PCI-DSS 4.0 규정 준수 준비하기
PCI-DSS 요구사항을 지원하기 위한 인프라 및 프로세스 평가
새로운 PCI-DSS 4.0 요구사항의 주요 업데이트 및 일정
PCI-DSS 4.0은 카드 소지자 데이터의 보안을 강화하고 결제 카드 산업의 최신 위험 및 기술 발전에 대응하기 위한 업데이트를 도입했습니다. 이번 개정을 통해 조직은 보안 목표 준수를 입증할 경우 맞춤형 보안 조치를 채택할 수 있게 되었으며, 카드 소지자 데이터 환경의 모든 접근에 대해 다중 인증을 확대하고 모든 네트워크 전반의 암호화를 강화했습니다. 또한 지속적인 위험 분석 및 완화에 대한 강조가 커졌으며, 보안 사고에 대한 신속한 탐지 및 대응 역량 개선이 포함되었습니다. 이러한 새로운 요구사항에는 기존 표준을 준수하면서 새로운 버전을 채택할 수 있도록 유예 기간이 제공됩니다.
CISO가 최신 PCI-DSS 업데이트를 우선시해야 하는 이유
이러한 업데이트된 표준을 준수하는 것은 규정 준수 유지뿐만 아니라 새롭게 부상하는 사이버 위협과 위험으로부터 보호하는 데 매우 중요합니다. 이러한 표준을 구현함으로써 조직은 침해 사고에 대한 회복 탄력성을 확보하여 평판을 보호하고, 규정 미준수로 인한 막대한 벌금을 피할 수 있습니다.
DSS 4.0 발효일: 2024년 3월; 2025년 3월부터 실제 적용.
PCI-DSS 4.0은 일상적인 비즈니스 운영에 지속적인 보안 프로세스를 통합하는 것의 중요성을 강조합니다
규정 준수는 일회성 평가로 끝나서는 안 됩니다. 이러한 접근 방식은 조직 내 보안 인식 문화와 선제적 위험 관리 체계를 조성해야 하는 CISO에게 필수적입니다. PCI-DSS 4.0을 수용하는 것은 안전하고 보안이 유지되는 결제 환경을 뒷받침하는 강력한 보안 인프라를 구축함으로써 비즈니스 가치를 높이는 데도 도움이 됩니다.
귀사의 개발자들은 규정을 준수하는 소프트웨어를 제공할 준비가 되어 있습니까?
개발자는 소프트웨어 보안의 탁월함을 달성하는 데 있어 필수적이지만 종종 과소평가되는 핵심 요소입니다. 개발자가 PCI-DSS 4.0의 전체적인 맥락을 이해하고, 소프트웨어 빌드 과정에서 기본적으로 제어하고 통합할 수 있는 부분이 무엇인지 파악하는 것이 매우 중요합니다.
PCI-DSS의 요구사항 6은 안전한 소프트웨어 개발 및 유지 관리에 대한 기대치를 명시하고 있습니다
여기에는 보안 개발 표준부터 개발자 교육, 구성 및 변경 제어 관리에 이르는 다양한 항목이 포함됩니다. 카드 소지자 데이터 네트워크(CHD)에서 사용되는 소프트웨어를 개발하는 모든 조직은 이러한 지침을 준수해야 합니다.
요구사항 6.2.2에 명시된 바와 같이, 맞춤형 소프트웨어를 담당하는 소프트웨어 개발 인력은 최소 12개월마다 다음과 같은 교육을 받아야 합니다:
- 직무 및 개발 언어와 관련된 소프트웨어 보안 교육.
- 안전한 소프트웨어 설계 및 보안 코딩 기법 포함.
- 소프트웨어 취약점 탐지를 위한 보안 테스트 도구 사용법 포함.
또한 표준에서는 교육에 최소한 다음 항목이 포함되어야 한다고 명시합니다:
- 사용 중인 개발 언어
- 안전한 소프트웨어 설계
- 보안 코딩 기법
- 코드 내 취약점 탐지를 위한 기법/방법 사용
- 이전에 해결된 취약점의 재발 방지 프로세스
또한 개발자는 (요구사항 6.2.4에 명시된) 모든 공격 기법을 숙지해야 합니다. 다음은 예시로 제공되는 공격 범주 목록입니다:
- SQL, LDAP, XPath 또는 기타 명령, 매개변수, 객체, 오류 또는 주입 유형의 결함을 포함한 주입 공격.
- 버퍼, 포인터, 입력 데이터 또는 공유 데이터를 조작하려는 시도를 포함한 데이터 및 데이터 구조 공격.
- 취약하거나 안전하지 않거나 부적절한 암호화 구현, 알고리즘, 암호 제품군 또는 운영 모드를 악용하려는 시도를 포함한 암호화 사용 공격.
- API, 통신 프로토콜 및 채널, 클라이언트 측 기능 또는 기타 시스템/애플리케이션 기능 및 리소스 조작을 통해 애플리케이션 기능 및 기능을 남용하거나 우회하려는 시도를 포함한 비즈니스 로직 공격. 여기에는 사이트 간 스크립팅(XSS) 및 사이트 간 요청 위조(CSRF)가 포함됩니다.
- 식별, 인증 또는 권한 부여 메커니즘을 우회하거나 남용하려는 시도, 또는 이러한 메커니즘 구현의 약점을 악용하려는 시도를 포함한 액세스 제어 메커니즘 공격.
- 요구사항 6.3.1에 정의된 취약점 식별 프로세스에서 확인된 모든 "고위험" 취약점을 통한 공격.
Secure Code Warrior가 PCI-DSS 4.0 규정 준수를 지원하는 방법
가장 효과적인 교육 옵션은 규정 준수가 포괄적인 보안 코드 학습 프로그램의 부산물로 자연스럽게 이루어지는 애자일 학습 플랫폼입니다. 특히 Secure Code Warrior는 다음과 같은 방법으로 귀사의 취약점을 줄이고 개발자 생산성을 높일 수 있도록 지원합니다.
- 개발자의 지식 격차를 해소하고 실제 사용하는 언어 및 프레임워크에 맞춘 정밀한 교육을 제공하여 PCI 데이터를 안전하게 보호하는 방법에 대한 탄탄하고 일관된 이해를 돕습니다. 자세한 내용은 학습 플랫폼에서 확인하세요.
- 교육 내용이 제대로 습득되고 실무에 적용되는지 확인하기 위해 지속적이고 측정 가능한 검증 프로세스를 제공합니다. 개발자를 위한 보안 코드 교육 과정에 대해 자세히 알아보세요.
- 적시에 맥락에 맞는 마이크로 러닝을 제공하는 애자일 학습 방식으로 교육을 진행합니다. 일반적이고 일회성인 교육은 더 이상 효과적이지 않으며 취약점 감소에 필요한 결과를 얻을 수 없습니다. 당사가 지원하는 취약점
- 에 대해 자세히 알아보세요. 보안 교육 및 코딩 표준 문서를 체계화하여 PCI-DSS 감사 시 규정 준수 여부를 효과적으로 입증할 수 있도록 지원합니다. PCI-DSS 4.0에 대한 자세한 분석은 백서 PCI DSS 4.0 Unraveled에서 확인하실 수 있습니다.
배포 전 AI 기반 개발 거버넌스 확보
AI 기반 위험을 측정하고, 커밋 시점에 보안 코딩 정책을 적용하며, SDLC 전반에 걸쳐 안전한 소프트웨어 제공 속도를 높이세요.
더 많은 리소스 살펴보기
보안 코딩, AI 거버넌스, 소프트웨어 리스크 관리에 관한 전문가 콘텐츠를 확인해 보세요.
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
배포 전 AI 기반 개발 보안 확보
소프트웨어 개발 수명 주기 전반에서 개발자 리스크를 파악하고, 정책을 시행하며, 취약점을 예방하세요.
