과정을 제공합니다.
- 매년: 각 과정에 대한 복습 퀴즈와 더불어 새로운 보조원이나 상담원이 승인될 때마다 AI 과정을 이수해야 합니다.
- 해당되는 경우: 귀사가 규제 대상 금융기관이라면 FTC 보호 조치 규칙에 명시된 대로 보안 인식 교육을 최신 상태로 유지하고, 해당 국가 또는 주에서 적용되는 다른 사항이 있는지 법률 고문에게 문의하십시오.
이러한 강좌를 운영하는 방법 AhaSlides
이 모든 것을 자기 주도 학습 과정으로 만들 수 있습니다. AhaSlides 강좌 제작자는 실시간 질의응답 세션 자료로 강좌를 진행하거나, 또는 두 가지 모두를 활용할 수 있으며, 강좌 종료 후 설문조사와 30일 후 점검을 통해 어떤 변화가 있었는지 확인할 수 있습니다.
- 답변 선택: 강의에서 발췌한 코드 조각을 보여주고, 그 코드에 숨겨진 결함이 무엇인지 질문하세요.
- 단어 구름: "보조자가 작성한 코드를 병합하기 전에 무엇을 확인하시나요?"라고 질문하고, 그 답변을 안전한 AI 코딩 루프와 비교하세요.
- 평가 척도: 검토 전후에 "검토 과정에서 레이스 조건을 얼마나 확신하십니까?"라고 1부터 5까지 점수를 매겨 질문하십시오.
- 개방형: 라이브 세션이 끝날 때 마지막 스프린트에서 발생한 아찔한 순간들을 익명으로 수집합니다.
FAQ
개발자에게 필요한 보안 교육은 무엇인가요?
개발자는 안전한 코딩, 의존성 및 비밀 정보 관리, 그리고 AI 코딩 도구의 안전한 사용법을 알아야 합니다. 위의 과정들은 이러한 사항들을 다룰 뿐만 아니라 모든 직원이 알아야 할 기본적인 인식 교육도 포함합니다.
인공지능이 생성한 코드는 안전한가요?
기본적으로는 그렇지 않습니다. 다른 코드와 마찬가지로 검토, 테스트 및 스캔 과정을 거쳐야 하며, 제안된 모든 패키지가 존재하고 승인되었는지 확인해야 합니다.
메모리 안전성이란 무엇인가요?
메모리 안전성은 공격자가 악용하는 버퍼 오버플로 및 해제 후 사용(use after free)과 같은 오류를 방지하는 것입니다. C와 C++에서는 이를 위해 규칙과 정적 분석이 필요합니다.
개발자는 보안 관련 재교육을 얼마나 자주 받아야 할까요?
프레임워크, 도구 또는 위협 요소가 변경될 경우 간단한 업데이트를 포함하여 1년에 한 번씩 게시됩니다.
이 글은 일반적인 정보 제공을 목적으로 하며 법률 자문이 아닙니다. 귀하의 직장과 관련된 결정을 내리시려면 자격을 갖춘 변호사 또는 규제 기관에 문의하십시오.
