PDF 버전 열기

PCI-DSS 요구 사항을 지원하기 위해 인프라 및 프로세스를 평가하세요.

새로운 PCI-DSS 4.0 요건에 대한 주요 업데이트 및 일정

PCI-DSS 4.0은 카드 소유자 데이터의 보안을 강화하기 위한 업데이트를 도입하여 결제 카드 업계의 현재 위험과 기술 발전을 해결합니다. 이 개정안을 통해 조직은 보안 목표를 준수하고, 다단계 인증을 카드 소유자 데이터 환경의 모든 액세스로 확장하고, 모든 네트워크에서 암호화를 강화하는 등 맞춤형 보안 조치를 채택할 수 있습니다. 또한 지속적인 위험 분석 및 완화, 보안 사고를 적시에 감지하고 대응할 수 있는 역량 개선이 더욱 강조됩니다. 이러한 새로운 요구 사항에는 전환 기간이 있어 조직이 기존 표준을 준수하면서 새 버전을 채택할 시간을 가질 수 있습니다.

CISO가 최신 PCI-DSS 업데이트에 우선순위를 두어야 하는 이유

이러한 업데이트된 표준을 준수하는 것은 규정 준수 유지뿐만 아니라 새롭게 등장하는 사이버 위협과 위험으로부터 보호하는 데에도 매우 중요합니다. 이러한 표준을 구현함으로써 조직은 위반에 대한 탄력성을 확보하여 평판을 보호하고 규정 미준수로 인해 발생할 수 있는 막대한 벌금을 피할 수 있습니다.

DSS 4.0 발효일: 2024년 3월, 2025년 3월까지 실현.

PCI-DSS 4.0은 지속적인 보안 프로세스를 일상적인 비즈니스 운영에 통합하는 것의 중요성을 강조합니다.

규정 준수는 일회성으로 끝날 수 없습니다 assessment. 이러한 접근 방식은 조직 내에서 보안 인식과 사전 예방적 위험 관리 문화를 조성하는 임무를 맡은 CISO에게 필수적입니다. 또한 PCI-DSS 4.0을 도입하면 안전한 결제 환경을 뒷받침하는 강력한 보안 인프라를 구축하여 비즈니스 가치를 창출하는 데 도움이 됩니다.

개발자가 규정을 준수하는 소프트웨어를 제공할 준비가 되어 있나요?

개발자는 소프트웨어 보안의 우수성을 달성하는 데 있어 필수적인 역할을 하지만 종종 활용도가 낮습니다. 개발자는 PCI DSS 4.0의 광범위한 그림과 소프트웨어 빌드에 대한 기본 접근 방식의 일부로 제어 및 통합할 수 있는 사항을 이해하는 것이 중요합니다.

PCI DSS의 요구 사항 6은 보안 소프트웨어 개발 및 유지 관리에 대한 기대치를 설명합니다.

여기에는 보안 개발 표준부터 개발자 교육, 구성 및 변경 제어 관리에 이르기까지 다양한 항목이 포함됩니다. 카드 소지자 데이터 네트워크(CHD)에서 사용되는 소프트웨어를 개발하는 모든 조직은 이러한 의무를 준수해야 합니다.

요구 사항 6.2.2에 설명된 대로 맞춤형 및 사용자 지정 소프트웨어를 개발하는 소프트웨어 개발 담당자는 12개월에 한 번 이상 다음과 같이 교육을 받습니다:

• 직무 및 개발 언어와 관련된 소프트웨어 보안에 대해 설명합니다.
• 안전한 소프트웨어 설계 및 보안 코딩 기술을 포함합니다.
• 소프트웨어의 취약점을 탐지하기 위한 보안 테스트 도구를 사용하는 방법을 포함합니다.

이 표준은 교육에 최소한 다음 항목이 포함되어야 한다고 명시하고 있습니다:

• 사용 중인 개발 언어
• 안전한 소프트웨어 설계
• 보안 코딩 기술
• 코드의 취약점을 찾기 위한 기술/방법 사용
• 이전에 해결된 취약점의 재유입을 방지하는 프로세스

또한 개발자는 모든 공격 기법(요구 사항 6.2.4.에 설명되어 있습니다.)을 숙지해야 합니다. 여기에는 예시로 제공되는 공격 범주 목록이 포함되어 있습니다:

• SQL, LDAP, XPath 또는 기타 명령, 매개변수, 개체, 결함 또는 인젝션 유형 결함을 포함한 인젝션 공격.
• 버퍼, 포인터, 입력 데이터 또는 공유 데이터를 조작하려는 시도를 포함하여 데이터 및 데이터 구조에 대한 공격.
• 취약하거나 안전하지 않거나 부적절한 암호화 구현, 알고리즘, 암호 모음 또는 작동 모드를 악용하려는 시도를 포함하여 암호화 사용에 대한 공격입니다.
• API, 통신 프로토콜 및 채널, 클라이언트 측 기능 또는 기타 시스템/애플리케이션 기능 및 리소스의 조작을 통해 애플리케이션의 특징과 기능을 악용하거나 우회하려는 시도를 포함한 비즈니스 로직에 대한 공격입니다. 여기에는 크로스 사이트 스크립팅(XSS) 및 크로스 사이트 요청 위조(CSRF)가 포함됩니다.
• 식별, 인증 또는 권한 부여 메커니즘을 우회하거나 악용하려는 시도 또는 이러한 메커니즘 구현의 취약점을 악용하려는 시도를 포함하여 액세스 제어 메커니즘에 대한 공격.
• 취약점 식별 프로세스에서 확인된 "고위험" 취약점을 통한 공격, 규정 6.3.1에 정의된 대로.

PCI-DSS 4.0 규정 준수에 Secure Code Warrior 도움이 되는 방법

가장 효과적인 교육 옵션은 규정 준수가 중요한 보안 코드 학습 프로그램의 부산물이 되는 애자일( learning platform )입니다. 특히 Secure Code Warrior 을 통해 취약성을 줄이고 개발자의 생산성을 높일 수 있습니다:

• 지식의 격차를 해소하고 개발자가 사용하는 언어와 프레임워크에 대한 정확한 교육을 제공함으로써 PCI 데이터를 안전하게 보호하는 방법에 대한 견고하고 일관된 이해를 제공합니다. 자세히 알아보기 Learning Platform.
• 지속적이고 측정 가능하며 확립된 기술 검증 프로세스를 제공하여 교육이 제대로 흡수되고 실무에 적용되었는지 확인합니다. 개발자를 위한 준비된 보안 코드 교육 경로에 대해 자세히 알아보세요.
• 적시에 상황에 맞는 마이크로버스트 학습을 제공하는 애자일 학습 방법을 통해 교육을 실시합니다. 일반적이고 빈번하지 않은 교육은 더 이상 실행할 수 없으며 취약성 감소에 원하는 영향을 미치지 못합니다. 지원되는 취약점에 대해 자세히 알아보세요.
• 보안 교육 및 코딩 표준을 문서화하는 데 도움을 주며, PCI-DSS 감사 시 규정 준수를 입증하는 데 유용합니다. PCI-DSS 4.0에 대한 자세한 분석은 백서 PCI DSS 4.0의 모든 것에서 확인할 수 있습니다.

‍

PDF 버전 열기

‍

PDF 버전 열기

보안 코딩 프로그램의 영향을 정량화하는 업계 최초의 벤치마크

기업 전반의 소프트웨어 팀은 생산 전에 고품질의 안전한 코드를 더 빨리, 그리고 실패 없이 제공해야 한다는 압박을 받고 있습니다. 이로 인해 개발자 주도 보안이라는 개념이 생겨났고, 이는 개발자 생산성 향상, 소프트웨어 개발 주기 전반에 걸친 신속한 움직임, 혁신의 증가로 이어져 궁극적으로 비즈니스 성장으로 이어지는 강력한 움직임으로 이어졌습니다. 보안 학습 프로그램의 세계에서는 동일한 보안 코드 프로그램을 진행하더라도 팀마다 최고 성과자, 평균 성과자, 추가 지원이 필요한 팀 등 다양한 전문성을 갖춘 경우가 많습니다. 하지만 무엇이 우수하고 무엇이 상대적으로 우수해 보이는지 어떻게 알 수 있을까요? 조직은 개발자의 보안 수준을 정의할 수 있는 벤치마크가 필요합니다. 보안 학습 프로그램의 현재 상태를 측정하고, 그 효과를 평가하며, 팀의 성과를 최적화할 수 있는 기준점으로 사용할 수 있는 점수입니다.

가치와 혜택

• 간단하고 효과적이며 의미 있는 데이터
• 보안 프로그램의 성공 여부 측정
• 소프트웨어 품질 향상
• 팀 관계 개선
• 코딩 기술 확보를 위한 인사이트
• 참여 사용자 및 개발자 유지

보안 프로그램의 현재 상태를 벤치마킹하세요.

보안 프로그램을 업계 동종 업계와 비교하여 비즈니스 목표에 부합하는 표준을 수립하세요. 벤치마크를 활용하면 성능 비교를 위한 기준이 마련되어 데이터 기반의 의사 결정과 지속적인 개선 기회를 통해 보안 태세를 최적화할 수 있습니다.

‍

동료, 경쟁사 및 글로벌 조직의 맥락에서 측정됨

SCW 신뢰 점수는 개별 학습자의 기술 수준을 집계하여 조직의 신뢰 점수를 계산함으로써 보안 프로그램의 효과를 측정합니다. 은행 및 금융 서비스, 기술 및 글로벌 산업에 맞춘 벤치마크를 통해 이 보고서는 사용자 지정 가능한 드릴다운 및 필터 옵션을 통해 회사의 신뢰 점수, 업계 벤치마크 분포, 학습자 기술 수준 분포에 대한 인사이트를 제공합니다.

‍

업계에서 가장 포괄적인 보안 기술 벤치마크에 대한 자신감 확보

SCW 신뢰 점수는 600개 이상의 기업과 25만 명의 학습자로부터 수집한 2천만 개 이상의 학습 데이터 포인트에서 얻은 인사이트를 활용하는 동적 알고리즘을 활용하는 업계 최초의 솔루션입니다. 이 솔루션은 OWASP Top 10에 대해 습득한 지식의 깊이와 같이 플랫폼 내에서 완료된 다양한 학습 활동을 고려합니다. 이러한 탁월한 인사이트를 통해 조직은 자신감을 가지고 다른 조직과 비교하여 성과를 측정할 수 있습니다.

‍

PDF 다운로드

‍

금융 서비스 기관은 빠르게 진화하는 금융 세계에서 기술을 효율적이고 효과적으로 활용할 수 있는 능력에 따라 다양한 과제에 직면해 있습니다.

조직은 경쟁이 치열한 클라우드 기반 비즈니스 환경에서 내부적으로나 업계 전반적으로 급격한 변화의 시기에 운영되고 있습니다. 예를 들어, 조직은 지속적인 디지털 혁신을 추진하면서 결제 프로세스 및 기타 절차를 가속화할 수 있는 인공 지능과 같은 신기술에 대한 투자를 방해하는 조직적 마찰을 극복하기 위해 노력하고 있습니다. 

그러나 이러한 성장이 안전한 코딩 환경을 유지하는 능력에 어떤 영향을 미치는지에 대해서도 더 많은 인식이 필요합니다.

이 금융 서비스 기업을 위한 보안 트렌드 가이드에서는 다음과 같은 내용을 확인할 수 있습니다:

• AI 개발 도구가 소프트웨어 개발 수명 주기에 어떤 영향을 미치는지 알아보세요.
• 금융 서비스에 규제 강화가 중요한 이유와 그것이 팀에 미치는 영향에 대해 알아보세요.
• 애자일 학습이 팀의 안전한 코딩에 어떤 도움이 될 수 있는지 알아보세요.
• 타사 앱의 성장이 보안 환경에 어떤 영향을 미치는지 알아보세요.
• 팀 전반의 ROI에 대한 집중도가 높아져 교육에 대해 걱정할 필요가 없는 이유입니다.

‍

PCI DSS 4.0 공개: 개발자를 위한 보안 역량 강화의 기회 포착

앱 보안 담당자나 개발 관리자라면 대부분의 개발자가 규정 준수 교육을 받는 것을 달가워하지 않는다는 사실을 이미 알고 있을 것입니다. "규정 준수"라는 단어만 들어도 대부분의 사람들이 하품을 억누릅니다. 하지만 규정 준수 교육은 반드시 필요하며, 개발자들의 마음을 사로잡기 위해 더 노력해야 합니다.

안전한 소프트웨어 개발은 더 이상 어떤 회사에서나 '있으면 좋은 것'이 아니라 모든 조직에서 최우선적으로 고려해야 할 사항입니다. 그리고 방대한 양의 민감한 고객 정보를 보유하고 있는 조직이라면 비용이 많이 드는 사이버 공격의 표적이 될 수 있습니다. 개발자는 코드를 가장 먼저 접하는 사람이므로 보안 규정 준수 조치에 다른 팀원들과 마찬가지로 참여해야 합니다.

개발자와 앱보안 전문가가 함께 힘을 모아 더 높은 수준의 코드를 추구할 수 있는 기회입니다. 지금까지는 개발자가 보안을 우선순위로 삼을 수 있는 적절한 도구가 부족했고, 사일로화된 보안 전문가가 그 책임을 혼자 감당할 수 없었다는 사실을 전 세계가 천천히 따라잡아가고 있습니다. 하지만 업계가 보안을 공동의 책임으로 삼는 AI 기반 DevSecOps의 미래로 나아가면서 반복되는 취약성의 흐름을 막는 데 필요한 기술을 구축할 수 있습니다.

2025년으로 예정된 PCI DSS 4.0 준수 기한은 소프트웨어 보안에 긍정적인 영향을 미치는 데 필요한 기술과 기술 스택을 갖춘 개발자에게는 업계에서 가장 큰 기회입니다. 이 최신 가이드라인은 지금까지 가장 운영 유연성이 높은 가이드라인으로, 이제 개발자가 의미 있는 변화를 주도할 수 있는 강력한 맞춤형 보안 프로그램을 만들어야 할 때입니다.

개발팀의 PCI DSS 규정 준수를 위한 간단한 가이드를 읽어보세요:

• 최신 개발자가 PCI DSS 4.0을 준수하기 위해 필요한 사항.
• 보안 전문가와 개발 관리자가 협력하여 강력한 개발자 중심 보안 프로그램을 구축하는 방법을 알아보세요.
• 취약성을 영구적으로 줄이기 위한 가장 강력하고 보람 있는 교육 이니셔티브에 대한 단계별 권장 사항을 확인하세요.

‍

인공지능 엔진은 새로운 모델과 버전이 나올 때마다 다양한 분야에 적용될 수 있는 더욱 강력하고 인상적인 기능을 선보이면서 모든 곳에 적용되기 시작했습니다. 인공지능의 좋은 활용 사례로 제시된 한 가지 영역은 코드 작성이며, 일부 모델은 이미 다양한 프로그래밍 언어를 사용하여 그 능력을 입증했습니다.

그러나 AI가 인간 소프트웨어 엔지니어의 일자리를 대신할 수 있다는 전제는 과장된 것입니다. 오늘날 운영되고 있는 최고의 AI 모델들은 모두 고급 프로그래밍 능력에 있어 심각한 한계를 드러냈으며, 그 중에서도 컴파일하는 코드에 오류와 취약성을 빠른 속도로 도입하는 경향이 가장 두드러집니다. 

AI를 사용하면 과중한 업무에 시달리는 프로그래머의 시간을 절약할 수 있는 것은 사실이지만, 미래에는 모든 코드의 보안을 최대한 보장하는 비판적 사고와 정밀 기술을 전적으로 담당하는 유능한 인력이 인간과 AI가 함께 일하는 시대가 될 것입니다. 따라서 안전한 코드를 작성하고, 취약점을 찾아내고, 애플리케이션이 프로덕션 환경에 들어가기 훨씬 전에 최대한 보호되도록 설정하는 능력은 매우 중요합니다.

새 백서( Secure Code Warrior)에서 자세한 내용을 확인할 수 있습니다:

• LLM 코드 출력에 대한 맹목적인 신뢰의 함정.
• 보안에 능숙한 개발자가 AI 코딩 도구와 프로그래밍을 안전하게 '페어링'해야 하는 이유
• AI 지원 프로그래밍 시대에 개발 집단의 역량을 강화하기 위한 최고의 전략입니다.
• AI의 한계(그리고 이를 극복하는 방법)를 보여주는 대화형 챌린지입니다.

‍