A.8.25
보안 개발 생명주기
기술적 통제확인사항 6증적 7사례 7
통제 목적
소프트웨어 및 시스템을 기획/설계/구현/시험/배포/유지보수하는 전 과정에 보안 활동을 내재화하여, 개발 산출물에 취약점이 유입되는 것을 예방하고 사후 조치 비용을 낮추기 위한 통제입니다. 보안 요구사항을 개발 초기부터 정의하고 단계마다 일관된 규칙과 검증 절차를 적용하면 설계에 의한 보안(security by design)과 기본값 보안(security by default)을 달성하는 데 도움이 됩니다. 개발 방법론(폭포수/애자일/DevOps)이나 자체개발/외주개발 여부와 무관하게 조직 전반에 일관되게 적용될 수 있어야 합니다.
주요 확인사항
- 보안 개발 생명주기(secure SDLC) 정책/규정이 문서화되어 있고 자체개발 및 외주개발에 일관되게 적용되는가?
- 요구사항/설계/구현/시험/배포/운영이관 등 각 단계에서 수행할 보안 활동과 통과 기준(보안 게이트)이 정의되어 있는가?
- 개발자 대상 보안 코딩 표준 및 교육이 제공되고 준수 여부가 점검되는가?
- 안전한 개발/형상관리 환경(버전관리, 접근통제, 빌드/배포 파이프라인)이 갖춰지고 통제되는가?
- 오픈소스/서드파티/외주 구성요소에 대한 보안 요건과 검증(라이선스, 취약점, SBOM 등)이 정의되어 있는가?
- 배포 전 보안성 검토/시험(위협모델링, 보안 코드 리뷰, 취약점 진단) 결과가 배포 승인에 반영되는가?
이행 지침
- SDLC 전 단계에 걸친 보안 활동, 역할/책임(R&R), 산출물, 통과 기준을 규정으로 정의하고 조직이 사용하는 개발 방법론(애자일/DevOps 포함)에 맞게 반영합니다.
- 기획/요구사항 단계에서 보안 및 개인정보보호 요구사항을 도출하고, 설계 단계에서 위협모델링 및 보안 아키텍처 검토를 수행합니다.
- 보안 코딩 표준(입력값 검증, 인증/인가, 세션/암호화, 오류처리, 안전한 로깅 등)을 수립하고 개발자 교육 및 준수 점검을 병행합니다.
- 정적분석(SAST), 동적분석(DAST), 소프트웨어 구성분석(SCA/오픈소스 취약점), 시크릿 스캔 등을 CI/CD 파이프라인에 통합하여 자동화합니다.
- 개발/시험/운영 환경을 분리하고, 형상/버전관리와 소스코드 접근통제를 갖추며 빌드/배포 산출물의 무결성(서명, 아티팩트 검증)을 확보합니다.
- 배포 전 보안 시험 결과를 위험에 따른 승인 기준과 대조합니다. 차단 대상 결함은 조치되고 재시험되었는지 확인하고, 허용 가능한 예외는 권한 있는 책임자의 잔여 위험 수용, 보완통제, 조치 기한과 만료일을 기록하여 추적합니다.
- 외주개발 시 계약에 보안 요구사항 및 검수 기준을 포함하고, 산출물의 보안성을 인수 시점에 검증합니다.
증적자료
- 보안 개발 생명주기 정책/규정 및 절차서
- 단계별 보안 활동 체크리스트 및 보안 게이트 통과 기록
- 보안 코딩 표준 문서 및 개발자 보안교육 이수 내역
- 위협모델링/보안 아키텍처 검토 산출물
- SAST/DAST/SCA 스캔 결과 및 조치 내역
- 배포 전 보안 시험(코드 리뷰, 취약점 진단, 모의침투) 보고서 및 배포 승인 기록
- 외주개발 계약서(보안 요구사항 포함) 및 인수 검수 결과
부적합 사례
- 보안 개발 생명주기 정책은 존재하나 실제 프로젝트에서는 개발 완료 후 배포 직전에만 보안 점검이 이루어지는 경우
- 보안 코딩 표준이 없거나, 있어도 개발자에게 공유/교육되지 않아 실제로 준수되지 않는 경우
- CI/CD 파이프라인에 보안 시험이 통합되지 않아 취약점이 있는 코드가 검증 없이 자동 배포되는 경우
- 오픈소스/서드파티 구성요소의 알려진 취약점 및 라이선스를 검증하지 않고 도입하는 경우
- 배포 차단 기준에 해당하는 결함이 조치되지 않았고, 권한 있는 예외 승인이나 보완통제도 없이 배포된 경우
- 외주개발 계약에 보안 요구사항이 없고 인수 시 보안성 검증이 수행되지 않은 경우
- 개발/시험/운영 환경 및 소스코드 접근권한이 분리/통제되지 않은 경우