PCI DSS

PCI DSS (Payment Card Industry Data Security Standard)

PCI DSS는 카드 결제 정보의 보안을 유지하기 위한 국제 표준으로, 주로 신용카드와 직불카드 정보를 처리하거나 저장하는 기업 및 조직에 적용된다.

이 표준은 카드 결제 데이터의 유출을 방지하고, 카드 소지자의 개인 정보를 보호하기 위해 설계됐다.

---

PCI DSS의 배경

PCI DSS는 카드 결제 정보의 보안 강화를 위해 2004년 카드사들에 의해 제정된 표준

이 표준은 카드 결제 정보의 취급과 관련된 보안 요구 사항을 규정하며, 신용카드 회사(예: Visa, MasterCard, American Express, Discover, JCB)들이 공동으로 설정한 것

---

PCI DSS의 주요 목표

1. 데이터 보호: 카드 결제 데이터를 암호화하고, 카드 소지자의 개인 정보를 안전하게 보호하여 데이터 유출을 방지한다.


2. 시스템 보안: 카드 결제 시스템과 관련된 네트워크와 시스템을 강화하여 해킹이나 악성 소프트웨어로부터 보호한다.


3. 위협 관리: 사이버 공격 및 기타 보안 위협에 대한 대응 체계를 마련하여 신속하게 대응할 수 있도록 한다.


4. 규정 준수: 법적 및 규제 요구 사항을 충족하여 법적 위험을 최소화한다.

---

PCI DSS의 12개 요구 사항

출처 : https://www.imperva.com/learn/data-security/pci-dss-certification/

1. 방화벽 및 라우터 설정 유지

• 카드 결제 데이터의 보호를 위해 방화벽과 라우터를 설정하고 유지관리한다. 이는 외부 공격으로부터 네트워크를 방어하는 첫 번째 방어선 역할을 한다.
• 방화벽 규칙과 네트워크 장비의 구성은 카드 데이터 환경을 보호하는 데 필수적이다.

2. 기본 암호 및 보안 매개변수 변경

• 시스템과 애플리케이션의 기본 암호 및 설정을 변경하여 보안을 강화한다. 기본 암호는 공격자에게 쉽게 노출될 수 있으므로, 강력한 암호를 설정해야 한다.
• 모든 시스템에서 사용되는 암호는 복잡하고 정기적으로 변경되어야 한다.

3. 카드 소지자 데이터 보호

• 카드 소지자의 데이터를 암호화하여 저장하고, 데이터가 불법적으로 접근될 가능성을 줄인다.
• 데이터 저장소는 강력한 보안 조치를 취해 암호화되어야 하며, 데이터 접근 권한은 최소한으로 제한해야 한다.

4. 암호화된 전송

• 카드 소지자 정보를 암호화하여 인터넷을 통해 전송한다. 이는 데이터가 이동 중에 도난당하지 않도록 보장한다.
• SSL/TLS와 같은 암호화 프로토콜을 사용하여 데이터를 보호한다.

5. 악성 소프트웨어 방어

• 악성 소프트웨어로부터 시스템을 방어하기 위해 정기적인 업데이트와 패치를 적용한다.
• 안티바이러스 소프트웨어를 설치하고, 악성 소프트웨어의 징후를 모니터링한다.

6. 보안 시스템 및 응용 프로그램 유지 관리

• 시스템 및 애플리케이션의 보안을 유지하기 위해 보안 업데이트와 패치를 정기적으로 적용한다.
• 새로운 보안 취약점에 대해 신속하게 대응하고, 보안 위협을 예방하기 위한 절차를 마련한다.

7. 접근 제어

• 카드 소지자 데이터에 대한 접근 권한을 최소화하고, 필요한 권한만 부여한다.
• 사용자 계정과 권한을 정기적으로 검토하고, 필요 없는 접근 권한은 제거한다.

8. 사용자 인증

• 시스템에 접근하는 모든 사용자를 인증하여 정당한 사용자만이 시스템에 접근할 수 있도록 한다.
• 다단계 인증을 도입하여 보안을 강화하고, 사용자 인증 정보를 안전하게 관리한다.

9. 물리적 접근 제어

• 카드 소지자 데이터가 저장된 장소에 대한 물리적 접근을 제어한다. 이에는 데이터 센터와 서버실에 대한 접근 제한이 포함된다.
• 보안 카메라, 출입통제 시스템 등을 사용하여 물리적 보안을 강화한다.

10. 로그 및 모니터링

• 시스템 활동을 기록하고 모니터링하여 이상 징후를 신속히 감지한다. 이는 보안 사건 발생 시 빠르게 대응할 수 있도록 도와준다.
• 로그 데이터는 안전하게 저장하고, 정기적으로 분석하여 보안 위협을 탐지한다.

11. 정기적 보안 테스트

• 시스템과 네트워크의 취약점을 정기적으로 점검하고, 보안 테스트를 수행하여 잠재적인 위험을 사전에 식별한다.
• 침투 테스트와 취약점 스캔을 통해 보안 취약점을 확인하고 수정한다.

12. 보안 정책 유지

• 정보 보안에 대한 정책과 절차를 수립하고 유지하여 모든 직원이 이를 준수하도록 한다.
• 보안 정책은 정기적으로 검토하고 업데이트하여 최신 보안 요구 사항을 반영한다.

---

적용 예시

예를 들어, 온라인 쇼핑몰이 PCI DSS를 준수하지 않으면 카드 결제 정보가 유출될 수 있으며, 이는 고객의 신용카드 사기와 같은 심각한 문제를 초래할 수 있다.

이로 인해 기업은 법적 책임을 지게 되고, 브랜드 신뢰도가 손상되며, 경제적 손실을 입을 수 있다. 따라서 PCI DSS 준수는 카드 결제 정보를 안전하게 관리하고 보호하기 위해 필수적이다.

---

결론

PCI DSS는 카드 결제 데이터의 보안을 강화하고, 고객 정보를 안전하게 보호하기 위한 포괄적인 표준

이를 준수하는 것은 단순한 법적 요구 사항을 넘어, 고객의 신뢰를 구축하고 사이버 공격으로부터 기업을 방어하는 중요한 조치이다.