주요 성과
Shift-Left 보안 전략으로 개발자 생산성 향상
Pull Request(PR) 스캔을 도입해 개발자가 개발 초기 단계에서 취약점을 발견하고 수정할 수 있도록 지원했습니다. 그 결과, 릴리스 직전 발생하던 보안 병목 현상이 사라졌으며, 대부분의 취약점은 추가적인 작업 부담 없이 해결할 수 있게 되었습니다.
빠른 온보딩으로 즉시 전체 코드베이스 보호
수많은 코드 저장소에 있는 모든 소프트웨어를 단 며칠 만에 온보딩했습니다. 또한 Snyk IDE의 실시간 추천 기능을 활용해 취약점 수정 시간을 몇 초 수준으로 단축했습니다.
높은 정확도, 낮은 노이즈
실제로 대응이 필요한 보안 이슈만 선별해 제공함으로써 개발팀의 신뢰를 빠르게 확보했고, 자연스럽게 전사적인 도입으로 이어졌습니다.
TechnologyOne은 단순한 글로벌 SaaS ERP(Enterprise Resource Planning) 기업이 아닙니다. 외부 개발사나 컨설턴트에 의존하지 않고 모든 소프트웨어를 직접 개발하고, 배포하며, 운영하는 기업입니다. 이러한 엔드투엔드(End-to-End) 개발 방식은 TechnologyOne만의 차별화된 경쟁력이자 고객에게 높은 가치를 제공하는 핵심 요소입니다.
또한 고객이 서비스를 사용한 기간이 6개월이든 20년이든 관계없이, 고객의 보안을 최우선으로 생각하는 'Care Non-Stop' 문화를 실천하고 있습니다.
TechnologyOne의 보안 운영 및 엔지니어링 책임자인 Nick Baker와 보안 및 컴플라이언스 프로그램 총괄인 Chris Polkinghorne은 이러한 높은 신뢰 수준을 유지하면서도 개발팀의 속도를 높이기 위해서는 애플리케이션 보안(AppSec) 체계를 근본적으로 혁신해야 한다는 점을 인식했습니다.
부족한 가시성과 개발 병목 현상
TechnologyOne은 과거 오픈소스 도구와 자체 개발한 정적 코드 분석(SCA) 도구를 함께 사용하고 있었습니다.
하지만 자체 도구는 대부분 .NET 기반 코드에 맞춰 설계되어 있었기 때문에 새로운 플랫폼이나 기술을 지원하지 못했습니다. 초기에는 기본적인 보안 요구사항을 충족했지만, 시간이 지나면서 엔지니어링 조직의 생산성을 저해하는 요소가 되었습니다.
Nick Baker는 다음과 같이 설명합니다.
"우리 소프트웨어 대부분이 .NET 기반이었기 때문에 지원 범위가 매우 제한적이었습니다. 새로운 플랫폼과 기술을 지원할 수 있는 도구가 없었습니다."
기존 도구는 불필요한 경고도 지나치게 많았습니다.
"한 보고서는 '수천 일에 달하는 기술 부채'가 있다고 분석했습니다. 하지만 실제로는 오탐(False Positive)이 너무 많아 제품팀과 건설적인 논의를 진행하기 어려웠습니다."
더 큰 문제는 보안 이슈가 제품 출시 직전에야 발견된다는 점이었습니다.
Nick은 당시를 이렇게 회상합니다.
"개발자는 제품을 배포하기 직전까지 보안 문제를 확인할 수 없었습니다. 보안 이슈가 발견되면 다시 수정하고, 빌드하고, 테스트하는 전체 과정을 반복해야 했죠."
대규모 제품에서는 단 하나의 수정만으로도 수 시간의 추가 작업이 발생했습니다.
"어떤 소프트웨어는 빌드하는 데만 30분이 걸립니다. 하나의 취약점을 수정하기 위해 빌드를 세 번 반복하면 90분이 그대로 사라집니다."
결국 TechnologyOne은 개발자가 더 이른 시점에서, 더 자주, 그리고 자신의 개발 환경 안에서 보안 피드백을 받을 수 있는 환경이 필요했습니다.
요구사항은 명확했습니다.
해결책: 협업 중심의 높은 정확도를 제공하는 Snyk
TechnologyOne이 새로운 솔루션을 평가하면서 가장 중요하게 고려한 요소는 다음과 같았습니다.
높은 정확도(High Signal), 낮은 노이즈(Low Noise)
실제 대응이 필요한 이슈만 제공할 것
폭넓은 언어 지원
.NET뿐 아니라 Node.js, Python, Go 등 다양한 개발 환경을 지원할 것
포괄적인 보안 분석
오픈소스 의존성 분석(SBOM)과 정적 코드 분석을 모두 지원할 것
확장성
수천 개의 코드 저장소까지 무리 없이 확장 가능할 것
Snyk는 기술적인 적합성뿐 아니라 협업 방식에서도 높은 평가를 받았습니다.
Nick은 이렇게 말합니다.
"초기 미팅부터 단순한 제품 소개가 아니라 실제 문제를 함께 해결하는 자리였습니다. 첫날부터 협업 파트너라는 느낌을 받았습니다."
Snyk 도입도 매우 빠르게 진행되었습니다.
TechnologyOne은 단 며칠 만에 모든 코드 저장소를 Snyk에 연결했고, 즉시 전체 코드베이스에 대한 보안 가시성을 확보했습니다.
"몇 주, 몇 달이 아니라 단 며칠 만에 전체 환경을 보호할 수 있었습니다."
파트너십은 제품 지원에서도 이어졌습니다.
제품팀이 기술적인 문제를 겪었을 때 Snyk 엔지니어는 이미 해결 방안을 준비해왔고, 프로젝트가 중단되지 않도록 적극 지원했습니다.
"정말 인상적이었습니다. 제품팀도 대응 방식에 매우 만족했습니다."
도입 효과: 더 빠른 개발, 더 높은 신뢰
개발 조직 규모가 4명이든 400명이든 빠르게 성과를 얻는 것은 중요합니다.
Snyk를 도입한 이후 보안팀은 각 팀을 일일이 관리하지 않아도 개발 조직 전체가 안전한 개발 프로세스를 따르고 있다는 사실을 데이터로 확인할 수 있게 되었습니다.
Chris는 이렇게 설명합니다.
"우리는 개발팀이 빠르게 개발하면서도 안전하기를 바랍니다. 그것은 절대 타협할 수 없는 원칙입니다. Snyk는 개발팀이 빠른 속도를 유지하면서도 올바른 보안 활동을 수행하고 있다는 신뢰를 제공했습니다."
이는 TechnologyOne이 고객에게 약속하는 "안전하고 신뢰할 수 있는 혁신"이라는 가치와도 일치합니다.
기존의 비효율적이고 노이즈가 많던 도구를 Snyk로 교체하면서 TechnologyOne은 방대한 코드베이스 전체에 대한 가시성을 확보했고, 취약점 수정 시간도 획기적으로 단축했습니다.
Shift-Left 보안 실현, 개발자 경험 개선
Pull Request 스캔은 하루 만에 적용되었습니다.
Nick은 다음과 같이 말합니다.
"기능을 활성화하자마자 개발자들의 업무가 훨씬 편해졌습니다."
이러한 Shift-Left 전략은 단순한 개념이 아니라 실제 개발 프로세스의 가장 큰 비효율을 제거했습니다.
과거에는 릴리스 직전 보안 피드백 때문에 수 시간의 빌드와 테스트를 반복해야 했지만, 이제는 개발자가 IDE 안에서 코드 작성과 동시에 취약점과 수정 방법을 확인할 수 있습니다.
Chris는 이렇게 설명합니다.
"Snyk IDE에서는 개발자가 문제가 있는 코드를 바로 확인하고, 추천되는 수정 방법을 적용한 뒤 몇 초 만에 다음 작업으로 넘어갈 수 있습니다."
보안을 개발의 장애물이 아닌 촉진 요소로
Snyk는 보안 피드백을 개발자의 기존 워크플로에 자연스럽게 통합하면서 보안을 '막는 조직'이 아닌 '개발을 돕는 조직'으로 변화시켰습니다.
TechnologyOne의 보안 문화 역시 일반적인 기업과는 다릅니다.
Snyk와의 협업을 통해 애플리케이션 보안은 개발 속도를 늦추는 요소가 아니라 개발 품질과 속도를 동시에 높여주는 핵심 요소로 자리 잡았습니다.
Chris는 이렇게 말합니다.
"우리는 보안팀이지만 개발을 가능하게 만드는 조직이 되고 싶습니다. 대부분의 답은 '안 됩니다'가 아니라 '조건을 만족하면 가능합니다'입니다."
이처럼 빠르면서도 안전한 개발 문화는 TechnologyOne이 뛰어난 기업으로 평가받는 이유 중 하나입니다.
앞으로의 계획: Snyk Learn으로 개발자 보안 역량 강화
TechnologyOne의 다음 목표는 Snyk Learn을 활용해 개발팀별 맞춤형 보안 교육을 제공하는 것입니다.
목표는 안전한 코딩을 개발자의 자연스러운 습관으로 만드는 것입니다.
Chris는 다음과 같이 설명합니다.
"수백 명의 개발자가 서로 다른 플랫폼과 기술 스택에서 일하는 환경에서는 모두에게 효과적인 교육을 만드는 것이 쉽지 않습니다. 과거 교육은 특정 제품에만 맞춰져 있거나 너무 일반적인 내용이라 실제 업무와 연결되지 않는 경우가 많았습니다."
Nick 역시 Snyk Learn의 장점을 강조합니다.
"Snyk Learn은 각 팀이 사용하는 기술 스택에 맞춘 교육 콘텐츠를 제공합니다. 그래서 교육 효과가 높습니다. 누구도 획일적인 교육을 좋아하지 않습니다. Snyk Learn은 관련성이 높고, 흥미롭고, 실제 업무에 도움이 됩니다."
TechnologyOne은 Snyk를 소프트웨어 개발 생명주기(SDLC)의 모든 단계에 통합함으로써 Secure by Design 문화를 구축했습니다.
그 결과 개발자는 더 빠르게 개발하면서도 자신감을 갖고 코드를 작성할 수 있게 되었으며, TechnologyOne은 속도와 보안은 서로 경쟁하는 요소가 아니라 함께 성장하는 요소라는 사실을 입증했습니다.
https://www.softwidesec.com/Snyk
스닉(Snyk)에 대한 상세 정보 및 소개자료는 소프트와이드시큐리티로 문의부탁드립니다.
주요 성과
Shift-Left 보안 전략으로 개발자 생산성 향상
Pull Request(PR) 스캔을 도입해 개발자가 개발 초기 단계에서 취약점을 발견하고 수정할 수 있도록 지원했습니다. 그 결과, 릴리스 직전 발생하던 보안 병목 현상이 사라졌으며, 대부분의 취약점은 추가적인 작업 부담 없이 해결할 수 있게 되었습니다.
빠른 온보딩으로 즉시 전체 코드베이스 보호
수많은 코드 저장소에 있는 모든 소프트웨어를 단 며칠 만에 온보딩했습니다. 또한 Snyk IDE의 실시간 추천 기능을 활용해 취약점 수정 시간을 몇 초 수준으로 단축했습니다.
높은 정확도, 낮은 노이즈
실제로 대응이 필요한 보안 이슈만 선별해 제공함으로써 개발팀의 신뢰를 빠르게 확보했고, 자연스럽게 전사적인 도입으로 이어졌습니다.
TechnologyOne은 단순한 글로벌 SaaS ERP(Enterprise Resource Planning) 기업이 아닙니다. 외부 개발사나 컨설턴트에 의존하지 않고 모든 소프트웨어를 직접 개발하고, 배포하며, 운영하는 기업입니다. 이러한 엔드투엔드(End-to-End) 개발 방식은 TechnologyOne만의 차별화된 경쟁력이자 고객에게 높은 가치를 제공하는 핵심 요소입니다.
또한 고객이 서비스를 사용한 기간이 6개월이든 20년이든 관계없이, 고객의 보안을 최우선으로 생각하는 'Care Non-Stop' 문화를 실천하고 있습니다.
TechnologyOne의 보안 운영 및 엔지니어링 책임자인 Nick Baker와 보안 및 컴플라이언스 프로그램 총괄인 Chris Polkinghorne은 이러한 높은 신뢰 수준을 유지하면서도 개발팀의 속도를 높이기 위해서는 애플리케이션 보안(AppSec) 체계를 근본적으로 혁신해야 한다는 점을 인식했습니다.
부족한 가시성과 개발 병목 현상
TechnologyOne은 과거 오픈소스 도구와 자체 개발한 정적 코드 분석(SCA) 도구를 함께 사용하고 있었습니다.
하지만 자체 도구는 대부분 .NET 기반 코드에 맞춰 설계되어 있었기 때문에 새로운 플랫폼이나 기술을 지원하지 못했습니다. 초기에는 기본적인 보안 요구사항을 충족했지만, 시간이 지나면서 엔지니어링 조직의 생산성을 저해하는 요소가 되었습니다.
Nick Baker는 다음과 같이 설명합니다.
"우리 소프트웨어 대부분이 .NET 기반이었기 때문에 지원 범위가 매우 제한적이었습니다. 새로운 플랫폼과 기술을 지원할 수 있는 도구가 없었습니다."
기존 도구는 불필요한 경고도 지나치게 많았습니다.
"한 보고서는 '수천 일에 달하는 기술 부채'가 있다고 분석했습니다. 하지만 실제로는 오탐(False Positive)이 너무 많아 제품팀과 건설적인 논의를 진행하기 어려웠습니다."
더 큰 문제는 보안 이슈가 제품 출시 직전에야 발견된다는 점이었습니다.
Nick은 당시를 이렇게 회상합니다.
"개발자는 제품을 배포하기 직전까지 보안 문제를 확인할 수 없었습니다. 보안 이슈가 발견되면 다시 수정하고, 빌드하고, 테스트하는 전체 과정을 반복해야 했죠."
대규모 제품에서는 단 하나의 수정만으로도 수 시간의 추가 작업이 발생했습니다.
"어떤 소프트웨어는 빌드하는 데만 30분이 걸립니다. 하나의 취약점을 수정하기 위해 빌드를 세 번 반복하면 90분이 그대로 사라집니다."
결국 TechnologyOne은 개발자가 더 이른 시점에서, 더 자주, 그리고 자신의 개발 환경 안에서 보안 피드백을 받을 수 있는 환경이 필요했습니다.
요구사항은 명확했습니다.
불필요한 경고 줄이기
다양한 언어와 프레임워크 지원 확대
개발자가 즉시 활용할 수 있는 실질적인 보안 피드백 제공
해결책: 협업 중심의 높은 정확도를 제공하는 Snyk
TechnologyOne이 새로운 솔루션을 평가하면서 가장 중요하게 고려한 요소는 다음과 같았습니다.
높은 정확도(High Signal), 낮은 노이즈(Low Noise)
실제 대응이 필요한 이슈만 제공할 것
폭넓은 언어 지원
.NET뿐 아니라 Node.js, Python, Go 등 다양한 개발 환경을 지원할 것
포괄적인 보안 분석
오픈소스 의존성 분석(SBOM)과 정적 코드 분석을 모두 지원할 것
확장성
수천 개의 코드 저장소까지 무리 없이 확장 가능할 것
Snyk는 기술적인 적합성뿐 아니라 협업 방식에서도 높은 평가를 받았습니다.
Nick은 이렇게 말합니다.
"초기 미팅부터 단순한 제품 소개가 아니라 실제 문제를 함께 해결하는 자리였습니다. 첫날부터 협업 파트너라는 느낌을 받았습니다."
Snyk 도입도 매우 빠르게 진행되었습니다.
TechnologyOne은 단 며칠 만에 모든 코드 저장소를 Snyk에 연결했고, 즉시 전체 코드베이스에 대한 보안 가시성을 확보했습니다.
"몇 주, 몇 달이 아니라 단 며칠 만에 전체 환경을 보호할 수 있었습니다."
파트너십은 제품 지원에서도 이어졌습니다.
제품팀이 기술적인 문제를 겪었을 때 Snyk 엔지니어는 이미 해결 방안을 준비해왔고, 프로젝트가 중단되지 않도록 적극 지원했습니다.
"정말 인상적이었습니다. 제품팀도 대응 방식에 매우 만족했습니다."
도입 효과: 더 빠른 개발, 더 높은 신뢰
개발 조직 규모가 4명이든 400명이든 빠르게 성과를 얻는 것은 중요합니다.
Snyk를 도입한 이후 보안팀은 각 팀을 일일이 관리하지 않아도 개발 조직 전체가 안전한 개발 프로세스를 따르고 있다는 사실을 데이터로 확인할 수 있게 되었습니다.
Chris는 이렇게 설명합니다.
"우리는 개발팀이 빠르게 개발하면서도 안전하기를 바랍니다. 그것은 절대 타협할 수 없는 원칙입니다. Snyk는 개발팀이 빠른 속도를 유지하면서도 올바른 보안 활동을 수행하고 있다는 신뢰를 제공했습니다."
이는 TechnologyOne이 고객에게 약속하는 "안전하고 신뢰할 수 있는 혁신"이라는 가치와도 일치합니다.
기존의 비효율적이고 노이즈가 많던 도구를 Snyk로 교체하면서 TechnologyOne은 방대한 코드베이스 전체에 대한 가시성을 확보했고, 취약점 수정 시간도 획기적으로 단축했습니다.
Shift-Left 보안 실현, 개발자 경험 개선
Pull Request 스캔은 하루 만에 적용되었습니다.
Nick은 다음과 같이 말합니다.
"기능을 활성화하자마자 개발자들의 업무가 훨씬 편해졌습니다."
이러한 Shift-Left 전략은 단순한 개념이 아니라 실제 개발 프로세스의 가장 큰 비효율을 제거했습니다.
과거에는 릴리스 직전 보안 피드백 때문에 수 시간의 빌드와 테스트를 반복해야 했지만, 이제는 개발자가 IDE 안에서 코드 작성과 동시에 취약점과 수정 방법을 확인할 수 있습니다.
Chris는 이렇게 설명합니다.
"Snyk IDE에서는 개발자가 문제가 있는 코드를 바로 확인하고, 추천되는 수정 방법을 적용한 뒤 몇 초 만에 다음 작업으로 넘어갈 수 있습니다."
보안을 개발의 장애물이 아닌 촉진 요소로
Snyk는 보안 피드백을 개발자의 기존 워크플로에 자연스럽게 통합하면서 보안을 '막는 조직'이 아닌 '개발을 돕는 조직'으로 변화시켰습니다.
TechnologyOne의 보안 문화 역시 일반적인 기업과는 다릅니다.
Snyk와의 협업을 통해 애플리케이션 보안은 개발 속도를 늦추는 요소가 아니라 개발 품질과 속도를 동시에 높여주는 핵심 요소로 자리 잡았습니다.
Chris는 이렇게 말합니다.
"우리는 보안팀이지만 개발을 가능하게 만드는 조직이 되고 싶습니다. 대부분의 답은 '안 됩니다'가 아니라 '조건을 만족하면 가능합니다'입니다."
이처럼 빠르면서도 안전한 개발 문화는 TechnologyOne이 뛰어난 기업으로 평가받는 이유 중 하나입니다.
앞으로의 계획: Snyk Learn으로 개발자 보안 역량 강화
TechnologyOne의 다음 목표는 Snyk Learn을 활용해 개발팀별 맞춤형 보안 교육을 제공하는 것입니다.
목표는 안전한 코딩을 개발자의 자연스러운 습관으로 만드는 것입니다.
Chris는 다음과 같이 설명합니다.
"수백 명의 개발자가 서로 다른 플랫폼과 기술 스택에서 일하는 환경에서는 모두에게 효과적인 교육을 만드는 것이 쉽지 않습니다. 과거 교육은 특정 제품에만 맞춰져 있거나 너무 일반적인 내용이라 실제 업무와 연결되지 않는 경우가 많았습니다."
Nick 역시 Snyk Learn의 장점을 강조합니다.
"Snyk Learn은 각 팀이 사용하는 기술 스택에 맞춘 교육 콘텐츠를 제공합니다. 그래서 교육 효과가 높습니다. 누구도 획일적인 교육을 좋아하지 않습니다. Snyk Learn은 관련성이 높고, 흥미롭고, 실제 업무에 도움이 됩니다."
TechnologyOne은 Snyk를 소프트웨어 개발 생명주기(SDLC)의 모든 단계에 통합함으로써 Secure by Design 문화를 구축했습니다.
그 결과 개발자는 더 빠르게 개발하면서도 자신감을 갖고 코드를 작성할 수 있게 되었으며, TechnologyOne은 속도와 보안은 서로 경쟁하는 요소가 아니라 함께 성장하는 요소라는 사실을 입증했습니다.
https://www.softwidesec.com/Snyk
스닉(Snyk)에 대한 상세 정보 및 소개자료는 소프트와이드시큐리티로 문의부탁드립니다.