생성형 AI를 활용한 코딩이 보편화되며 개발자들은 빠르게 코드를 작성할 수 있게 됐습니다. 가트너는 2027년까지 개발자의 70%가 AI 기반 코딩 도구를 사용할 것이라고 전망했습니다.
그러나 AI는 학습된 데이터를 바탕으로 코드를 생성하기 때문에, 과거의 취약점이나 보안 약점도 함께 학습할 수 있습니다. AI가 생성한 코드에 의도치 않게 보안 취약점이 포함될 수 있으며, 이를 사전에 조치하지 못할 경우 많은 수정 비용과 시간이 듭니다. 위험을 최소화하기 위해서는 개발 중 코드 작성 단계에서 바로 취약점을 인지하고 수정할 수 있는 환경이 필요합니다.
현대 개발 환경에서는 소프트웨어의 새로운 기능이나 수정 사항을 짧은 주기로 자주 배포합니다. 이에 보안에 충분한 시간과 자원을 투입하기 어려운 경우가 많으며, 보안 취약점이 발견되지 않은 채 운영 환경에 배포될 위험이 있습니다.
포레스터(Forrester)의 ‘2024 State of Application Security’ 보고서에서는 CI/CD 파이프라인에 시큐어 코딩 도구(SAST)를 포함한 애플리케이션 보안 도구를 연동해 코드 커밋 시 자동으로 취약점을 분석하는 환경을 만들 것을 권고합니다. 실제로 보안 의사결정권자의 64%는 시큐어 코딩 도구(SAST)가 포함된 애플리케이션 보안 예산을 증액했다고 답했습니다.
이제는 개발 속도를 늦추지 않으면서도 보안을 강화할 수 있도록, 소스 코드 작성과 동시에 취약점을 자동으로 점검하고 조치할 수 있는 환경이 필요합니다.
시큐어 코딩은 법령이나 규제에 의해 의무화된 보안 활동입니다. 소프트웨어 개발 보안 의무제 실시에 따라 행정 및 공공기관의 정보시스템 구축 시에는 ‘소프트웨어 보안약점 진단 가이드’를 반드시 준수해야 합니다. 또한 무기체계 소프트웨어 개발 지원에 관한 규정에서는 소스 코드 취약점 점검 활동을 필수적으로 명시하고 있으며, 무기체계 소프트웨어 코딩 규칙에 따라 소스 코드를 작성하고, CWE(Common Weakness Enumeration) 목록을 기준으로 취약점을 점검해야 합니다. 전자금융감독규정 역시 개발 초기 단계부터 보안을 고려해야 함을 강조하고 있습니다. 이 뿐만 아니라 다양한 법령이나 규제에서 지속적으로 소스 코드 수준의 보안을 명확히 요구하고 있어 이를 체계적으로 점검할 수 있는 기반을 마련해야 합니다.
IDE 환경에 플러그인을 연동해 코드 작성 중 실시간 취약점 분석과 자동 검출을 수행하며, 보안 이슈 발생 시 즉각적인 기술 피드백 및 수정 가이드를 제공해 코드 품질과 보안 수준을 동시에 확보할 수 있습니다. Java, C/C++, C#, JavaScript, Python 등 25개 이상의 프로그래밍 언어를 지원하며, Eclipse, IntelliJ, Visual Studio, VSCode, Android Studio 등 다양한 IDE에서 개발자 작업 흐름을 방해하지 않고 보안을 내재화할 수 있도록 설계되어 있습니다.
Jenkins, GitHub Actions, GitLab CI 등 주요 CI/CD 도구와 연동하여 소스 코드 변경 시 자동으로 보안 점검을 수행하고, 설정된 보안 기준을 만족하지 못할 경우 빌드 또는 배포를 차단합니다. 보안 점검 결과를 이관 제어 시스템 또는 협업 도구와 연계함으로써, 개발 흐름을 방해하지 않으면서도 점검 결과에 대한 투명한 전달과 후속 조치가 가능하며, 수시 점검으로 조기에 오류나 취약점을 발견할 수 있습니다.
전자금융감독규정, 소프트웨어 보안약점 진단가이드, CWE Top 25, OWASP Top 10 등 주요 보안 컴플라이언스 항목에 기반한 정책을 적용하여 취약점을 분석하고, 점검 기준을 세분화해 항목별 대응 여부를 명확히 구분합니다. 점검 결과는 컴플라이언스 항목과 직접 매핑되며, 보고서 형태로 출력 가능해 외부 감사, 인증 평가, 고객 요구 사항 대응 시 보안 이행 증적 자료로 활용할 수 있습니다.
내부에서 서버를 구축해 단일 플랫폼에서 취약점을 분석하고 통합관리할 수 있습니다.
검출 규칙 선택, 결재선 설정 등 다양한 관리 기능으로 취약점 조치를 효율화하고 싶은 조직에 적합합니다.
공공기관도 클라우드로 보안 취약점을 분석할 수 있도록 CSAP 인증을 획득했습니다.
이용 기관에 최적화된 망 분리 정책을 지원해 민간 SaaS를 활용하고 싶은 공공기관에 적합합니다.
웹 상에서 회원가입만으로 취약점 분석이 가능한 클라우드 서비스로, 관리 기능을 간소화해 전문 보안 인력과 예산이 부족한 소규모 기업에 적합합니다.
스패로우의 취약점 분석 엔진을 보안 시스템과 연동해 사용할 수 있도록 API를 제공합니다.
직접 사용 외에도 계약을 통해 취약점 분석 서비스 재판매도 가능합니다.
회사는 개인정보처리방침을 통하여 고객님께서 제공하시는 개인정보가 어떠한 용도와 방식으로 이용되고 있으며, 개인정보보호를 위해 어떠한 조치가 취해지고 있는지 알려드립니다. 회사는 개인정보처리방침을 개정하는 경우 웹사이트 공지사항(또는 개별공지)을 통하여 공지할 것입니다.
본 방침은 2024년 1월 2일부터 시행됩니다.
수집하는 개인정보 항목 회사는 상담, 서비스 신청 등을 위해 아래와 같은 개인정보를 수집하고 있습니다. 회사는
수집한 개인정보를 다음의 목적을 위해 활용합니다.
귀하가 개인정보의 오류에 대한 정정을 요청하신 경우에는 정정을 완료하기 전까지 당해 개인정보를 이용 또는 제공하지 않습니다. 또한 잘못된 개인정보를 제3자 에게 이미 제공한 경우에는 정정 처리결과를 제3자에게 지체없이 통지하여 정정이 이루어지도록 하겠습니다.
회사는 이용자 혹은 법정 대리인의 요청에 의해 해지 또는 삭제된 개인정보는 “회사가 수집하는 개인정보의 보유 및 이용기간”에 명시된 바에 따라 처리하고 그 외의 용도로 열람 또는 이용할 수 없도록 처리하고 있습니다.
고객은 위 목적으로 운영되는 맞춤
서비스를 원치 않을 시, 쿠키의 저장을 거부할 수 있습니다.
회사는 원칙적으로 개인정보 수집 및 이용목적이 달성된 후에는 해당 정보를 지체없이 파기합니다. 파기절차 및 방법은 다음과 같습니다.
개인정보 침해신고센터: (국번없이)118 (privacy.kisa.or.kr) 개인정보 분쟁조정위원회: (국번없이) 1833-6972 (www.kopico.go.kr) 대검찰청 사이버수사과 : (국번없이)1301 (www.spo.go.kr) 경찰청 사이버수사국 : (국번없이)182 (https://police.go.kr)
