피드로 돌아가기
Dev.toSecurity
원문 읽기
PCI DSS v4.0.1 준수를 위한 Fintech Frontend 보안 아키텍처 설계 전략
Hiring Angular Developers for Fintech: The 5 Compliance Questions Most Teams Skip in 2026
AI 요약
Context
PCI DSS v4.0.1 강제 적용 및 SEC 공시 규정 강화로 인해 단순 기능 구현 중심의 프론트엔드 설계가 보안 리스크로 작용하는 상황. 기존의 localStorage 기반 토큰 관리 및 일반적인 로깅 방식은 XSS 공격과 컴플라이언스 감사 실패의 주요 원인이 됨.
Technical Solution
- XSS 방어를 위해 Refresh Token은 HttpOnly/Secure/SameSite=Strict 쿠키에 저장하고 Access Token은 In-memory에 유지하며 Rotation 적용
- script-src의 unsafe-inline/eval을 제거한 Nonce 기반 CSP 설정 및 Trusted Types 도입을 통한 DOM API 수준의 데이터 주입 차단
- PII/PAN을 제외하고 Correlation ID 기반의 구조화된 Event Stream을 구축하여 보안 전용 로깅 엔드포인트로 전송하는 감사 추적 체계 설계
- PCI DSS Scope 최소화를 위해 민감 데이터 처리 컴포넌트를 분리하고 Route별 CSP Override를 통한 서드파티 스크립트 실행 제어
- 서버 승인 기반의 이산적 동의 캡처 및 버전 관리 시스템을 통해 GDPR/CCPA 규정의 데이터 삭제 워크플로우 구현
실천 포인트
1. JWT를 localStorage/sessionStorage에 저장하고 있는지 확인하고 HttpOnly 쿠키 방식으로 전환
2. CSP 설정에서 unsafe-inline/eval 사용 여부를 점검하고 nonce 기반 주입 방식으로 변경
3. DomSanitizer의 bypassSecurityTrustHtml 호출부를 전수 조사하여 Trusted Types 정책 적용
4. 프론트엔드 로그에 PII(개인식별정보)나 PAN(카드번호)이 포함되어 전송되는지 필터링 로직 검토