PCI Secure SLC 2.0: 결제 소프트웨어에는 전환 계획이 필요하다

2026년 9월 28일 PCI SSC는 Secure Software Lifecycle Standard(Secure SLC) 2.0 버전을 발표했다. 이번 SLC 2.0 업데이트는 AI를 포함한 디지털 도구를 반영한다. 심사원 교육은 4분기로 예정돼 있으며, 버전 1.1에서의 12개월 전환 기간은 표준 발표일에 자동으로 시작되는 것이 아니라 교육이 제공된 뒤에 시작된다.

무엇을 평가하는가

Secure SLC는 소프트웨어 개발 생애 주기를 다룬다. 결제 소프트웨어를 구매하는 쪽에는 중요한 구분이다. 완성된 제품과 그 제품을 만드는 프로세스는 서로 다른 검증 대상이기 때문이다. PCI SSC는 Secure SLC 평가와 Secure Software 평가가 서로를 전제로 하지 않는다고 별도로 설명한다. 따라서 표준 이름과 평가 범위를 밝히지 않은 채 PCI를 준수한다는 공급사의 일반적인 주장은 충분한 정보가 되지 못한다.

결제 연동의 긴급 수정을 예로 들어 보자. 코드는 작을 수 있지만, 안전하게 배포하려면 작성자의 권한, 변경 검토, 빌드, 릴리스 승인, 롤백 가능성이 모두 중요하다. 어느 한 단계가 채팅방의 비공식 합의로만 존재한다면 사고 이후 이력을 복원하기가 더 어렵다. 개발 프로세스가 그 자체로 의미를 갖는 이유를 보여 주는 편집부의 예시다.

AI 도구는 이 이야기에 또 하나의 구간을 더한다. 팀은 어떤 자료가 도구로 전달되는지, 그 결과물이 어떻게 운영 제품에 들어가는지 알아야 한다. 배포 버튼을 누른 사람이 있다는 사실만으로는 변경의 출처와 검토 과정이 설명되지 않는다. 그래서 최신 도구 목록과 문서화된 코드 경로가 실무적으로 가치가 있다.

공급사의 당면 과제는 현행 프로세스를 새 버전과 비교하고 심사원에게 프로그램 일정을 확인하는 것이다. 가맹점에게는 개발사가 어떤 인증을 갖고 있고 이를 어떻게 최신 상태로 유지하는지 아는 것이 과제다. 그렇다고 모든 가맹점이 당장 새로운 심사를 받아야 한다는 뜻은 아니다.

이번 소식에서는 전환 기간의 조건을 정확히 짚는 것이 특히 중요하다. 교육이 아직 제공되지 않았다면 보도자료의 편한 날짜로 기산점을 대신할 수 없다. 정확한 일정과 적용 범위가 이름에 붙은 2.0이라는 숫자보다 실무적으로 더 중요하다.

공급사와 PSP가 점검할 것

결제 솔루션 개발사와 결제 페이지, SDK, 연동 모듈을 직접 개발하는 PSP에게 이번 소식은 전환 기간이 시작되기 전에 프로세스를 간단히 점검할 계기다.

• AI 어시스턴트를 포함한 개발 도구 목록이 최신 상태인지, 어떤 데이터를 입력해도 되는지에 대한 규칙이 있는지.
• 긴급 수정을 포함한 모든 변경이 코드 리뷰와 배포 승인을 거치는지.
• 빌드, 의존성의 출처, 배포된 코드 버전이 이력을 복원할 수 있는 방식으로 기록되는지.
• 개발자의 운영 환경 접근과 카드 소지자 데이터 접근이 분리되어 있는지.
• 전환 일정과 심사원 교육 시기를 챙기는 담당자가 지정되어 있는지.

가맹점에게 주는 의미

가맹점은 결제 소프트웨어 공급사에 어떤 표준과 어떤 범위가 인증에 포함되는지, 현재 검증이 언제 만료되는지, 전환을 어떻게 계획하는지 확인하는 것이 좋다. 특히 연동 방식이 자사의 PCI DSS 요건 범위에 영향을 준다면 이 질문들을 연례 공급사 점검과 계약서에 넣을 만하다. 표준 이름과 범위 없이 "PCI를 준수한다"는 답변은 불완전한 것으로 보고 증빙 문서를 요청하는 편이 낫다.

내부 개발팀은 배포 프로세스 설명, 변경 이력, 도구 목록으로 된 증빙 패키지를 미리 준비해 두면 유용하다. 이 패키지는 심사원 대응에도, 개발 보안 확인을 요구하는 대형 고객에 대한 답변에도 쓸 수 있다.

출처: PCI SSC Secure SLC 2.0 release; PCI Secure SLC programme overview