로이스가 공개한 PCI DSS v4.0 인터뷰, 예상 타임라인은?

PCI 인증기관 '로이스(ROIS)'가 PCI DSS v4.0 예상 타임라인 및 업데이트 준비 관련 인터뷰 내용을 공개해 주목 받고 있다.

로이스에 따르면, 현재 미국 PCI 위원회(Payment Card Industry Security Standard Council, 이하 PCI SSC)는 업계 관계자들과 PCI DSS v4.0 표준 관련 심층적인 검토 작업 및 연구를 진행 중이다. 이에 로이스는 PCI DSS 준수 기업들의 궁금증을 해소하기 위해 PCI SSC 로렌 할러웨이(Lauren Holloway) 이사의 인터뷰 내용 번역본을 공개하기로 결정했다.

먼저 할러웨이 이사는 PCI DSS v4.0 개발 상황을 묻는 질문에 지난해 RFC(Request For Comment)를 통해 접수한 3,000개 이상의 코멘트 및 피드백을 심층적으로 검토하고 있다고 답했다. 오는 9~10월 RFC를 추가로 계획 중인 가운데 지난해 RFC 피드백을 바탕삼아 개정된 PCI DSS v4.0 초안에 적용할 것이라는 설명이다.

PCI DSS v4.0의 최종 발표 시점을 묻는 질문에는 내년 중반 쯤 발표할 계획이라고 답했다. 특히 할러웨이 이사는 관련 산업 분야 내 관계자들이 피드백에 참여할 수 있도록 기회를 부여하기 위해 이전 버전 대비 업데이트 기간이 다소 길어졌다고 설명했다.

또 할러웨이 이사는 지난해 수행한 RFC 피드백 분석 결과가 제공된다고 강조했다. PCI DSS v4.0 초안 검토가 완료되면 PCI 포탈을 통해 RFC 참가자들에게 3,000개 이상의 피드백 요약본이 공개될 것이라는 설명이다. 요약본의 경우 각 문의사항에 대한 피드백을 포함하고 있으며 차기 RFC 진행 시 이를 참여자들에게 제공할 예정이다. 더불어 위원회 커뮤니티를 통해 분기 별 이해 관계자 웹 캐스트와 연말 커뮤니티 미팅 자리에서 이러한 결정 사항들을 제공한다는 계획이다.

SAQ 업데이트 시기 및 업데이트 포함 내용 역시 인터뷰를 통해 밝혀 주목을 받았다. 할러웨이 이사는 이번 업데이트에 대해 SAQs, ROC, PCI DSS Glossary 등 PCI 관련 문서들이 포함된다고 밝혔다. 특히 PCI DSS v4.0에 맞춰 모든 문서를 연계하기 위한 작업을 전개할 것이며 최종 버전 오픈 후 수개월 이내에 모든 문서를 공개할 예정이다.

PCI DSS v4.0 발표 후 전환 기간을 묻는 질문에 관련된 모든 문서가 공개된 이후 18개월 정도가 될 것이라고 답했다. 할러웨이 이사는 전환 기간 동안 v3.2.1, v4.0 모두 유효하나 18개월 경과 후 v4.0만 사용 가능하다고 설명했다. 다만 v4.0 공개 후 6개월 간 관련 문서 및 교육·프로그램 업데이트가 진행될 예정이기 때문에 v3.2.1의 사용 기간이 실질적으로 PCI DSS v4.0 발표 후 2년 동안 유효하다고 덧붙였다.

v4.0에서는 전환 기간 외에 미래 날짜(특정일)로 식별된 새로운 요구사항을 단계적으로 준수하기 위한 추가 기간이 반영된다. 새로운 요구사항은 미래 날짜까지 해당 통제 항목의 구현 여부를 검증할 필요가 없는 모범 사례(Best Practice)다.

할러웨이 이사는 "v4.0 초안을 PCI SSC 이해 관계자들에게 공유할 예정인 가운데 올해 2차 RFC 시 QSA 기업 및 ASV 벤더, RFC 참여자들에게 공개할 것"이라며 "PCI DSS v4.0 RFC에는 관련된 모든 조직이 참여할 수 있는데 RFC 피드백 외에도 다양한 채널을 통해 참여가 가능하다. 현재의 RFC 버전은 초안이므로 기존 v3.2.1을 충실히 유지하는 것이 향후 v4.0 최종 버전이 공개되었을 때 전환에 도움이 될 것"이라고 강조했다. /유연욱 기자 ywyoo@sedaily.com