지루한 PCI-DSS 규정 준수를 모두를 위한 의미 있는 활동으로 바꾸기: 2부 - CISO와 개발자 인식

조직 내 PCI-DSS 규정 준수를 다루는 미니 시리즈의 2부입니다. 이번 마지막 장에서는 CTO와 CISO가 어떻게 리더십을 발휘하여 사이버 위험을 줄이고, 프로세스를 원활하고 성공적으로 만들며, 개발자들에게는 조금 더 즐거운 경험이 되도록 할 수 있는지 자세히 알아봅니다. (1부를 놓치셨나요? 여기에서 확인하세요 그리고 AppSec 전문가들이 더 나은 보안 성과를 위해 이 기회를 어떻게 활용할 수 있는지 알아보세요).

PCI-DSS 모범 사례는 의심할 여지 없이 공동의 책임이지만, CISO와 CTO는 막강한 영향력을 발휘하여 위에서부터 성공적이고 긍정적인 보안 프로그램을 구축할 수 있습니다. 이들은 사이버 보안에 대한 신뢰와 최종 사용자의 인식 측면에서 상징적인 인물이며, 초기부터 보안 인식을 강조하는 것은 강력한 하향식 효과를 가져와 개발자와 AppSec 전문가들이 회사 내에서 탄탄한 보안 태세를 갖추는 데 필요한 지식, 도구 및 지원을 얻도록 돕습니다.

규정 준수를 유지하는 것도 중요하지만, 모든 구성원이 그 '이유'에 공감하고 성과를 확인하며 올바른 방식으로 교육받을 때, 보안 프로그램은 단순한 법적 의무를 넘어 일상적인 습관으로 자리 잡을 수 있습니다.

상호 신뢰 구축에 있어 CTO와 CISO의 역할

최근 웹사이트를 이용하다가 신용카드 정보를 입력할지 말지 망설인 적이 있으신가요? 동네 피자 가게의 온라인 주문을 처리하는 허술해 보이는 웹 앱이 아니라면, 특히 대기업이나 유명 온라인 쇼핑몰에서 이런 경험을 하는 경우는 드물 것입니다.

물론 데이터 유출 사실이 공개되지 않았을 때의 이야기입니다.

글로벌 숙박 기업 메리어트(Marriott)는 최근 3년 만에 두 번째 데이터 유출 사실을 공개했으며, 이번 사고로 520만 명의 고객 기록이 탈취되었습니다. 이번에는 결제 정보가 유출된 것으로 보이지는 않지만, 2018년의 치명적인 유출 사고 당시에는 3억 8,300만 명의 고객 정보가 침해되었고, 500만 개의 암호화되지 않은 여권 번호와 800만 개의 신용카드 번호가 도난당했습니다.

메리어트 브랜드에 대한 고객 신뢰가 이미 바닥이었다고 생각했지만, 이제는 정말 끝을 향해 가고 있는 것 같습니다. 이런 일은 CISO들이 밤잠을 설치게 만드는 주범이며, 사이버 위협과의 전쟁에서 마치 표적이 된 듯한 무력감을 느끼게 합니다. 에퀴팩스(Equifax), 야후(Yahoo), 소니(Sony), 타겟(Target)을 보세요. 이들은 대규모 유출 사고를 겪은 거대 기업들로, 수십억 건의 데이터 유출과 수천억 달러의 피해를 입었으며 기업의 핵심 가치인 고객 신뢰에 치명적인 타격을 입었습니다. 이는 기업에 재앙과도 같습니다(타겟은 2014년 유출 사고 이후 분기에 4억 4천만 달러의 이익 감소를 보고했습니다). 소프트웨어 보안은 공동의 책임이기에 개인이 전적으로 책임을 지지는 않지만, 당시 해당 조직에서 근무했다면 화려한 이력서에 남기고 싶지 않은 오점이 될 것입니다.

결제 정보, 민감한 데이터, 그리고 긍정적인 고객 인식이라는 무형의 자산을 다루는 조직에서 규정 준수를 위해 탄탄한 보안 프로그램을 포기하는 것은, 해당 기업이 위험에 처해 있을 뿐만 아니라 혁신 측면에서도 심각하게 뒤처져 있다는 신호입니다.

고객과 조직 간의 신뢰 문제는 모두가 관심을 가져야 할 사안입니다.

유출 사고 이후 IT, 개발, 보안 부서가 겪는 스트레스와 혼란은 차치하더라도, 신뢰 요소는 신생 기업의 장기적인 성공이나 기존 기업의 지속적인 성장에 있어 매우 중요한 요소입니다. 신뢰 상실로 인한 경기 침체에 직면할 경우 가장 먼저 잃게 되는 것은 바로 여러분의 일자리일 것입니다.

PCI-DSS 규정은 기업에 책임을 묻습니다. 앞서 언급했듯이 이러한 잘 짜인 계획을 무시하면 엄청난 결과를 초래할 수 있습니다. 하지만 규정은 이를 뒷받침하는 보안 프로그램과 그 안에서 일하는 사람들의 역량만큼만 효과를 발휘합니다. 규정을 진지하게 받아들이고 경각심을 유지하며 타의 모범이 된다면, 여러분은 매우 긍정적인 방식으로 자신의 가치를 증명하게 될 것입니다.

인식이 전부입니다.

보안 인식 프로그램이 실패하면 PCI 규정을 준수하려는 대부분의 노력은 무용지물이 됩니다. 조직 전체의 보안 인식은 모범 사례 가이드라인에서 가장 중요한 부분을 차지합니다. 심지어 PCI 측에서도 자체 교육 모듈을 제공하여 교차 기능 역할에서 이를 어떻게 구현할 수 있는지, 그리고 이를 잘 실천하는 기업들의 모습은 어떤지 보여주고 있습니다.

보안 소프트웨어 개발의 현재 표준인 DevSecOps로 나아감에 따라(여기서는 보안을 공동의 책임으로 인식하는 것이 기본입니다), 기업은 시간과 비용, 노력을 투자하여 공급업체와 계약자를 포함한 모든 구성원이 보안을 인식하고 모범 사례를 따르도록 해야 합니다.

보안을 인식하는 개발자가 곧 규정을 준수하는 개발자입니다(그리고 그 과정이 지루할 필요는 없습니다)

"인증된" PCI-DSS 준수 개발자가 되는 길에는 뚜렷한 선택지가 많지 않습니다. 왜일까요? 아마도 이것이 "한 번으로 끝나는" 작업이 아니기 때문일 것입니다.

OWASP는 일반적인 취약점을 방어하는 방법을 배우는 데 있어 세계 최고 수준의 조직이며, 이들의 Top 10은 개발자를 위한 PCI-DSS 가이드라인에 공식적으로 명시되어 있습니다. 하지만 보안을 최우선으로 생각하고 기술을 연마하는 데는 시간과 지속적인 노력이 필요합니다. 누구도 이것이 지루하고 헛된 노력이 되기를 원하지 않을 것입니다.

긍정적인 보안 문화는 조직에서 '있으면 좋은 것'이 아닙니다. 보안을 진지하게 생각한다면, 이는 회사의 일상적인 운영의 일부가 되어야 합니다.

개발자는 취약점을 차단하는 최전선에 있습니다. 그들은 PCI-DSS 규정 준수라는 보안 책임을 다하기 위해 필요한 지원, 도구, 교육을 제대로 받고 있을까요?

사실 올바른 교육은 더 매끄럽게 진행되어야 합니다. 강의처럼 느껴져서는 안 되며, 매일 수행하는 업무와 매우 밀접하게 연관되어야 합니다. 이러한 실습형 교육은 역량 강화의 기회이자, 취약점 차단과 팀 협업을 통해 더 높은 수준의 코드를 작성하고자 하는 개발자에게 긍정적인 커리어 전환점이 될 것입니다.

지금 바로 보안 코딩 실력을 테스트해 보시겠습니까? 미션을 선택하세요.