보안을 숫자로 관리해 보겠습니다! #우아콘2023 #우아한형제들

취약점 관리 전담자가 2019년 한 명, 2020년 두 명, 2022년 세 명으로 늘며 체계적 관리를 시작한 과정을 소개한다. 외부 기준을 그대로 쓰지 않고 자기 관점을 적용했는데, 발견된 취약점에 "취약점 등급" 을 매기고, 그 취약점이 발견된 서비스가 외부에서 접근 가능한지 내부에서만 가능한지, 그리고 고객 정보를 다루는지 등으로 "서비스 등급" 을 나눴다. 예를 들어 권한을 획득할 수 있는 IDOR 취약점이 배달의민족 앱과 약관 편집 어드민에서 동일하게 발견됐다고 하자. 두 경우 취약점 등급은 똑같이 "상"이지만, 앱은 외부 접근 가능·주문/결제/개인정보를 다뤄 높게, 약관 어드민은 내부 접근만·약관 텍스트만 다뤄 낮게 매긴다. 여기에 숫자를 입혀(취약점 등급 5, 외부 3·내부 1, 서비스 등급 5·1) 곱하면 위험 지수가 나오는데, 같은 IDOR이라도 앱은 75점, 약관 어드민은 5점으로 실제 위험에 차이 가 드러난다. 점수와 단계 수는 각자 나름대로 정하면 된다. 이렇게 취약점을 숫자로 표시할 수 있게 되니 가시화가 가능해졌다.

가시화를 시작해 2020년 위험 지수 그래프를 만들자 위험이 지속 감소하는 것이 눈으로 확인됐다. "발견한 취약점을 빨리 조치하자"를 목표로 그래프를 매주 회의에서 공유하며 점수를 낮춰 달라 요청하자, 2021년에는 조치가 빠를수록 기울기가 가팔라져 전년보다 급격히 떨어졌다(두 피크는 상·하반기 외부 정기 점검 반영 시점). 다음 목표 "작년보다 50% 감소된 피크"를 위해 정기 점검 전 사전 점검을 하고, 새 서비스는 오픈 전 취약점 진단·조치를 거치게 하는 문화를 만들어 2022년 약 50% 감소·위험 0 시점도 맞이했다. 이어 "피크 자체를 없애자"를 목표로 기획자·개발자에게까지 프로세스를 알리자 오픈 전 점검 요청이 많아져, 2023년에는 기존 피크가 사라지고 점선(위험 수준) 아래에서 점수가 움직이게 됐다. 최초 가시화부터 2023년까지 약 87.5%의 위험을 감소 시켰다. 이 수치들은 엑셀 수작업으로 관리하다 힘들어 시스템화(현재 베타)를 진행 중이며, 취약점 외에도 배달대행사 보안 준수·개인정보 흐름도·IT 감사·컴플라이언스·DH 시큐리티 프레임워크·ASM 등 여러 지표를 위험으로 변환해 관리한다. "측정할 수 없다면 관리할 수 없고, 관리할 수 없으면 개선할 수도 없다"는 문구를 인용하며, 나름의 기준으로 점수화해 측정·관리하면 개선이라는 목표를 이룰 수 있다는 당부로 마친다.