PCI DSS 4.0.1 업데이트: 고객 결제 프로세서에 필요한 주요 신규 API 보안 업그레이드

최신 PCI DSS(Payment Card Industry Data Security Standard) 4.0.1 업데이트는 API와 클라이언트 측 스크립트를 포함한 소프트웨어 공급망에 더 큰 중점을 두는 중요한 업데이트입니다.

PCI DSS 3.2.1이 종료됨에 따라 결제를 처리하는 조직은 최신 마이크로서비스 기반 애플리케이션, 멀티클라우드 환경 및 API 구현 증가의 변화하는 환경에 적응해야 합니다.

이 블로그 게시물에서는 거의 모든 산업과 조직의 거래에 필수적이 된 API를 보호하기 위해 특별히 도입된 PCI DSS 4.0.1의 몇 가지 중요한 새로운 요구 사항을 살펴봅니다.

새로운 임무는 다음과 같습니다.

• 배포 전 테스트 6.2.3: 이는 출시 전에 API를 포함한 맞춤형 소프트웨어에 대한 엄격한 검토, 테스트 및 안전한 개발 관행을 강조하여 코드 취약성을 식별하고 수정하는 것을 의미합니다.
• 일반적인 위협에 대한 보호 6.2.4: 조직에서는 맞춤형 소프트웨어에서 일반적인 소프트웨어 공격과 관련 취약점을 방지하거나 완화하기 위한 통제 수단을 구현해야 합니다. 주요 공격 범위에는 비즈니스 로직의 남용, 주입 공격(예: SQL, LDAP, XPATH 또는 기타 명령, 매개변수, 객체, 오류 등), 액세스 제어 및 데이터에 대한 공격이 포함됩니다. 모두 API 보호에 중요합니다.
• 맞춤형 소프트웨어에 대한 인벤토리 및 통찰력 6.3.2: 또한 기업에서는 취약성 관리 및 패치를 용이하게 하기 위해 API와 타사 구성 요소를 비롯한 맞춤형 소프트웨어의 가시성과 인벤토리를 유지해야 하며, 포괄적인 보안 태세를 보장해야 합니다.
• 생산 가시성, 위협 탐지 및 테스트 6.4.1 및 6.4.2: 이 업데이트에서는 취약점, 알려진 공격 및 새로운 위협으로부터 공개 웹 애플리케이션과 API를 정기적으로 테스트하고 지속적으로 모니터링하며 보호해야 할 필요성을 강조합니다. 이러한 요구 사항 중에는 다음이 있습니다.
  • 공개 웹 앱 및 API에 대한 정기적(최소 연 1회) 스캐닝 및 테스트
  • 공개 웹 앱 및 API 앞에 배포되어 웹 및 API 기반 공격을 탐지하고 방지하는 기술 솔루션