Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

이 글은 저자들이 제시한 발견과 주장에 엄격히 부합하도록, 간단한 언어와 창의적인 비유를 사용하여 해당 논문을 설명한 것입니다.

큰 그림: "고속도로" 대 "안전망"

집을 더 빠르게 짓고자 하는 건설 회사를 상상해 보세요. 그들은 두 가지 도구를 가지고 있습니다:

1. 데브옵스 (DevOps): 집을 짓고, 테스트하며, 빠르게 이동시키기 위해 원활하게 협력하는 숙련된 엔지니어 팀.
2. 로우코드 플랫폼 (LCDPs): "레고"와 같은 조립 키트 세트. 이 키트들은 전문 건축가가 아니더라도 (이를 '시민 개발자'라고 부름) 시멘트를 섞거나 벽돌을 손으로 쌓을 필요 없이 벽과 창문을 매우 빠르게 조립할 수 있게 해줍니다.

이 논문은 이러한 레고 키트를 전문 건설 현장 내부에서 사용했을 때 어떤 일이 발생하는지 탐구합니다. 저자들은 이를 "로우코드 역설"이라고 부릅니다.

역설: 레고 키트는 건축을 훨씬 더 빠르고 쉽게 만듭니다 (효율성). 하지만 동시에 도둑 (해커) 이 슬며시 들어올 수 있는 벽의 숨겨진 구멍들을 새로 만들어냅니다 (보안 위험).

저자들이 한 일 (방법론)

연구자들은 단순히 추측한 것이 아니라, 핀란드, 스페인, 중국에서 온 12 명의 숙련된 건설 관리자 및 엔지니어 (IT 전문가) 들과 직접 대화했습니다. 이 사람들은 수년 동안 전문적인 방법과 레고 키트 모두를 사용해 왔습니다.

그들은 이렇게 물었습니다: "이 빠른 레고 키트와 당신의 빠른 건설 프로세스를 섞을 때, 보안과 규정 측면에서 무엇이 잘못되나요?"

그들은 답변을 경청하고, 마치 형사가 단서를 맞춰 나가는 것처럼 공통된 패턴을 찾아냈습니다.

그들이 발견한 것 (결과)

1. "양날의 검"

전문가들은 로우코드가 양날의 검이라고 동의했습니다.

• 좋은 점: 지루한 작업을 자동화하고 팀이 앱을 더 빠르게 구축하도록 돕습니다. 마치 벽돌을 즉시 놓아주는 로봇 팔과 같습니다.
• 나쁜 점: 이러한 키트들이 다른 많은 도구들 (외부 전원이나 수도관과 같은) 과 연결되기 때문에 더 넓은 "공격 표면"을 만들어냅니다. 마치 집으로 들어오기 쉽게 하기 위해 100 개의 새로운 문과 창문을 추가하는 것과 같습니다. 이제 도둑이 침입할 수 있는 곳이 100 개나 더 늘어난 것입니다.

2. "그림자" 문제

주요 문제 중 하나는 섀도우 IT (Shadow IT) 입니다. 이는 직원들이 IT 보안 팀에 알리지 않고 자신들의 도구를 만들기 위해 이러한 레고 키트를 사용할 때 발생합니다.

• 비유: 건설 현장의 한 직원이 주 보안 요원에게 알리지 않고 스스로 만든 자물쇠로 측문 (비밀 문) 을 몰래 짓는 상황을 상상해 보세요. 보안 요원은 집이 안전하다고 생각하지만, 실제로는 잠금 장치가 풀린 뒷문이 있는 것입니다. 논문은 공격자들이 점점 더 이러한 승인되지 않은 도구들을 찾고 있다고 지적합니다.

3. "솔라윈즈"의 깨우침

연구자들은 공급망을 통해 대기업에 침입한 유명한 실제 해킹 사례 (솔라윈즈) 를 언급했습니다.

• 교훈: 레고 키트 제조업체가 "우리는 보안을 업데이트했습니다"라고 말한다고 해서 충분하지 않을 수 있습니다. 논문은 도구만 가지고 있는 것만으로는 부족하며, 정문뿐만 아니라 집 전체의 균열을 지속적으로 스캔해야 한다고 제안합니다.

4. 인간적 요소

전문가들은 이러한 도구들이 팀의 협업을 돕지만, 이를 사용하는 사람들이 종종 보안을 잊어버린다고 지적했습니다.

• 비유: 잡기 쉽다는 이유로 아이에게 전동 드릴을 주는 것과 같습니다. 그들은 빠르게 의자를 만들 수 있지만, 가스 배관을 뚫어 버렸다는 사실을 깨닫지 못할 수 있습니다. 논문은 이러한 사고를 막는 최선의 방법은 "사이버 위생" (기본적인 안전 습관) 이라고 말합니다.

제안된 해결책: "전체적 프레임워크"

저자들은 문제점만 지적한 것이 아니라, 이를 해결하기 위한 보안 프레임워크 (그들의 그림 2 에 표시됨) 를 구축했습니다. 그들은 세 가지 주요 전략을 제안합니다:

1. 자동화된 안전 점검 (시프트 레프트):
   집이 다 지어진 후 누수를 점검하는 대신, 레고 벽돌을 조립하는 도중에 누수를 점검합니다. 앱이 완성되기 전에 보안 구멍을 찾기 위해 자동화된 도구를 사용합니다.

2. 제로 트러스트 ("절대 신뢰하지 말고 항상 확인하라"는 규칙):
   고보안 은행을 상상해 보세요. 열쇠가 있더라도 문이 열릴 때마다 경비원이 ID 를 확인합니다. 논문은 소프트웨어에 이 원칙을 적용할 것을 제안합니다. 건물 내부의 요청이라도 모든 요청을 확인하고, 사람들은 최소한의 접근 권한만 부여받아야 합니다.

3. 적응형 거버넌스 (규칙집):
   누구나 이러한 키트로 만들 수 있으므로, 회사는 엄격한 규칙집이 필요합니다.

   • 샌드박싱: 사람들이 레고 키트로 놀 수 있도록 "샌드박스" (안전하고 격리된 영역) 를 제공하여, 무언가를 망가뜨리더라도 회사 전체가 마비되지 않도록 합니다.
   • 명명 규칙: 모든 사람이 파일과 폴더를 같은 방식으로 이름 붙이도록 하여, 무엇이든 분실되거나 혼동되지 않도록 합니다.
   • 벤더 점검: 새로운 레고 키트를 구매하기 전에 제조업체가 안전한지, 그리고 회사의 규칙을 따르는지 확인합니다.

결론

이 논문은 로우코드와 데브옵스가 강력한 조합이지만, 문화적 변화가 필요하다고 결론 내립니다.

도구를 구매하고 최선의 결과를 기대할 수는 없습니다. 조직은 다음을 수행해야 합니다:

• 이러한 새로운 도구를 전통적인 코딩과 동일한 seriousness (중요성) 로 대우해야 합니다.
• 100% 안전할 수는 없지만, 회복탄력성 (resilience) 을 가질 수 있음을 받아들여야 합니다.
• 보안 팀뿐만 아니라 모든 사람이 보안에 관심을 갖는 문화를 만들어야 합니다.

간단히 말해: 속도는 훌륭하지만, 빠르게 달리는 동안 문을 잠그지 않으면 모든 것을 잃게 됩니다. 논문은 올바른 규칙과 보안 우선의 사고방식을 통해 기업들이 해커에게 털리지 않고 로우코드의 속도를 즐길 수 있다고 주장합니다.