결제 카드 산업 데이터 보안 표준(PCI DSS) v3.2.1은 2024년 3월 31일에 만료되었고 PCI DSS v4.0으로 대체된 것 아닌가요?
네, 둘 다 맞습니다.
그러나 PCI DSS v4.0 발표 후 접수된 피드백과 질문에 대응하기 위해 PCI 보안 표준 위원회(PCI SSC)는 표준의 제한적 개정판인 PCI DSS v4.0.1을 발표하기로 결정했습니다. (PCI DSS v4.0이 2024년 12월 31일에 폐기되면 v4.0.1이 PCI SSC에서 지원하는 유일한 활성 표준이 됩니다.)
트랜잭션 보안 및 규정 준수를 업데이트하거나 구축할 때 알아두어야 할 몇 가지 중요한 변경 사항이 PCI DSS v4.0.1에 포함되어 있습니다. 이 블로그에서는 간략하게 F5의 애플리케이션 및 API 보안 솔루션과 관련된 변경 및 업데이트 사항을 다룹니다. 전체 변경 사항 목록은 PCI SSC 웹사이트에서 확인할 수 있습니다.
PCI DSS v4.0.1에 포함된 주요 업데이트는 클라이언트 측 보안 요구 사항의 적용 범위를 명확히 하는 데 목적이 있습니다.
누가 무엇을 책임지나요?
요구사항 6.4.3
이 요구 사항에서는 소비자의 브라우저에 로드되어 실행되는 모든 결제 페이지 스크립트를 다음과 같이 관리해야 한다고 명시합니다:
- 각 스크립트가 승인되었는지 확인하는 방법이 구현되어 있습니다.
- 각 스크립트의 무결성을 보장하기 위한 방법이 구현되어 있습니다.
- 모든 스크립트의 목록을 유지하고, 각 스크립트가 필요한 이유에 대한 비즈니스 또는 기술적 근거를 문서화합니다.
일반적으로 판매자는 결제 처리를 위해 결제 서비스 제공업체 또는 제3자 서비스 제공업체(PSP 또는 TPSP)에 의존하며, 이 결제 처리 방식에 따라 소비자가 구매하는 상품이나 서비스의 대금을 지불하는 방법이 결정됩니다. 이 PCI 요구사항은 판매자가 결제 페이지가 포함된 PSP/TPSP 인라인 프레임(iframe)을 사용하는 경우의 책임 모델과 관련해 혼란을 야기했습니다. iframe은 기본적으로 특정 기능을 위해 렌더링되는 작은 웹 페이지입니다. iframe에서도 스크립트가 실행될 수 있으므로 상위 웹 페이지와 동일한 위험에 노출됩니다. 그렇다면 iframe에도 상위 페이지와 동일한 PCI 요구사항을 적용해야 할까요?
v4.0.1 업데이트에서는 판매자가 PSP/TPSP iframe에서 실행되는 스크립트가 아니라 자체 페이지(상위 페이지)에서 실행되는 스크립트에 대해서만 책임이 있음을 명확히 설명합니다.
모범 사례: PSP/TPSP iframe 페이지가 규정을 준수하고 안전하도록 공급업체와 협력하는 것은 판매자의 책임입니다. 판매자가 이 요구 사항을 이행하지 않으면 결제 사기 문제가 발생하여 사업상 손실을 입고 PCI의 엄격한 조사를 받을 수 있습니다.
요구 사항 11.6.1
요구 사항 11.6.1에도 이와 유사한 설명이 추가되었으며, 소비자 브라우저가 수신하는 HTTP 헤더 및 스크립트 중 보안에 영향을 미치는 시스템에 중점을 두었습니다. 이는 중요한 변경 사항입니다. PCI가 보안과 무관한 HTTP 헤더 및 스크립트 사고에 대한 광범위한 보호를 요구하는 대신, 이 요구 사항과 관련된 위험에 초점을 맞추고 있음을 명확히 했기 때문입니다.
PSP/TPSP가 삽입한 iframe의 책임 모델도 업데이트되어, 판매자는 상위 웹 페이지만 책임지고 PSP/TPSP 공급업체는 해당 iframe에서 렌더링되는 보안에 영향을 미치는 HTTP 헤더와 스크립트를 책임진다는 점이 명확해졌습니다.
시간이 얼마 남지 않았습니다
새로운 요구 사항의 이행 기한인 2025년 3월까지 9개월도 채 남지 않은 상황에서, 조직은 제안된 변경 사항과 PCI DSS v4.0.1 준수와 관련된 모든 복잡한 문제를 해결해야 합니다.
F5 및 PCI DSS v4.0.1
F5 Distributed Cloud 웹 앱 및 API 보호(WAAP), Distributed Cloud Bot Defense, Distributed Cloud Client-Side Defense 및 모바일 앱 보안 제품군은 F5 Distributed Cloud Services에서 전체 기업-소비자 간 거래를 보호하는 기반을 형성합니다. 클라이언트 측 스크립트의 경우 Distributed Cloud Client-Side Defense는 규정 준수에 필요한 가시성과 제어 기능을 제공할 수 있습니다. F5 Distributed Cloud Services는 현재 PCI DSS v4.0을 준수하며, 승인된 감사 기관을 통해 정기적으로 규정 준수 감사를 받습니다. 조직은 2025년 1월 1일까지 PCI DSS v4.0.1을 준수해야 하며, 이를 반영하도록 자체 평가 설문지를 업데이트해야 합니다.
마지막으로, PCI DSS 요구 사항이 적용되는 조직은 향후 몇 분기 동안 다음 문서가 변경될 것으로 예상할 수 있습니다:
- 자체 평가 설문지(SAQ)
- 규정 준수 보고서(ROC)
- 규정 준수 증명서(AOC)
모범 사례: 표준의 업데이트 또는 개정 사항을 확인하려면 https://blog.pcisecuritystandards.org을 모니터링하고, 조직이 PCI DSS 요구 사항을 충족할 수 있도록 순조롭게 준비하고 있는지 PCI DSS 감사자와 논의하세요.
자세한 내용은 f5.com/products/distributed-cloud-services에서 확인하세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.