PCI-DSS 4.0은 생각보다 빨리 다가올 것입니다. 지금이 바로 조직의 사이버 복원력을 높일 기회입니다.

이 기사의 일부는 Security Boulevard에 게재되었습니다. 해당 내용은 업데이트되어 이곳에 신디케이트되었습니다.

올해 초, PCI 보안 표준 위원회(PCI Security Standards Council)는 지불 카드 산업 데이터 보안 표준(PCI DSS) 버전 4.0을 발표했습니다. 조직이 4.0 버전을 완전히 준수해야 하는 시점은 2025년 3월까지이지만, 이번 업데이트는 역대 가장 혁신적인 변화를 담고 있어 대부분의 기업이 복잡한 보안 프로세스와 기술 스택의 요소들을 평가하고 업그레이드해야 할 것입니다. 이는 역할 기반의 보안 인식 교육과 개발자를 위한 정기적인 보안 코딩 교육을 시행하는 것 외에도 추가로 요구되는 사항입니다.

이는 BFSI 분야의 기업들이 보안 프로그램을 대대적으로 개선하고 사람 중심의 사이버 복원력이라는 새로운 시대를 열 수 있는 절호의 기회입니다.

PCI DSS 4.0 준비 과정에서 가장 큰 과제는 무엇인가요?

조직의 보안 프로그램이 비즈니스 요구 사항과 가용 자원에 따라 고유한 복잡성을 지니며 포괄적인 성격을 띠는 것과 마찬가지로, 새로운 PCI DSS 표준 역시 광범위한 영역을 다룹니다. 하지만 이번 표준은 보안 요구 사항을 충족하는 방식에 있어 유연성을 강조하는 방향으로 전환되었으며, 도구, 위협, 전략 및 규정 준수 조치가 순식간에 변할 수 있는 업계 특성상 이는 매우 중요한 의미를 갖습니다.

PCI DSS 4.0은 완벽한 보안 모범 사례를 달성하기 위한 방법이 다양하다는 개념을 수용합니다. 이는 사실이지만, 보안 성숙도가 높은 조직에 가장 적합해 보이며, 특히 내부 보안 성숙도를 현실적으로 평가하지 못한 조직에게는 오류의 여지를 많이 남깁니다. 궁극적으로 기업은 보안을 일회성으로 설정하고 잊어버리는 작업이 아니라, 지속적이고 진화하는 과정으로 받아들여야 합니다. 조직 전체의 보안 인식에 대한 헌신과 함께 강력한 보안 문화는 필수입니다.

또한 코드 수준의 도구를 다루는 개발자 그룹은 디지털 자산과 거래를 처리하는 모든 비즈니스 환경에서 규정을 준수하고 안전한 소프트웨어를 제공할 수 있는 역량을 갖춰야 합니다.

귀사의 개발자들은 규정을 준수하는 소프트웨어를 제공할 준비가 되어 있습니까?

개발자는 소프트웨어 보안의 탁월함을 달성하는 데 필수적인 역할을 하며, 이는 단순한 PCI DSS 규정 준수를 넘어 매우 중요합니다. 개발자가 PCI DSS 4.0의 큰 그림을 이해하고, 자신이 통제할 수 있는 범위 내에서 이를 소프트웨어 빌드의 기본 접근 방식으로 통합하는 것이 매우 중요합니다.

개발 팀에게 가장 중요한 변화는 다음 세 가지 핵심 영역으로 나눌 수 있습니다.

• 인증: 접근 제어를 위한 실행 가능한 계획은 항상 PCI 규정 준수의 핵심이었지만, 버전 4.0에서는 이를 한 단계 더 강화하여 내부 및 외부적으로 신중한 구현을 요구합니다. 다중 인증(MFA)이 표준이 될 것이며, 비밀번호 복잡성과 타임아웃에 관한 규칙도 강화될 것입니다.
  
  인증 및 접근 제어 보안 문제는 오늘날 일반적인 개발자가 직면할 가능성이 가장 높은 문제이므로, 실제 코드에서 이러한 문제를 식별하고 수정할 수 있도록 정밀한 교육을 실시하는 것이 필수적입니다.
  
  
• 암호화 및 키 관리: 우리는 온라인 뱅킹과 같이 여러 접근 지점을 통해 가장 민감한 정보에 접근할 수 있는 세상에 살고 있습니다. 이러한 고가치 데이터가 위험에 노출되어 있으므로 암호화와 강력한 암호화 관행은 필수입니다. 개발자는 정보가 어디로 전송되는지, 사용자가 어떻게 접근할 수 있는지에 대한 최신 지식을 유지해야 하며, 정보가 잘못된 손에 넘어가더라도 위협 행위자가 읽을 수 없도록 보장해야 합니다.
  
  
• 악성 소프트웨어: 이전 지침에서 악성 코드로부터 소프트웨어를 보호하는 보안 제어는 "안티바이러스 소프트웨어"로 지칭되었으나, 이는 바이러스 그 이상의 위협으로부터 보호해야 하는 다층적 접근 방식을 지나치게 단순화한 것입니다. 안티멀웨어 솔루션은 필요한 모든 곳에 적용되어야 하며, 지속적인 로깅과 모니터링은 필수입니다.
  
  또한 개발자가 취약한 구성 요소를 식별하는 방법을 배우는 것도 중요하며, 특히 대부분의 코드베이스가 타사 코드에 어느 정도 의존하고 있다는 점을 고려할 때 더욱 그렇습니다.

개발자를 위한 "충분한" 교육이란 무엇일까요?

이전 권장 사항과 마찬가지로 PCI DSS 4.0은 개발자가 "최소" 연 1회 교육을 받을 것을 제안합니다. 그러나 연 1회 교육이 안전한 소프트웨어 제작을 위한 충분한 접점이라고 생각한다면 이는 결코 적절하지 않으며, 더 안전하고 규정을 준수하는 소프트웨어로 이어질 가능성도 낮습니다.

개발자 교육은 OWASP Top 10에 대한 기초 교육과 언어 관련 및 비즈니스 핵심 취약점에 대한 교육으로 시작해야 합니다. 이는 지속적인 프로그램의 일부가 되어야 하며, 기술을 계속 쌓아가고 보안을 소프트웨어 개발 초기 단계뿐만 아니라 개발자의 사고방식과 역할에 대한 접근 방식에도 내재화하는 것을 목표로 해야 합니다. 또한 개발 팀과 관리자에게 역할과 책임을 명확히 전달해야 합니다. 보안은 공동의 책임이지만, 기대치를 문서화하고 이를 적절히 충족할 수 있도록 보장하는 것이 공정합니다.

PCI DSS 4.0 규정 준수를 준비할 수 있는 충분한 시간이 있으므로, 조직 전체의 보안 문화를 개선하는 데 상당한 진전을 이룰 수 있으며, 이는 역대 가장 보안 의식이 높은 개발 팀을 육성할 수 있는 비옥한 토양이 될 것입니다.

‍