PCI DSS 3.2.1의 시계가 자정을 알렸습니다... 4.0을 맞이할 준비가 되셨나요?

전 세계적으로 중요한 날짜였던 2024년 3월 31일 일요일이 지나갔습니다. 제가 왜 이렇게 말할까요? 소비자 결제를 받는 모든 조직에 이날은 PCI DSS 3.2.1 규정 준수 표준이 폐지된 날입니다(2018년 5월 1일~2024년 3월 31일). 이제 귀사는 PCI DSS 4.0 일정에 따라야 하며, 2025년 3월까지 4.0을 준수하는 SAQ를 완료하고 외부 기관의 감사를 받아야 합니다. 소비자 결제를 통해 매출을 올리려면 PCI DSS 4.0을 준수하지 않는 것은 선택지가 될 수 없습니다.

PCI DSS 4.0 사양은 3.2.1에서 대폭 업그레이드되었으며, 변경 사항 요약은 여기에서 확인할 수 있습니다. 버전 4.0에는 수많은 변경 사항이 도입되었으며(업데이트된 SAQ도 포함) 규정 준수를 달성하고 유지하려면 전체 구조에서 새롭게 보안을 확보해야 하는 두 가지 영역이 있습니다:

• 애플리케이션 프로그래밍 인터페이스(API) [2.2.7; 6.2.3; 6.2.4]
• 맞춤형 소프트웨어 [6.X; 8.6.2; 12.8.1]

간단히 설명하기 위해 ‘맞춤형 소프트웨어’의 일부만 조금 더 자세히 살펴보겠습니다. 이는 소비자의 결제를 원활하게 처리할 수 있도록 조직에서 자체 개발한 소프트웨어입니다. 맞춤형 소프트웨어는 다음과 같습니다:

• 내부에서 개발되었거나 외부 제3자 소스를 통해 개발됨
• 데이터 수집을 위해 결제 애플리케이션용으로 개발된 소프트웨어(거래의 서버 측) 또는 소비자의 웹 브라우저로 전송되는 소프트웨어(거래의 클라이언트 측)

많은 조직이 직면할 과제는 맞춤형 소프트웨어의 보안 및 PCI DSS 준수 범위를 소비자의 웹 브라우저까지 확대하는 것입니다(요구사항 6.4.1, 11.6.1). 이제 거래를 안전하게 보호하려면 서버 측을 보호하는 데 그치지 않고, 조직이 배포한 ‘맞춤형 소프트웨어’로부터 소비자의 웹 브라우저를 모니터링하고 보호해야 합니다. 또한 클라이언트 웹 브라우저용 맞춤형 소프트웨어(예: JavaScript)를 제3자로부터 제공받았다고 해서 결제 수납자의 모니터링 및 보호 의무가 면제되는 것은 아닙니다. 소프트웨어 제공처에 책임을 떠넘기려 해도 감사인에게는 통하지 않습니다.

그렇다면 클라이언트 측 맞춤형 소프트웨어에 대한 요구사항은 무엇일까요? 6.4.1항의 핵심은 다음과 같습니다:

소비자의 브라우저에서 로드되고 실행되는 모든 결제 페이지 스크립트는 다음과 같이 관리됩니다:

• 각 스크립트가 승인되었는지 확인하는 방법이 구현되어 있습니다.
• 각 스크립트의 무결성을 보장하기 위한 방법이 구현되어 있습니다.
• 모든 스크립트의 목록을 유지하고, 각 스크립트가 필요한 이유를 서면으로 명시합니다.

이는 배포되는 모든 소프트웨어(스크립트)를 목록화하고, 각각의 필요성을 입증하며, 침해가 확인될 경우 이를 해결하기 위한 대응 계획과 함께 모니터링해야 한다는 의미입니다. 귀사의 애플리케이션/IT 보안 담당자는 이 요구 사항을 관리하고 모니터링하며 보고할 준비가 되어 있습니까? 귀하와 귀하의 팀은 PCI DSS 감사자와 4.0 규정 준수 검토 일정에 대해 논의했습니까? 이제 보안 및 PCI DSS 규정 준수 계획이 차질 없이 진행되고 있으며, 보안 운영은 물론 더 중요하게는 조직의 수익 창출에도 지장을 주지 않는지 확인해야 할 때입니다. PCI DSS 4.0 규정 준수를 위해 거래의 클라이언트 측을 보호해야 할 시점이 생각보다 훨씬 가까이 다가왔기 때문입니다.