금융 서비스 규정 준수는 소프트웨어 보안에 달려 있습니다

금융 서비스 기관이 사용하는 소프트웨어 코드의 보안을 확보해야 하는 이유는 명확합니다. 가장 큰 이유는 데이터 유출을 방지하기 위함입니다. 데이터 유출은 개인 식별 정보(PII) 노출, 복구 비용, 벌금 및 배상금, 그리고 기업 평판 훼손으로 이어져 막대한 손실을 초래할 수 있습니다. 또 다른 지속적인 이유는 다양한 산업 및 정부 규정을 준수해야 하기 때문입니다.

금융 서비스는 민감한 개인 정보와 금융 정보, 그리고 고객의 자산을 다루기 때문에 매우 엄격한 규제를 받는 산업입니다. 제공하는 서비스에 따라 기업은 다양한 규칙과 요구 사항을 준수해야 합니다.

예를 들어, 카드 결제 산업 데이터 보안 표준(PCI DSS)은 카드 소지자 데이터 보호 규칙으로 잘 알려져 있습니다. 사베인스-옥슬리법(Sarbanes-Oxley Act)의 요구 사항은 재무 기록 관리를 규제합니다. 국제적으로 운영되는 기업들은 구속력 있는 위험 관리 프레임워크인 디지털 운영 복원력 법(DORA)와 국제은행간통신협회(Swift)가 제정한 글로벌 자금 이체 표준에 익숙합니다.

또한 캘리포니아 소비자 프라이버시법(CCPA) 및 EU의 일반 데이터 보호 규정(GDPR)과 같은 법률은 고객의 개인 정보 보호를 위한 요구 사항을 설정합니다. 이 외에도 미국 통화감독청(OCC) 및 유럽중앙은행(ECB)이 설정한 규정 등이 있습니다.

설상가상으로, 국가 사이버 보안 전략(National Cybersecurity Strategy)은 소프트웨어 제조사가 비효율적인 소프트웨어 보안에 대해 책임을 져야 한다고 명시하고 있습니다. 또한 미국 사이버 보안 및 인프라 보안국(CISA)은 17개의 미국 및 국제 파트너와 함께 소프트웨어 개발을 위한 보안 설계(Secure-By-Design) 원칙에 대한 지침을 발표했습니다.

금융 서비스 기업들에게 공통적인 핵심은 안전한 코드가 규정 준수를 입증하는 데 도움이 되는 중요한 요소라는 점입니다. 이는 개발 초기 단계부터 보안이 코드에 적용될 수 있도록 개발자 교육과 역량 강화가 필요한 이유를 잘 보여줍니다.

그 작동 방식을 이해하기 위해 최신 버전의 PCI DSS를 살펴보겠습니다.

보안 코딩(및 개발자 교육)은 PCI DSS 4.0의 핵심입니다

2024년 4월 1일부터 의무화된 은 PCI DSS 3.2.1에서 여러 중요한 업데이트를 포함하고 있으며, 특히 안전한 소프트웨어 코드를 보장하는 데 있어 개발자의 역할을 강조하고 있습니다.

PCI는 과거부터 안전한 소프트웨어의 중요성을 오랫동안 인식해 왔습니다. 2017년에 발표된 버전 2.0에는 모바일 기기에서 안전한 거래를 보장하기 위한 개발자 지침이 포함되었습니다. 버전 4.0의 지침은 이제 소프트웨어 개발에 보안 모범 사례를 적용하는 것을 강조하며, 개발자 교육에 대한 구체적인 가이드를 포함하고 있습니다.

요구 사항은 종종 광범위하게 명시되지만, 기업은 더 철저한 접근 방식을 구현하는 것이 좋습니다.

예를 들어, 버전 4.0의 한 요구 사항은 "안전한 시스템 및 소프트웨어를 개발하고 유지 관리하기 위한 프로세스와 메커니즘이 정의되고 이해되어야 한다"고 명시합니다. 이를 보장하는 좋은 방법은 개발자가 사용하는 프로그래밍 언어와 프레임워크에 대해 정확한 교육을 받아 지식 격차를 해소하는 것입니다.

또 다른 요구 사항은 맞춤형 소프트웨어를 개발하는 개발자가 최소 12개월마다 다음 내용을 포함한 교육을 받아야 한다고 명시합니다.

• 직무 및 개발 언어와 관련된 소프트웨어 보안.
• 안전한 소프트웨어 설계 및 코딩 기법.
• 소프트웨어의 취약점을 탐지하기 위한 보안 테스트 도구 사용법(사용 중인 경우).

하지만 현실적으로 1년에 한 번 교육하는 것만으로는 핵심적인 보안 문제를 해결하고 잘못된 코딩 습관을 고치기에 충분하지 않습니다. 교육은 지속적이고 측정 가능해야 하며, 교육 내용이 제대로 활용되고 있는지 확인하는 기술 검증 프로세스가 병행되어야 합니다.

PCI DSS 4.0에는 다양한 유형의 공격 예방 및 완화, 타사 소프트웨어 구성 요소 문서화, 취약점 식별 및 관리, 기타 보안 단계와 같은 영역을 다루는 6개 이상의 추가 요구 사항이 포함되어 있습니다. 모든 경우에 기업은 이러한 조치를 철저히 이행하는 것이 현명합니다. 공격 벡터에 대한 교육은 연 1회보다는 더 자주 이루어져야 합니다. 취약점의 원인이 되기 쉬운 타사 구성 요소는 소프트웨어 자재 명세서(SBOM) 프로그램을 통해 신중하게 목록화해야 합니다. 또한 조직은 취약점 관리를 위한 명확한 역할을 정의해야 합니다.

새로운 버전은 또한 인증 제어, 암호 길이, 공유 계정 및 기타 요소에 대한 새로운 요구 사항을 추가하면서도, 단순히 체크리스트를 채우는 것이 아니라 결과 중심적으로 요구 사항을 충족할 수 있도록 조직에 유연성을 제공합니다.

규정 준수는 SDLC의 시작부터 이루어집니다

이 규정들의 공통점은 금융 서비스 업계의 데이터 및 거래 보호를 위해 높은 수준의 표준을 설정하려 한다는 점입니다. 최신 PCI DSS 버전의 경우와 마찬가지로, 이들은 소프트웨어 개발 수명 주기(SDLC) 초기 단계에서 보안 코드의 중요성을 점점 더 강조하고 있습니다. 국가 사이버 보안 전략과 CISA의 '설계에 의한 보안(Secure by Design)' 원칙 또한 소프트웨어 출시 전 보안에 대한 책임을 개발자에게 부여하고 있어, 금융 서비스 규정을 직접 적용받지 않는 기업들도 이를 준수해야 합니다.

조직은 개발 속도에 집중하는 DevOps 팀과 보안을 프로세스에 통합하려는 AppSec 팀 사이의 간극을 메워야 하며, 이를 위해서는 개발자가 보안을 업무 방식의 핵심으로 삼도록 교육해야 합니다. 하지만 이는 연례 교육이나 정형화된 기존 교육 프로그램만으로는 제공하기 어려운 복합적인 기술을 필요로 합니다. 교육은 지속적이고 민첩해야 하며, 실제 업무 환경을 반영한 시나리오를 통해 학습자의 참여를 유도하고, 업무 일정에 맞춰 짧은 단위로 제공되어야 합니다.

금융 서비스 기업은 침해 사고를 방지하고 점점 엄격해지는 규정을 준수하기 위해 보안을 확보해야 합니다. 규정 미준수로 인한 비용은 기업의 평판과 재정적 측면에서 침해 사고만큼이나 치명적일 수 있습니다. 예를 들어, IBM의 2023년 데이터 침해 비용 보고서에 따르면, 규정 미준수 수준이 높은 조직은 평균 505만 달러의 벌금 및 기타 비용을 부담했으며, 이는 실제 데이터 침해 사고의 평균 비용보다 50만 달러 더 높은 금액입니다.

클라우드 기반 환경과 디지털 거래가 지속적으로 성장함에 따라 금융 서비스 업계에서 소프트웨어 보안은 무엇보다 중요해졌으며, PCI DSS와 같은 규정들도 이를 인지하고 있습니다. 안전한 소프트웨어를 보장하는 최선의 방법은 SDLC 초기 단계부터 보안 코딩을 실천하는 것입니다. 이를 달성하기 위해서는 개발자에게 효과적인 보안 코딩 교육을 제공해야 합니다.

보안 코딩이 금융 서비스 기업의 성공과 보안, 수익 창출에 어떻게 기여하는지에 대한 포괄적인 개요는 Secure Code Warrior가 새로 발행한 전자책 금융 서비스 보안 트렌드 완벽 가이드에서 확인하실 수 있습니다.

사이버 보안과 점점 더 위험해지는 위협 환경에 대한 더 많은 통찰력을 얻고, 혁신적인 기술과 교육을 활용하여 조직과 고객을 더 안전하게 보호하는 방법을 알아보려면 Secure Code Warrior 블로그 페이지를 확인해 보세요.

‍