지루한 PCI-DSS 컴플라이언스를 모두에게 의미 있는 활동으로 바꾸기: 1부 - AppSec

본 글은 조직 내 성공적인 PCI-DSS 규정 준수를 다루는 2부작 시리즈 중 1부입니다. 이번 장에서는 앱 보안(AppSec) 전문가가 개발 관리자와 긴밀히 협력하여 개발자의 역량을 강화하고, SSDLC를 견고히 하며, 일반적인 법규로부터 구체적인 성과를 도출하는 방법을 자세히 살펴봅니다.

"규정 준수(Compliance)"라는 단어는 그다지 흥미롭지 않습니다. 형식적이고 딱딱하며 지시적인 데다, 어조마저 다소 제한적입니다. 색깔로 표현하자면 베이지색에 가깝겠죠. 창의적인 환경이나 혁신과는 거리가 멀어 보이기까지 합니다.

개발자인 저의 경험상 '규정을 준수한다'는 것은 보통 지침을 대충 훑어보거나 프레젠테이션을 시청한 뒤, 다시 고객이 좋아할 만한 기능을 개발하고 소프트웨어를 만드는 본연의 업무로 돌아가는 것을 의미했습니다. 물론 당시에는 기억나는 대로 최선을 다해 올바르게 행동하려 노력하지만, 보안 모범 사례와 관련된 규정 준수 지침은 대개 개발자를 주 독자로 삼지 않기에 요구되는 행동이 모호할 때가 많습니다. 그런 상황에서는 현재의 목표에만 집중하는 것이 훨씬 쉽습니다.

하지만 이제 안전한 소프트웨어 개발은 기업에서 '있으면 좋은 것'이 아니라, 모든 조직이 최우선으로 고려해야 할 필수 요소가 되었습니다. 특히 방대한 고객 민감 정보를 다루는 기업이라면 사이버 공격의 표적이 되기 쉽습니다. 개발자는 코드와 가장 먼저 맞닿아 있는 사람들이므로, 보안 규정 준수 조치에 있어 다른 팀원들만큼이나 적극적으로 참여해야 합니다.

잠시만요, 제 말을 끝까지 들어보세요. 그렇다고 모두가 창의성 없는 경직된 개발 방식과 결과물의 노예가 되어야 한다는 뜻은 아닙니다. 오히려 기업이 함께 더 높은 수준의 코드를 만들 기회와 힘을 갖게 된다는 의미입니다. 세상은 이제야 개발자들에게 보안을 우선순위로 둘 수 있는 적절한 도구가 부족했다는 사실을 깨닫고 있습니다(보안 전문가들만으로는 이 책임을 모두 짊어질 수 없습니다). 하지만 보안을 공동의 책임으로 여기는 DevSecOps의 미래로 나아감에 따라, 성공을 위한 환경이 조성된다면 반복되는 취약점의 흐름을 막는 데 큰 도움이 될 것입니다.

PCI-DSS 지침은 우리 대부분이 일상적으로 사용하는 카드 결제 게이트웨이의 온라인 보안 규정을 다룹니다. 이 지침은 전 세계적으로 적용되며, 실제로 개발자가 규정 준수를 위해 유지해야 할 표준을 상세히 명시하고 있습니다. 또한 전자상거래 비즈니스의 여러 측면에 걸친 다양한 규정 준수 문서도 함께 제공합니다.

데이터 유출은 기업이 감당하기 어려운 평판 파괴적인 위험입니다. Cyber Security Ventures는 2021년 제로데이 공격이 하루에 한 건꼴로 발생할 것이라고 예측했으며, 이는 소프트웨어 제공 과정에 참여하는 모든 이들이 함께 맞서야 할 문제입니다.

PCI-DSS 권장 사항을 살펴보고, 팀 전체가 이를 어떻게 활용할 수 있을지 알아보겠습니다.

앱 보안 및 규정 준수 팀에게 전합니다: 모든 개발자 교육이 똑같이 효과적인 것은 아닙니다.

대기업이든 소규모 조직이든 개발자가 업무 중 받는 교육에 대해 의견을 낼 기회는 거의 없습니다. 우수한 인재를 유지하기 위해 포괄적인 프로그램을 제공하는 기업도 있지만, 여전히 흔치 않습니다. 보안 교육의 필요성은 조직의 규정 준수 활동을 지루하지 않게 시작할 수 있는 좋은 기회일 뿐만 아니라, 개발 팀과의 서먹한 관계를 개선할 수 있는 계기가 되기도 합니다.

PCI 규정 준수 측면에서 보면, 결제 게이트웨이를 운영하는 소프트웨어에 기대하는 결과가 매우 구체적입니다. 최소한 악의적인 코드 삽입이나 변조를 방지하기 위한 애플리케이션 강화, 최소 권한 제어, 일반적인 취약점에 대한 전사적 인식이 필요합니다. 카드 소지자 데이터를 다루는 모든 인원은 적절한 교육을 받아야 하며, 개발자에게 있어 이러한 교육은 개발 초기 단계부터 안전한 코드를 작성하는 데 결정적인 역할을 합니다.

공식 PCI-DSS 규정 준수 유지를 위한 모범 사례 문서에는 보안 인식, 개발자 요구 사항, 적절한 교육에 관한 다음과 같은 직접적인 개념이 상세히 나와 있습니다.

Copyright © 2006 - 2020 PCI Security Standards Council, LLC. All rights reserved.

이 문서는 개발자에게 필요한 기술을 갖추게 하는 구체적이고 심층적인 교육에 대한 통찰력을 제공하지만, 특정 교육 솔루션이 다른 것보다 더 효과적이라고 명시하지는 않습니다. '개발자를 위한 PCI-DSS 가이드'는 조금 더 직접적으로, 가장 흔한 취약점을 찾고 수정하는 방법을 배우기 위한 벤치마크로 OWASP Top 10을 제시하고 몇 가지 인증 프로그램을 소개합니다.

하지만 여기서 문제가 발생합니다. 다양한 직장 내 교육 및 규정 준수 이니셔티브를 통해 잘 아시겠지만, 교육의 질과 성과는 천차만별입니다. 개발자의 경우, 많은 보안 코딩 교육 프로그램이 우리의 요구 사항이나 업무 방식, 심지어 일상적인 업무와는 동떨어져 있는 경우가 많습니다. 이런 상황에서는 모든 교육이 동일한 효과를 내지 못하며, 모든 교육이 더 안전한 소프트웨어로 이어지지는 않습니다. 이는 당연히 여러분이 원하는 결과와 정반대이며, 업무 스트레스를 줄이는 데도 전혀 도움이 되지 않습니다. 부담을 줄이고 일반적인 취약점이 잠재적인 재앙으로 이어지는 것을 막으려면, 가교를 건설해야 합니다.

엔지니어링 관리자와 함께 보안 기술 격차 해소하기

엔지니어링 관리자와 직접 협력하여 목적에 부합하면서도 실무자들이 기꺼이 받아들일 수 있는 솔루션을 찾는 것은 긍정적인 보안 성과를 빠르게 달성하는 지름길입니다. 관리자는 자신의 팀에 대해 더 즉각적인 통찰력을 가지고 있으며, 그동안 컴플라이언스 교육을 어렵게 만들었던 장애 요인(대부분 교육 경험 자체가 좋지 않았다는 점 외에도)에 대해 이야기할 수 있습니다.

강의실 교육, VOD, 일회성 체크리스트 방식의 교육으로는 최신 상태를 유지하기가 매우 어렵습니다. 이러한 정적 솔루션은 끊임없이 변화하는 사이버 보안 업계의 흐름을 따라갈 수 없기 때문입니다. 결국 엔지니어링 관리자는 시간 투자 대비 가치를 확인하고 싶어 할 것이며, 모두의 공통 목표인 '더 안전하고 규정을 준수하는 코드'를 달성하기 위해 관리자와 협력하여 실행 가능한 대안을 제시하는 것이 중요합니다.

그렇다면 좋은 교육이란 무엇일까요? 한꺼번에 방대한 정보를 쏟아내는 일회성 교육은 보안 코딩을 배우는 데 거의 도움이 되지 않습니다.작게 나누어 점진적으로 학습하는 과정이 훨씬 기억하기 쉽고 실무에 적용하기도 좋습니다. 또한, 반드시 매일 사용하는 언어와 프레임워크를 기반으로 해야 합니다. 개인적으로 저는 도전적인 과제를 원하며, 제 노력이 어떤 의미가 있는지 확인하고 싶습니다. 우리 모두 이미 충분히 바쁘니까요, 그렇지 않나요?

위에서 언급한 PCI-DSS 모범 사례를 준수하려면 선택한 솔루션에 따라 관리자가 비즈니스 전반에서 사용되는 모든 언어와 프레임워크를 다루기 위해 여러 교육 과정을 짜깁기해야 할 수도 있습니다. 그렇게 되면 상황이 매우 복잡해질 뿐만 아니라, AppSec 및 컴플라이언스 팀이 소프트웨어의 보안 강화와 취약점 감소에 실질적인 영향을 미치고 있는지 평가하기도 어려워집니다. 빠른 결과를 얻으려 잘못된 선택을 서두르기보다, 함께 협력하여 적합한 솔루션을 찾으세요. 그렇지 않으면 프랑켄슈타인처럼 조잡한 교육 솔루션이 탄생할지도 모릅니다. 그건 정말 끔찍한 일이죠.

PCI-DSS 미니 시리즈 1부를 읽어주셔서 감사합니다. 마지막 장에서는 CISO와 CTO가 어떻게 이러한 문화적 변화를 돕고 팀을 지원할 수 있는지, 그리고 보안의 최전선에 있는 개발자들이 어떻게 PCI-DSS 인식과 컴플라이언스를 자신들에게 유리하게 활용할 수 있는지에 대해 논의하겠습니다.