데브섹옵스

데브섹옵스는 소프트웨어를 만드는 전체 과정 곳곳에 보안 검사를 심어두는 방식이다. 건물을 다 짓고 나서 한 번에 안전 검사를 받는 게 아니라, 기초 공사부터 배관, 전기, 마감까지 단계마다 검사관이 들여다보는 것과 비슷하다. 이름 자체도 개발(Dev)과 보안(Sec), 운영(Ops)을 붙여 만든 말이다.

예전에는 개발팀이 프로그램을 다 만든 뒤에야 보안팀이 검사에 들어갔다. 이 방식은 문제를 늦게 발견할수록 고치는 비용이 커진다는 단점이 있었다. 요즘은 여기에 AI 도구까지 코드 작성을 돕다 보니, AI가 짠 코드나 AI가 추천한 부품에 숨은 결함이 그대로 서비스에 흘러 들어갈 위험이 커졌다. 그래서 최근에는 코드를 저장하는 단계, 외부 부품을 가져오는 단계, 서버에 올리는 단계 하나하나에 자동 점검을 붙이는 흐름이 강조되고 있다.

결국 데브섹옵스는 특정 제품 이름이 아니라 일하는 방식이자 원칙에 가깝다. 보안을 마지막 관문이 아니라 처음부터 함께 가는 동반자로 취급하자는 발상이다.

기사에서는 "마이크로소프트는 제로 트러스트 워크숍에 DevSecOps 전용 필라를 신설했다"처럼 쓰인다. 여기서 오해하기 쉬운 점은 데브섹옵스가 어떤 소프트웨어 제품 이름이라고 생각하는 것인데, 실제로는 개발 전 과정에 보안 점검을 넣는 방법론이자 원칙을 가리키는 말이다. 마이크로소프트가 내놓은 것은 이 원칙을 실행하기 위한 점검 항목과 가이드다.