적절한 지원을 통해 개발자는 귀사의 조직이 PCI DSS 4.0 표준을 초과하는 준수를 달성하도록 도울 수 있습니다.

이 글의 초고는 Zone D에 게재되었습니다. 이후 업데이트되어 본지에 게재되었습니다.

결제 카드 산업 데이터 보안 표준(PCI DSS) 4.0 버전은 전자 결제를 수용하는 모든 기업 또는 조직(대다수를 차지함)의 보안 관련 거의 모든 측면을 변화시킬 것입니다. 이 업데이트는 대부분의 기업을 변화시킬 것이며, 보안 프로세스의 상당 부분을 업그레이드하고 암호화, 인증, 접근 제어, 키 관리 및 이전에 도입하는 데 시간이 걸렸을 수 있는 다른 영역에 대한 새로운 보호 장치를 배포하도록 강제할 것입니다.

새로운 요구사항의 복잡성으로 인해 조직들은 2025년 3월까지 완전히 준수해야 합니다. 그러나 이 마감일은 대부분의 사람들이 생각하는 것보다 훨씬 빨리 다가올 것입니다. 실제로 선구적인 많은 기업들은 현재 개발자들이 다가올 규정 준수 환경을 헤쳐 나갈 수 있도록 조치를 취하고 있습니다.

체크박스를 선택하는 훈련을 넘어

기업의 개발자들은 해당 인프라의 상당 부분을 구성하는 코드를 작성합니다. 따라서 PCI DSS 4.0의 새로운 요구사항을 구현할 때 개발자들이 좋은 출발점이 되는 것은 당연합니다. 그러나 대부분의 개발자들은 업데이트된 보안 인식 프로그램의 일환으로 역량을 향상시키기 위해 전략적 지원이 필요할 것입니다. 이를 통해 개발자들이 새로운 표준이 요구하는 더 높은 수준의 보안을 구현하고 유지하는 데 필요한 경험을 갖추도록 보장할 수 있습니다.

사실, PCI DSS 4.0 표준의 요구사항 12.6.2는 기업이 공식적인 보안 프로그램을 구현하고 최신 위협 정보 및 방어 기법으로 이를 지속적으로 업데이트할 것을 요구합니다. 기존 표준에서는 기본적인 보안 프로그램이나 심지어 '체크리스트 방식'의 연간 규정 준수 교육만으로도 목표를 달성할 수 있었습니다. 그러나 새 규정은 훨씬 더 엄격해져 보안 교육 프로그램이 기업 환경 내 특정 위협과 취약점을 다루도록 요구합니다. 예를 들어, 신원 도용이 조직에 심각한 문제라면 교육은 이를 해결해야 합니다.

최소한의 교육만으로는 더 이상 충분하지 않다는 점이 분명합니다. 실무적 관점에서도, 새로운 규정을 준수하기 위해서도 마찬가지입니다. 기업들은 개발자들에게 일상 업무에 보안 모범 사례를 적용하는 방법을 가르치는 포괄적이고 유연한 학습 과정을 제공해야 합니다. 최소한의 규정 준수 노력을 넘어 개발자들이 보안에 대한 진정한 이해를 얻을 수 있도록 필요한 자원을 제공함으로써, 기업은 개발자들이 전반적인 보안 측면에서 더 나은 결정을 내릴 수 있는 역량을 부여함과 동시에 PCI DSS 4.0 표준을 준수할 수 있습니다.

좋은 소식은 PCI DSS 4.0의 새로운 요구사항 상당수가 인증, 암호화, 접근 제어, 키 관리 등 대부분의 개발자가 이미 알고 있는 영역과 관련되어 있다는 점입니다. 개발자들이 자신의 역량을 개발하기 위해 적절하고 관련성 있으며 익숙한 리소스를 확보할 수 있을 때, 조직은 PCI DSS 4.0이 요구하는 새로운 표준과 증가된 책임에 개발자들을 더 쉽게 대비시킬 수 있습니다.

PCI DSS 4.0 표준을 활용하여 전반적인 보안 강화의 발판으로 삼기

새로운 PCI DSS 4.0 표준을 성공적으로 준수하기 위해서는 개발자의 요구를 충족시키는 적절한 보안 교육을 제공하는 것이 필수적이지만, 조직의 사이버 보안 수준을 향상시키기 위한 노력은 여기서 멈춰서는 안 됩니다. 요구 사항이 까다롭기는 하지만, 대부분의 조직이 이를 준수하기 위해 노력해야 하는 만큼, 이러한 노력을 발판 삼아 전반적인 보안 인식과 교육을 강화할 이유가 없습니다. 이를 통해 조직은 규정 준수 요구 사항을 충족할 뿐만 아니라, 모범 사례를 우선시하고 조직의 모든 구성원이 동일한 보안 중심 목표를 향해 노력하도록 보장하는 긍정적인 보안 문화를 조성하기 시작할 수 있습니다.

물론 학습 곡선은 존재하지만, 개발자들은 이러한 노력에 동의할 가능성이 높습니다. 에반 스 리서치의 조사에 따르면 전 세계에서 활발히 활동 중인 1,200명 이상의 전문 개발자 중 압도적 다수가 안전한 코드 작성과 조직 내 보안 문화 개선이라는 개념을 지지한다고 답했습니다. 대다수의 개발자들이 안전한 코딩으로의 전략적 전환과 개발 프로세스 내 보안 우선순위 재정립을 지지한다는 점이 분명합니다.

PCI DSS 4.0 표준이 요구하는 보안 업그레이드는 기업이 보안 모범 사례 및 교육 개선에 투자하고 조직 전반에 걸쳐 더 나은 보안 문화를 정착시키려는 데 완벽한 명분이 됩니다.

개발자들은 기업이 안전한 코딩 기술을 관련 도구 및 교육과 통합할 수 있는 프로그램에 투자할 경우 보안 성숙도 수준을 보다 쉽게 달성할 수 있습니다. 이는 개발자들이 조직의 전반적인 보안 태세를 강화하는 더 나은 결정을 내릴 수 있는 보안 문화를 조성하는 데 기여할 수 있으며, 이는 엄격한 새로운 PCI DSS 4.0 표준을 훨씬 뛰어넘는 수준입니다.
‍