PCI DSS 3.2.1은 2024년에 공식적으로 은퇴했습니다. 현재 유효한 유일한 버전은 PCI DSS 4.0.1이며, 이는 단순히 컴플라이언스 담당자(compliance officers)뿐만 아니라 엔지니어링 팀에게 있어 "충분한 준수(compliant enough)"가 무엇을 의미하는지를 변화시킵니다.

만약 귀하의 팀이 단 1초라도 기본 계좌 번호 (PAN, Primary Account Number)를 저장, 처리 또는 전송하는 무언가를 구축한다면, 귀하는 범위(scope) 내에 있게 됩니다. 그리고 4.0.1 버전 하에서 범위 내에 있다는 것은 일 년에 한 번 수행하는 감사 스프린트가 아니라, 지속적이고 증거가 있는 통제(evidenced controls)를 의미합니다. 이러한 변화는 엔지니어링 팀에 직접적으로 전달되며, 대부분의 핀테크(fintech) 팀이 수년간 조용히 무시해 온 곳, 즉 스테이징(staging) 및 테스트 환경에서 가장 강력하게 나타납니다.

아무도 감사하고 싶어 하지 않는 스테이징 환경

대부분의 핀테크 엔지니어링 팀에게 테스트 데이터가 어디에서 오는지 물어본다면, 솔직한 답변은 대개 다음과 같은 형태일 것입니다: 누군가 기억할 때마다 새로 고침되는, PCI 범위를 고려하여 설계되지 않은 환경에서 실행되는 프로덕션(production)의 마스킹된(masked) 복사본.

그 답변은 4.0.1 평가에서 살아남을 수 없습니다.

감사 비용과 리스크를 줄이기 위한 표준의 가장 큰 레버는 범위 축소(scope reduction)입니다. 즉, 특정 시스템에서 카드 데이터에 전혀 접촉하지 않을 수 있는가 하는 점입니다. PAN을 저장, 처리 또는 전송하는 모든 환경은 범위 내에 포함되며, 범위는 컴플라이언스 비용과 침해 리스크가 모두 집중되는 곳입니다. 프로덕션 추출물로부터 시딩(seeded)된 스테이징 데이터베이스는, 설령 마스킹된 것이라 할지라도, 마스킹이 PAN을 완전히 제거할 수 있을 만큼 엄격하지 않다면(실제로는 그렇지 않은 경우가 빈번합니다) 해당 환경을 귀하의 카드 소유자 데이터 환경 (CDE, Cardholder Data Environment) 내에 머물게 합니다.

가장 흔한 감사 실패 사례는 결제 흐름 자체가 아닙니다. 그것은 애플리케이션 로그, 지원 도구, 또는 아무도 범위를 설정할 필요가 없다고 생각했던 스테이징 데이터베이스로 흘러 들어간 PAN입니다.

4.0.1이 엔지니어링 팀을 위해 구체적으로 바꾸는 것은 무엇인가?

4.0 버전의 약 60개에 달하는 새로운 요구 사항 대부분은 특정 시점의 점검(point-in-time checks)을 지속적이고 증거가 있는 관행으로 전환합니다. 엔지니어링 팀에 직접적으로 영향을 미치는 항목은 다음과 같습니다:

이제 관리자 액세스나 원격 액세스뿐만 아니라, 카드 소유자 데이터 환경 (Cardholder Data Environment, CDE)으로 들어오는 모든 경로에 대해 MFA (다요소 인증)가 요구됩니다. 모든 사용자, 모든 서비스 계정, 모든 경로가 대상입니다.

모든 결제 페이지의 제3자 및 커스텀 스크립트는 인벤토리(Inventory)를 작성하고 무결성 검사 (Integrity-check)를 수행해야 하며, 이는 Magecart 스타일의 스키밍 (Skimming) 공격에 대한 직접적인 대응책입니다.

대상 위험 분석 (Targeted risk analysis)에는 이제 테스트 빈도에 대한 문서화된 근거가 필요합니다. "항상 해왔기 때문에 매년 합니다"라는 답변은 더 이상 심사관의 질문을 통과할 수 없습니다.

모든 통제 항목에는 지정된 소유자 (Named owner)가 있어야 합니다. 감사인은 특정 요구사항의 소유자가 누구인지 묻고, 팀 이름이 아닌 구체적인 답변을 기대합니다.

이러한 모든 변화를 관통하는 핵심은 4.0입니다. 4.0.1 버전은 엔지니어링의 일부로서 이미 로그를 남기고, 모니터링하며, 문서화하는 팀에게는 보상을 주지만, 컴플라이언스 (Compliance)를 감사 직전에 덧붙여지는 별도의 작업 흐름으로 취급하는 팀에게는 불이익을 줍니다.

스테이징 및 테스트 데이터 인프라는 이러한 변화의 정중앙에 놓여 있습니다. 만약 귀하의 CI 파이프라인이 운영 환경에서 추출한 데이터로 데이터베이스를 시딩 (Seeding)한다면, 해당 파이프라인은 귀하가 의도했든 아니든 이제 지속적이고 증거가 있는 통제 표면 (Control surface)의 일부가 됩니다.

운영 환경 복사본을 마스킹 (Masking)하는 것이 왜 실제로 해결책이 되지 않는가?

컬럼 수준 마스킹 (Column-level masking)이 문제를 해결해 주는 것처럼 느껴질 수 있습니다. 하지만 이는 문제를 완전히 해결하지 못하며, 마스킹이 해결하지 못하는 부분들이 바로 심사관이 찾아내도록 훈련받은 부분들입니다.

복사된 운영 테이블에서 이름이나 카드 번호를 마스킹한다고 해서, 실제 금융 활동에서 비롯된 기저의 트랜잭션 패턴 (Transaction patterns), 고객 관계 구조, 또는 시간적 순서 (Temporal sequencing)가 제거되지는 않습니다. 만약 마스킹 스크립트가 단 하나의 필드, 단 하나의 로그 라인, 또는 단 하나의 다운스트림 내보내기 (Downstream export)를 놓친다면, 해당 PAN (Primary Account Number) 또는 재구성 가능한 트랜잭션 패턴은 귀하의 CDE처럼 범위가 지정되거나, 모니터링되거나, 액세스 제어가 이루어지지 않은 환경에 놓이게 됩니다.

그리고 스키마 (schema)가 변경될 때마다, 새로운 필드가 추가될 때마다, 새로운 내보내기 경로 (export path)가 구축될 때마다 마스킹 (masking)을 매번 재검증해야 합니다. 이러한 검증 부담은 매 스프린트 (sprint)마다 가중됩니다. 대부분의 팀은 매 스프린트마다 이를 재검증하지 않습니다. 그들은 설정 시점에 한 번 검증하고, 1년 후에도 여전히 유효할 것이라고 가정합니다.

프로덕션 소스 (production source)로부터 변환된 것이 아니라 통계 모델 (statistical models)로부터 생성된 합성 데이터베이스 (synthetic database)는 이러한 문제를 겪지 않습니다. 왜냐하면 파이프라인 (pipeline)의 어느 시점에도 놓칠 수 있는 실제 PAN (Primary Account Number)이나 실제 트랜잭션 내역 (transaction history)이 존재하지 않기 때문입니다.

핵심 뱅킹 및 결제 테스트 데이터에 실제로 필요한 것은 무엇인가?

결제 및 핵심 뱅킹 (core banking) 데이터는 관계적으로 매우 밀집되어 있어, 부실한 테스트 데이터는 특히 위험합니다. 단일 트랜잭션 레코드 (transaction record)는 계좌, 거래 상대방, KYC (Know Your Customer) 상태, 리스크 플래그 (risk flags), 승인 코드 (authorization codes), 그리고 결제 기록 (settlement records)에 영향을 미칩니다. 현실적인 테스트를 위해서는 이 모든 요소가 단순히 개별적으로 그럴듯한 것을 넘어, 정확하고 서로 연결되어 있어야 합니다.

특히 핵심 뱅킹 테스트에는 유효한 KYC 조합, 규제 경계 사례 (regulatory boundary cases), 이자율 순열 (interest rate permutations), 그리고 NPA (부실 자산, non-performing asset) 분류가 필요하며, 이와 더불어 시스템이 어떻게 성공하는지가 아니라 어떻게 실패하는지를 드러내는 네거티브 테스트 케이스 (negative test cases) 및 에지 시나리오 (edge scenarios)가 병행되어야 합니다. 무작위로 생성된 테스트 데이터는 이러한 조합을 올바르게 생성하는 경우가 거의 없습니다. 독립적인 필드 생성 방식은 계좌 리스크 등급 (account risk tier), 트랜잭션 속도 (transaction velocity), 그리고 승인 결과 (authorization outcomes) 사이의 상관관계를 놓치게 되며, 이는 실제 사기 탐지 (fraud detection) 또는 언더라이팅 (underwriting) 모델이 올바르게 작동하는 데 필수적인 요소들입니다.

이 도메인을 위해 구축된 합성 데이터베이스 (synthetic database)는 대부분의 임시 테스트 데이터 설정이 갖추지 못한 다섯 가지 속성을 갖추어야 합니다: 실제 테이블 구조와 외래 키 (foreign keys)를 준수하는 스키마 인식 생성 (schema-aware generation), 계정 리스크, 거래 패턴, 승인 결과 사이의 도메인 인식 상관관계 (domain-aware correlations), 승인이 결제보다 앞서고 KYC가 계정 활성화보다 앞서도록 하는 시간적 일관성 (temporal consistency), 규제 기관과 사기 탐지 모델이 포착하도록 설계된 경계 조건 (boundary conditions)을 포함하는 엣지 케이스 (edge case) 커버리지, 그리고 스테이징에서 발견된 버그를 문서화된 시드 (seed)로부터 재현할 수 있는 완전한 재현성 (reproducibility)입니다.

SyntheholDB가 PCI 범위 내 엔지니어링 스택에 적용되는 방식

SyntheholDB는 실제 PAN (Primary Account Number), 실제 계정 기록 또는 그 어떤 운영 데이터 소스에도 전혀 손을 대지 않고 운영 환경과 유사한 합성 데이터베이스를 생성합니다. 이 단 하나의 속성이 SyntheholDB가 접하는 모든 환경에 대한 컴플라이언스 (compliance) 논의를 변화시킵니다.

SyntheholDB로 생성된 스테이징 데이터베이스는 마스킹된 운영 복사본과 달리 결코 PCI 범위 (PCI scope) 내에 포함되지 않습니다. 왜냐하면 생성 파이프라인 내에 유출되거나, 잘못 마스킹되거나, 삭제를 누락할 실제 카드 소유자 데이터 요소가 전혀 존재하지 않았기 때문입니다. 이는 PCI DSS 4.0.1 자체에서 권장하는 범위 축소 (scope-reduction) 전략을 결제 흐름 대신 테스트 인프라에 적용한 것입니다.

특히 핵심 뱅킹 및 결제 엔지니어링을 위해, SyntheholDB는 계정, 거래, KYC 상태 및 리스크 플래그 전반에 걸친 도메인 인식 상관관계, 모든 연결된 테이블에 걸쳐 강제되는 참조 무결성 (referential integrity), 그리고 운에 맡기는 것이 아니라 설계 단계부터 생성 과정에 내장된 엣지 케이스 및 경계 조건을 갖춘 스키마 인식 데이터베이스를 생성합니다. CI (지속적 통합) 환경에서 SyntheholDB API를 통한 결정론적 시드 기반 생성 (deterministic seed-based generation)은 모든 파이프라인 실행마다 신선하고 일관되며 현실적인 데이터베이스를 제공함을 의미합니다. 이를 통해 오래된 피스처 (fixtures) 문제를 방지하며, PAN이 로그, 테스트 데이터베이스 또는 지원 도구에 절대 노출되지 않도록 합니다.

모든 생성물에는 충실도 점수 (fidelity score), 개인정보 보호 라벨 스캔 (privacy label scan), 그리고 참조 무결성 보고서 (referential integrity report)가 함께 제공됩니다. 심사관이 비운영 환경 (non-production environments)의 범위 설정 (scoped) 및 거버넌스 (governed) 방식에 대해 질문할 때, 질문이 끝나기도 전에 완벽하게 문서화된 답변을 내놓을 수 있습니다. 이것이 바로 PCI DSS 4.0.1이 요구하는 지속적이고 증거 기반인 보안 태세 (evidenced posture)입니다.

테스트 스택에서 PAN을 제거하기 위한 실질적인 경로
스테이징 환경에서 카드 소유자 데이터 (cardholder data) 노출 위험이 가장 높은 서비스부터 시작하십시오. 즉, 테스트 데이터베이스가 가장 최근에 운영 환경 추출 데이터 (production extract)로 갱신되었거나, 결제 승인 흐름 (payment authorization flow)에 가장 인접한 서비스입니다.

SyntheholDB에서 해당 서비스의 스키마 (schema)를 내보내거나 기술하십시오. 테스트 스위트 (test suite)에 필요한 데이터 규모에 맞춰 합성 데이터베이스 (synthetic database)를 생성합니다. 서비스와 CI 파이프라인을 마스킹된 운영 환경 복사본 (masked production copy) 대신 합성 데이터베이스에 연결하십시오. 전체 회귀 테스트 (regression suite) 및 통합 테스트 (integration suite)를 실행하고, 이전의 피스처 (fixtures)로는 나타나지 않았던 현실적인 데이터가 무엇을 드러내는지 측정하십시오.

해당 서비스가 합성 데이터에 대해 문제없이 작동한다면, 기존에 의존하던 마스킹된 운영 환경 복사본을 폐기(decommission)하고, 이 폐기 과정을 다음 심사를 위한 범위 축소 (scope reduction)의 증거로 문서화하십시오.

무료로 체험해 보세요

SyntheholDB는 무료로 시작할 수 있습니다. 신용카드 정보는 필요하지 않습니다. 첫 번째 합성 데이터베이스는 60초 이내에 준비됩니다.

여기에서 가입하세요: https://db.synthehol.ai/#/login

만약 귀하의 팀이 올해 이미 PCI DSS 4.0.1 심사를 마쳤다면, 새로운 범위 요구 사항에 대해 가장 놀라웠던 점이 무엇인지 댓글로 남겨주세요. 이 커뮤니티의 답변이 플랫폼에 다음에 구축될 기능을 결정합니다.