By Bill Brenner December 9, 2008 CSO Online - ITWORLD

처음 컴플라이언스 감사를 통과한 후 PCI보안과제가 끝날 것이라고 생각하는 사람들은 처음에 애를 겪었던 동일한 문제들에 의해 계속 끌려다니고 있다라고 말한다.

Apple Gold Group사의 POS 및 Communication support manager인 Jennifer Atwell에게 로그 관리는 계속해서 성가신 골칫거리이다.
“로그 관리는, 필연적이긴 하지만, 우리에게 가장 큰 쟁점이 되어 왔다.” 고 North Carolina 지역의 Raleigh-Durham에 거점을 두고 있는 Atwell이 말했다. “좋은 벤더사와 협력하는 것은 도움이 되긴 하지만, 무(無)에서 시작할 때는 그야말로 대형 프로젝트이다.”

영국의 Lifestyle Service Group의 정보 보안 및 컴플라이언스 수장인 Jim Griffiths에 의하면 레거시(legacy) 어플리케이션은 PCI 보안에 계속 난제가 되고 있다. 그리고 Kuwait의 National Bank의 정보보안책임자 Imran Minhas는 데이터베이스 암호화 과제로 계속 난항을 겪고 있다.

“데이터베이스 암호화는 그 자체로 거대한 프로젝트로 알려지고 있다고 Minhas는 설명한다. “카드소유자 데이터가 암호화되지 않은 곳에는, 하루아침에 데이터베이스의 거의 모든 것들이 암호화되어야 한다. 무엇보다도 모든 사람이 이 프로젝트를 최우선시하는 것은 다소 어려운 일이다. 상위관리자들이 적임이지만, 솔루션을 구현하려는 사람들에게 일이 떨어진다.

최근 몇주간 CSOonline에 의해 조사된 대다수의 보안관련자들에게, 가장 큰 문제는 상위 관리자들이었다.
고위 관리자는 처음 PCI 보안 준수 노력 기간에는 전적으로 지원자가 되어줄 수도 있다. 그러나 첫 감사가 끝나고 회사가 합격점수를 받게 되면, 관리자들은 업무가 끝났다고 간주해버린다.

“모든사람, 특히 상위 관리자는 PCI 감사를 통과하면 1년은 안전하다라고 생각한다”라고 뉴욕에 있는 회사의 네트워크 보안관리자인 David Glosser가 말했다. 또한 “PCI를 준수하는 가게는 완벽하다라는 인식이 존재한다” 라고 말했다.

상위 관리자의 문제
CSOonline에 의해 조사된 다른 리포트들에서도 동일한 장벽에 부딪치고 있다고 Glosser는 말했다. 로스앤젤레스의 Techtonica의 회장/CISM/CISSP인 Daniel Blander는 그 문제들을 바로 가까이에서 보아왔다라고 말했다.
“두개의 PCI 프로젝트를 수행했었는데, 가장 큰 과제는 일반적으로 관리자의 시각인데, 규정을 총족하면, 할 일을 다했다라는 생각을 한다” 라고 그는 말했다. “관리자의 일부 파트는 PCI의 “why”를 이해하지만 전체 위험 관리를 알지 못한다. 사후에 관심을 유지하는 것이 가장 큰 과제이다”

헝가리의 회사에서 기술 매니저로 근무하는 Serg Anishchenko는 무지한 상위관리자의 우스운 예제를 제시하고 있다.
그의 회사의 고위 관리자들에 관해서, “ 그들은 몇 주 후면 나 혼자 시스템을 수정할 수 있을 것이라고 확신하고 있었다” “또다른 과제는 규정을 충족하는 가장 쉬운 방법을 찾아서 가장 오랫동안 그 방법을 지속하는 로드맵을 만들어내는 것이었다.”

영국의 QCC Information Security의 선임컨설턴트인 Tim Holman은 PCI보안은 여전히 상위관리자들로부터의 개입 없이, 여전히 일반적인 IT 보안 프로젝트로 여겨지고 있어서, 결국은 시간낭비에 불과한 활동을 하는 꼴이 된다. 신용카드 지불을 책임지는 것이 관리자 레벨에서의 리스크로 거의 인지되지 못한다.

문서화
보안관계자들이 언급한 두번째로 큰 지속적인 과제는 로그 관리와 문서화이다. 감사자들은 감사 동안 신속히 이해하며, 그 로그들은 보안 구멍과 시도된 침해들을 발견하는 중요한 툴이다. 불행하게도, 좋은 로그 관리는 유지하기에 쉬운 프로세스가 아니다.

“ PCI DSS 컴플라이언스에 관한 내 경험은 문서화가 문제라는 것을 보여줬었다. 상인들은 훌륭한 보안 설비를 갖출 수 있지만, 변경관리 절차를 위한 정책을 기록하는 것은 어렵다” 라고 우크라이나의 Swedbank에 기업고객센터의 부서장인 Dmitriy Tsygankov가 말했다. 모든 절차들이 일단 적소에 있다면, “IP 테이블을 변경하거나 새로운 서버를 구매하는 것이 어렵다기 보다는, 문서화 절차에 의해 모든 절차를 사용하고 통제하는 것이 훨씬 어려운 일이다”

서바이벌 팁
Blander는 기업들이 계속 고군분투하는 다수의 PCI 과제들이 있다라고 설명했다. 그 중 한 가지는, 규정들이 매우 광범위해서, 교정의 순수한 범위들이 압도당할 수 있다는 것이다. 소매상들에게 그것은 모든 상점들(일반적으로 수백만)을 의미한다 “넓은 범위를 다루는 순수비용은 소매상의 현 상태가 주어진 요소이다. 이는 규정들을 곤란하게 하는 것이 아니라, 단지 빠듯한 예산과 제한된 자원에 난제가 된다.

그는 과제의 범위가 조직을 능가하도록 내버려두지 말고, PCI가 아닌 투자수익을 제공하는 사업에 뭔가를 되돌려주는 모든 교정과 통제를 사용하여야 한다라고 충고한다.

“파일 무결성 모니터링은 제대로 사용된다면, 구현의 질을 개선하고 형상 표준들을 유지하는데 매우 훌륭하다; 형상 표준들은 일관성을 증진시킴으로써 서비스와 시스템의 질을 개선할 수 있다.” 라며 총체적으로 기업에 좋은 것은 없다라고 말했다.

Griffith는 위에 열거된 많은 과제들을 경험했다. 그러나 그는 PCI 보안으로 정당하게 평가하는 그의 조직의 능력에 만족하고 있다. 그는 “이겨낼 수 없는 고통은 없다”라고 말하며 “ PCI는 현 보안 실무지침의 논리적인 확장이거나 또는 거의 보안 흥미가 없는 조직들에서의 크나큰 도전이다”
PCI 보안을 다루는 모든 조직에게 가장 중요한 요소는, 보안 전문가들이 일반적으로 동의한 Griffiths가 언급한 보안에 대한 관심이다.