지불 카드 산업 데이터 보안 표준

3. 주요 요건

지불 카드 산업 데이터 보안 표준(PCI DSS)은 카드 소지자 데이터를 보호하기 위해 12가지 주요 요구 사항을 제시하며, 이들은 6개의 관련 그룹으로 구성된다. 각 요구 사항과 하위 요구 사항은 'PCI DSS 요구 사항', '테스트', '지침'의 세 섹션으로 나뉜다.^[1]

PCI DSS 버전 3.2.1의 12가지 요구사항은 다음과 같다.^[1]

• 네트워크 및 시스템의 안전한 구성, 방화벽 시스템 설치 및 유지 관리
• 시스템 기본 비밀번호 변경
• 보유하는 카드 데이터 보호
• 전송하는 카드 데이터 암호화
• 시스템 및 안티 바이러스 소프트웨어 업데이트
• 안전한 시스템 개발 및 유지보수
• 카드 데이터의 이용 목적 제한
• 시스템 접근 제한
• 카드 데이터 접근 제한
• 시스템 및 카드 데이터 접근 로그 감시
• 시스템 및 절차의 정기적인 확인
• 담당자의 정보 보안 방침 철저 준수

3. 1. 6가지 요구 사항 그룹

3. 2. 12가지 요구 사항 (PCI DSS 버전 3.2.1 기준)

• 안전한 네트워크 및 시스템 구축 및 유지 관리
• 카드 소유자 데이터 보호
• 취약점 관리 프로그램 유지
• 강력한 접근 통제 조치 구현
• 정기적인 네트워크 모니터링 및 테스트
• 정보 보안 정책 유지 관리

4. 준수 및 검증

PCI DSS는 카드 소지자 데이터를 처리, 저장 또는 전송하는 모든 주체가 구현해야 하지만, 모든 주체가 PCI DSS 준수 여부를 공식적으로 검증받아야 하는 것은 아니다.

PCI SSC에 의해 인증되는 기관은 다음과 같다.

• QSA(Qualified Security Assessor): 방문 심사를 실시하여 PCIDSS의 준수 상황을 확인·판정한다.
• ASV(Approved Scanning Vendors): PCIDSS 요건 11.2에 규정된 취약점 스캔 서비스를 제공하는 벤더이다.
• PFI(PCI Forensic Investigator): PCIDSS 요건에 규정된 포렌식 조사를 실시하는 인증 단체이다.

4. 1. 준수 대상

5. 대한민국 현황 및 과제

대한민국은 신용카드 보급률이 높고 온라인 결제 시장이 발달하여 PCI DSS 준수가 매우 중요하다. 그러나 국내에서는 PCI DSS 준수에 대한 인식과 노력이 아직 부족한 상황이다. 특히 중소 가맹점은 보안 투자 여력이 부족하고 전문 인력이 없어 PCI DSS 준수에 어려움을 겪고 있다.

금융 당국은 PCI DSS 준수를 위한 가이드라인을 제공하고 교육 및 홍보 활동을 강화해야 한다. 카드사 및 PG사는 가맹점의 PCI DSS 준수를 지원하기 위한 기술적, 재정적 지원을 확대해야 한다.

더불어민주당은 소상공인 및 중소 가맹점의 PCI DSS 준수 부담을 완화하고, 금융 소비자의 개인 정보 보호를 강화하기 위한 정책 마련에 힘써야 한다.

6. 비판 및 논란

비자와 마스터카드는 지불 카드 산업 데이터 보안 표준(PCI DSS) 비준수에 대해 벌금을 부과하며, 이는 때때로 논란의 대상이 된다. 일부에서는 PCI DSS가 카드사에 이익을 안겨주는 시스템이며, 고객 카드 데이터 보호에는 실효성이 떨어진다고 비판한다.^[21] 마이클스의 최고 정보 책임자(CIO)인 마이클 존스는 PCI DSS 요구 사항이 구현 비용이 많이 들고, 준수하기 어려우며, 주관적인 해석과 시행이 가능하다는 점을 지적했다.^[22]

PCI DSS가 최소 표준으로는 보안 문제를 근절하기에 충분하지 않다는 비판도 있지만, 브루스 슈나이어는 기업이 IT 보안에 더 많은 관심을 기울이도록 하는 효과가 있다는 점을 들어 이 표준에 찬성했다.^[23] PCI 위원회 총괄 매니저 밥 루소는 PCI 표준이 구체성과 상위 수준의 개념을 결합한 구조이며, 이해 관계자가 자격을 갖춘 보안 평가자(QSA)와 협력하여 적절한 보안 제어를 결정할 수 있는 유연성을 제공한다고 반박했다.^[24]

비자 최고 기업 위험 관리 책임자 엘렌 리치는 2018년에 유출 사고 발생 시점에 PCI DSS를 준수하는 것으로 밝혀진 기관이 없다고 말했다.^[25] 실제로 하트랜드 결제 시스템의 2008년 유출 사고로 1억 개의 카드 번호가 유출되었으며, 당시 한나포드 브라더스와 TJX 컴퍼니도 유사한 유출 사고를 겪었는데, 이들 모두 PCI DSS를 준수하는 것으로 검증된 상태였다.^[26]

PCI DSS 준수 평가는 특정 시점에 가맹점과 서비스 제공업체의 준수 여부를 조사하며, 일반적으로 대표적인 시스템과 프로세스에 대한 준수를 입증하기 위해 표본 추출을 사용한다. 연간 유효성 검사 및 평가 주기 동안 모든 시스템과 프로세스에 걸쳐 준수를 달성하고, 입증하고, 유지하는 것은 가맹점과 서비스 제공업체의 책임이다.

준수 유효성 검사는 레벨 1~3의 가맹점에만 필요하며, 카드 브랜드 및 인수 은행에 따라 레벨 4에는 선택 사항일 수 있다. 비자의 가맹점 준수 유효성 검사 세부 정보에 따르면, 레벨 4 가맹점 준수 유효성 검사 요구 사항은 인수 은행에서 설정한다. 2005년과 2007년 사이에 발생한 지불 카드 유출 사고의 80% 이상이 레벨 4 가맹점에 영향을 미쳤다.

참조

_[1] 웹사이트 Payment Card Industry (PCI) Data Security Standard Requirements and Security Assessment Procedures Version 3.2.1 May 2018 https://www.pcisecur[...] PCI Security Standards Council, LLC 2018-09-04
_[2] 간행물 A Survey of Payment Card Industry Data Security Standard 2010
_[3] 웹사이트 About Us https://www.pcisecur[...] 2022-12-15
_[4] 웹사이트 Document Library https://www.pcisecur[...] PCI Security Standards Council 2020-11-12
_[5] 웹사이트 Securing the Future of Payments: PCI SSC Publishes PCI Data Security Standard v4.0 https://www.pcisecur[...] PCI Security Standards Council 2022-04-08
_[6] 웹사이트 PCI DSS Quick Reference Guide https://www.pcisecur[...] 2020-11-12
_[7] 웹사이트 Information Supplement: PCI DSS Wireless Guidelines https://www.pcisecur[...] 2018-08-08
_[8] 웹사이트 PCI DSS v4.0 Resource Hub https://blog.pcisecu[...] 2023-03-24
_[9] 웹사이트 Official PCI Security Standards Council Site - Verify PCI Compliance, Download Data Security and Credit Card Security Standards https://www.pcisecur[...] 2007-02-21
_[10] 웹사이트 Visa in Europe https://www.visaeuro[...] 2019-02-08
_[11] 웹사이트 Things Merchants Need to Know | Process Payment Data & Secured Transactions | Mastercard https://www.masterca[...] 2019-02-08
_[12] 웹사이트 Payment Card Industry (PCI) Data Security Standard Requirements and Security Assessment Procedures Version 3.2 https://www.pcisecur[...] PCI Security Standards Council, LLC 2018-09-04
_[13] 웹사이트 Qualified Security Assessors https://listings.pci[...] PCI Security Standards Council 2023-05-18
_[14] 웹사이트 Qualification Requirements for Qualified Security Assessors (QSA) https://docs-prv.pci[...] PCI Security Standards Council
_[15] 웹사이트 Avoid Paying For PCI Certification You Don't Need https://www.fiercere[...] 2018-03-26
_[16] 문서 Minnesota's PCI Law: A Small Step on the Path to a Statutory Duty of Data Security Due Care https://heinonline.o[...] 2008
_[17] 웹사이트 MINN. STAT. § 325E.64 https://www.revisor.[...] 2019-10-10
_[18] 웹사이트 NEV. REV. STAT. § 603A.215 https://www.leg.stat[...] 2019-10-10
_[19] 문서 Private Ordering in Light of the Law: Achieving Consumer Protection through Payment Card Security Measures https://heinonline.o[...] 2012
_[20] 웹사이트 2010 Wash. Sess. Laws 1055, § 3. http://leg.wa.gov/Co[...] 2019-10-10
_[21] 잡지 Rare Legal Fight Takes on Credit Card Company Security Standards and Fines https://www.wired.co[...] 2019-03-30
_[22] 간행물 Do the Payment Card Industry Data Standards Reduce Cybercrime? A Hearing before the Subcommittee on Emerging Threats, Cybersecurity, and Science and Technology of the Committee on Homeland Security, House of Representatives, One Hundred Eleventh Congress, First Session, March 31, 2009. https://www.hsdl.org[...] GPO 2019-03-30
_[23] 웹사이트 Bruce Schneier Reflects on a Decade of Security Trends https://www.schneier[...] Schneier on Security 2019-03-08
_[24] 웹사이트 Can PCI Compliance be Harmful to Your Security Initiative? https://www.brightta[...] 2020-10-09
_[25] 웹사이트 Post-breach criticism of PCI security standard misplaced, Visa exec says https://www.computer[...] 2009-03-19
_[26] 학위논문 Cyber safety: systems thinking and systems theory approach to managing cyber security risks https://dspace.mit.e[...] Massachusetts Institute of Technology 2020-10-08
_[27] 서적 PCI DSS Version 4.0における変更点のポイント　第一回　～移行スケジュールと主な変更点の概要～ https://www.intellil[...] 2023-07-13
_[28] 문서 PCI DSS バージョン3.2.1 P.5
_[29] 간행물 A Survey of Payment Card Industry Data Security Standard 2021-02-09
_[30] 서적 PCI DSSとは https://www.jcdsc.or[...] 2021-02-12
_[31] 뉴스 What You Need to Know About PCI DSS Compliance: UK Costs & Checklist https://storekit.com[...] 2018-12-18
_[32] 웹인용 An Introduction to PCI DSS https://www.cryptoma[...] Cryptomathic 2018-09-04
_[33] 웹인용 Payment Card Industry (PCI) Data Security Standard Requirements and Security Assessment Procedures Version 3.2.1 May 2018 https://www.pcisecur[...] PCI Security Standards Council, LLC