결제 처리 및 PCI 규정 준수: 글로벌 가이드

오늘날과 같이 상호 연결된 세상에서 안전한 결제 처리는 모든 규모의 비즈니스에 가장 중요합니다. 전 세계적으로 온라인 거래가 계속 급증함에 따라 도난과 사기로부터 카드 소지자 데이터를 보호하는 것이 그 어느 때보다 중요해졌습니다. 이 종합 가이드는 민감한 결제 정보를 보호하기 위해 고안된 보안 표준인 결제 카드 산업(PCI) 규정 준수에 대한 개요를 제공합니다.

PCI 규정 준수란 무엇인가?

PCI 규정 준수란 주요 신용카드 회사(Visa, Mastercard, American Express, Discover, JCB)가 카드 소지자 데이터의 안전한 취급을 보장하기 위해 수립한 일련의 요구사항인 결제 카드 산업 데이터 보안 표준(PCI DSS)을 준수하는 것을 의미합니다. PCI DSS는 규모나 위치에 관계없이 신용카드 정보를 수락, 처리, 저장 또는 전송하는 모든 조직에 적용됩니다.

PCI DSS의 주요 목표는 특정 보안 통제 및 관행을 의무화하여 신용카드 사기 및 데이터 유출을 줄이는 것입니다. 규정 준수가 모든 사법권에서 법적 요구사항은 아니지만, 신용카드 결제를 처리하는 가맹점에게는 계약상 의무입니다. 이를 준수하지 않으면 벌금, 거래 수수료 인상, 심지어 신용카드 결제 수락 능력 상실 등 심각한 불이익을 초래할 수 있습니다.

PCI 규정 준수가 왜 중요한가?

PCI 규정 준수는 비즈니스에 수많은 이점을 제공합니다:

• 향상된 보안: PCI DSS 요구사항을 구현하면 보안 태세를 강화하고 데이터 유출 및 사이버 공격의 위험을 줄일 수 있습니다.
• 고객 신뢰: PCI 규정 준수를 입증하면 고객의 결제 정보가 안전하다는 확신을 주어 신뢰를 구축할 수 있습니다.
• 평판 관리: 데이터 유출은 평판에 심각한 손상을 입히고 고객 신뢰를 잠식할 수 있습니다. PCI 규정 준수는 브랜드를 보호하고 긍정적인 이미지를 유지하는 데 도움이 됩니다.
• 비용 절감: 데이터 유출을 방지하면 벌금, 법률 비용 및 복구 노력과 관련된 상당한 비용을 절약할 수 있습니다.
• 법적 및 계약적 의무: PCI DSS 준수는 결제 처리 업체 및 매입 은행과의 계약상 요구사항인 경우가 많습니다.

동남아시아에 기반을 둔 한 소규모 온라인 소매업체가 현지 수공예품을 전 세계에 판매하는 데 주력한다고 상상해 보십시오. PCI DSS를 준수함으로써 이 업체는 해외 고객에게 신용카드 정보가 보호된다는 확신을 주어 신뢰를 쌓고 재구매를 유도합니다. 이것이 없다면 고객은 구매를 주저하게 되어 매출 손실과 브랜드 평판 손상으로 이어질 수 있습니다. 마찬가지로, 유럽의 대형 호텔 체인은 전 세계에서 온 투숙객의 신용카드 정보 안전을 보장하기 위해 이를 준수해야 합니다.

누가 PCI 규정을 준수해야 하는가?

앞서 언급했듯이, 신용카드 데이터를 취급하는 모든 조직은 PCI 규정을 준수해야 합니다. 여기에는 다음이 포함됩니다:

• 가맹점: 소매점, 레스토랑, 호텔, 전자상거래 비즈니스 및 신용카드 결제를 수락하는 기타 모든 비즈니스.
• 결제 처리 업체: 가맹점을 대신하여 신용카드 거래를 처리하는 회사.
• 서비스 제공업체: 데이터 저장, 보안 컨설팅, 소프트웨어 개발 등 결제 처리와 관련된 서비스를 제공하는 제3자 공급업체.

결제 처리를 제3자 제공업체에 아웃소싱하더라도 궁극적으로 고객의 데이터 보호에 대한 책임은 귀하에게 있습니다. 서비스 제공업체가 PCI 규정을 준수하고 적절한 보안 조치를 갖추고 있는지 확인하는 것이 중요합니다.

12가지 PCI DSS 요구사항

PCI DSS는 6가지 통제 목표로 그룹화된 12가지 핵심 요구사항으로 구성됩니다:

1. 안전한 네트워크 및 시스템 구축 및 유지 관리

• 요구사항 1: 카드 소지자 데이터를 보호하기 위해 방화벽 구성을 설치하고 유지 관리합니다. 방화벽은 내부 네트워크와 인터넷 사이의 장벽 역할을 하여 민감한 데이터에 대한 무단 액세스를 방지합니다.
• 요구사항 2: 시스템 암호 및 기타 보안 매개변수에 대해 공급업체에서 제공한 기본값을 사용하지 않습니다. 기본 암호는 해커가 추측하기 쉽습니다. 설치 즉시 변경하고 이후 정기적으로 변경해야 합니다.

2. 카드 소지자 데이터 보호

• 요구사항 3: 저장된 카드 소지자 데이터를 보호합니다. 저장하는 카드 소지자 데이터의 양을 최소화하고 암호화, 토큰화 또는 마스킹을 사용하여 민감한 정보를 보호합니다.
• 요구사항 4: 개방된 공용 네트워크를 통해 전송되는 카드 소지자 데이터를 암호화합니다. 인터넷을 통해 전송되는 데이터를 보호하기 위해 TLS/SSL과 같은 강력한 암호화 프로토콜을 사용합니다.

3. 취약점 관리 프로그램 유지

• 요구사항 5: 모든 시스템을 악성코드로부터 보호하고 안티바이러스 소프트웨어 또는 프로그램을 정기적으로 업데이트합니다. 안티바이러스 소프트웨어를 최신 상태로 유지하고 시스템에서 악성코드를 정기적으로 검사합니다.
• 요구사항 6: 안전한 시스템과 애플리케이션을 개발하고 유지 관리합니다. 알려진 취약점을 해결하기 위해 소프트웨어 및 하드웨어에 보안 패치와 업데이트를 정기적으로 적용합니다. 여기에는 맞춤 개발된 애플리케이션과 제3자 소프트웨어가 포함됩니다.

4. 강력한 접근 통제 수단 구현

• 요구사항 7: 업무상 알아야 할 필요에 따라 카드 소지자 데이터에 대한 액세스를 제한합니다. 직무 수행에 필요한 직원에게만 카드 소지자 데이터에 대한 액세스 권한을 부여합니다.
• 요구사항 8: 시스템 구성 요소에 대한 액세스를 식별하고 인증합니다. 다단계 인증과 같은 강력한 인증 조치를 구현하여 시스템에 액세스하는 사용자의 신원을 확인합니다.
• 요구사항 9: 카드 소지자 데이터에 대한 물리적 액세스를 제한합니다. 물리적 시설을 보호하고 카드 소지자 데이터가 저장되거나 처리되는 영역에 대한 접근을 제한합니다.

5. 네트워크 정기적 모니터링 및 테스트

• 요구사항 10: 네트워크 리소스 및 카드 소지자 데이터에 대한 모든 액세스를 추적하고 모니터링합니다. 로깅 및 모니터링 시스템을 구현하여 사용자 활동을 추적하고 의심스러운 행동을 탐지합니다.
• 요구사항 11: 보안 시스템 및 프로세스를 정기적으로 테스트합니다. 정기적인 취약점 스캔 및 침투 테스트를 수행하여 보안 약점을 식별하고 해결합니다.

6. 정보 보안 정책 유지

• 요구사항 12: 모든 직원을 대상으로 정보 보안을 다루는 정책을 유지합니다. 조직의 보안 관행 및 절차를 설명하는 포괄적인 정보 보안 정책을 개발하고 구현합니다. 이 정책은 정기적으로 검토하고 업데이트해야 합니다.

각 요구사항에는 통제를 구현하는 방법에 대한 구체적인 지침을 제공하는 세부 하위 요구사항이 있습니다. 규정 준수를 달성하는 데 필요한 노력의 수준은 조직의 규모와 복잡성, 그리고 처리하는 카드 거래량에 따라 달라집니다.

PCI DSS 규정 준수 레벨

PCI 보안 표준 위원회(PCI SSC)는 가맹점의 연간 거래량을 기준으로 4가지 규정 준수 레벨을 정의합니다:

• 레벨 1: 연간 6백만 건 이상의 카드 거래를 처리하는 가맹점.
• 레벨 2: 연간 1백만에서 6백만 건 사이의 카드 거래를 처리하는 가맹점.
• 레벨 3: 연간 2만에서 1백만 건 사이의 전자상거래 거래를 처리하는 가맹점.
• 레벨 4: 연간 2만 건 미만의 전자상거래 거래를 처리하거나 연간 총 1백만 건까지의 거래를 처리하는 가맹점.

규정 준수 요구사항은 레벨에 따라 다릅니다. 레벨 1 가맹점은 일반적으로 공인 보안 평가사(QSA) 또는 내부 보안 평가사(ISA)의 연간 현장 평가가 필요하며, 하위 레벨 가맹점은 자가 평가 질문지(SAQ)를 사용하여 자체 평가를 할 수 있습니다.

PCI 규정 준수를 달성하는 방법

다음은 PCI 규정 준수를 달성하기 위한 단계별 가이드입니다:

1. 규정 준수 레벨 결정: 거래량을 기준으로 PCI DSS 규정 준수 레벨을 식별합니다.
2. 현재 환경 평가: 현재 보안 태세에 대한 철저한 평가를 수행하여 격차와 취약점을 식별합니다.
3. 취약점 해결: 필요한 보안 통제를 구현하여 식별된 모든 취약점을 해결합니다.
4. 자가 평가 질문지(SAQ) 작성 또는 QSA 참여: 규정 준수 레벨에 따라 SAQ를 작성하거나 QSA를 참여시켜 현장 평가를 수행합니다.
5. 규정 준수 증명서(AOC) 제출: SAQ 또는 QSA의 규정 준수 보고서(ROC)를 매입 은행이나 결제 처리 업체에 제출합니다.
6. 규정 준수 유지: 지속적으로 환경을 모니터링하고, 정기적인 보안 평가를 수행하며, 필요에 따라 보안 통제를 업데이트하여 지속적인 규정 준수를 유지합니다.

올바른 SAQ 선택하기

SAQ 사용 자격이 있는 가맹점의 경우 올바른 질문지를 선택하는 것이 중요합니다. 특정 결제 처리 방법에 맞춰진 여러 가지 다른 SAQ 유형이 있습니다. 일반적인 SAQ 유형은 다음과 같습니다:

• SAQ A: 모든 카드 소지자 데이터 기능을 PCI DSS 준수 제3자 서비스 제공업체에 아웃소싱하는 가맹점을 위한 것입니다.
• SAQ A-EP: 결제 페이지가 완전히 아웃소싱된 전자상거래 가맹점을 위한 것입니다.
• SAQ B: 압인기 또는 독립형 다이얼 아웃 단말기만 사용하는 가맹점을 위한 것입니다.
• SAQ B-IP: IP 연결이 있는 독립형 PTS 승인 결제 단말기를 사용하는 가맹점을 위한 것입니다.
• SAQ C: 인터넷에 연결된 결제 애플리케이션 시스템을 갖춘 가맹점을 위한 것입니다.
• SAQ C-VT: 가상 단말기(예: 웹 기반 단말기에 로그인하여 결제 처리)를 사용하는 가맹점을 위한 것입니다.
• SAQ P2PE: 승인된 P2PE(Point-to-Point Encryption) 장치를 사용하는 가맹점을 위한 것입니다.
• SAQ D: 다른 SAQ 유형의 기준을 충족하지 못하는 가맹점을 위한 것입니다.

잘못된 SAQ를 선택하면 보안 태세에 대한 부정확한 평가와 잠재적인 규정 준수 문제로 이어질 수 있습니다. 귀하의 비즈니스에 적합한 SAQ를 결정하려면 매입 은행이나 결제 처리 업체와 상의하십시오.

일반적인 PCI 규정 준수 과제

많은 비즈니스가 PCI 규정 준수를 달성하고 유지하는 데 어려움을 겪습니다. 몇 가지 일반적인 과제는 다음과 같습니다:

• 인식 부족: 많은 소규모 비즈니스는 PCI DSS 요구사항과 그 의무에 대해 단순히 알지 못합니다.
• 복잡성: PCI DSS는 특히 비기술 인력에게는 복잡하고 이해하기 어려울 수 있습니다.
• 비용: 필요한 보안 통제를 구현하는 것은 특히 예산이 제한된 소규모 비즈니스에게는 비용이 많이 들 수 있습니다.
• 리소스 제약: 많은 비즈니스는 PCI 규정 준수 노력을 효과적으로 관리할 내부 리소스와 전문 지식이 부족합니다.
• 규정 준수 유지: PCI 규정 준수는 일회성 이벤트가 아닙니다. 시간이 지남에 따라 규정 준수를 유지하려면 지속적인 모니터링, 테스트 및 업데이트가 필요합니다.

PCI 규정 준수를 단순화하기 위한 팁

PCI 규정 준수를 단순화하는 데 도움이 되는 몇 가지 팁은 다음과 같습니다:

• 카드 소지자 데이터 최소화: 토큰화 또는 기타 데이터 마스킹 기술을 사용하여 저장하는 카드 소지자 데이터의 양을 줄입니다.
• 결제 처리 아웃소싱: 결제 처리를 PCI DSS 준수 제3자 제공업체에 아웃소싱하는 것을 고려하십시오.
• PCI DSS 준수 하드웨어 및 소프트웨어 사용: 결제 처리에 사용되는 모든 하드웨어 및 소프트웨어가 PCI DSS를 준수하는지 확인하십시오.
• 강력한 접근 통제 구현: 직무 수행에 필요한 직원에게만 카드 소지자 데이터에 대한 액세스를 제한하십시오.
• 보안 프로세스 자동화: 취약점 스캔 및 패치 관리와 같은 보안 프로세스를 자동화하여 수동 작업을 줄이고 효율성을 향상시키십시오.
• 전문가 지원 요청: PCI 규정 준수 컨설턴트를 고용하여 PCI DSS 요구사항을 탐색하고 필요한 보안 통제를 구현하는 데 도움을 받으십시오.

PCI 규정 준수의 미래

PCI DSS는 새로운 위협과 결제 환경의 변화에 대응하기 위해 끊임없이 진화하고 있습니다. PCI SSC는 새로운 보안 모범 사례와 기술을 통합하기 위해 정기적으로 표준을 업데이트합니다. 모바일 결제 및 암호화폐의 부상과 같이 결제 방법이 계속 발전함에 따라 PCI DSS는 이러한 새로운 기술과 관련된 보안 과제를 해결하기 위해 적응할 가능성이 높습니다.

PCI 규정 준수에 대한 글로벌 고려 사항

PCI DSS는 글로벌 표준이지만 명심해야 할 특정 지역적 및 국가적 고려 사항이 있습니다:

• 데이터 개인정보 보호법: 많은 국가에는 유럽의 일반 데이터 보호 규정(GDPR)과 같이 PCI DSS 요구사항과 중복될 수 있는 데이터 개인정보 보호법이 있습니다. PCI DSS 외에도 모든 적용 가능한 데이터 개인정보 보호법을 준수해야 합니다.
• 결제 게이트웨이 요구사항: 결제 게이트웨이마다 다른 PCI 규정 준수 요구사항이 있을 수 있습니다. 결제 게이트웨이 제공업체의 특정 요구사항을 확인하십시오.
• 언어 및 문화적 차이: PCI 규정 준수에 대해 고객 및 직원과 소통할 때 언어 및 문화적 차이를 유념하십시오. 필요한 경우 여러 언어로 교육 및 문서를 제공하십시오.
• 통화 및 결제 수단 선호도: 국가마다 다른 통화 및 결제 수단 선호도를 가지고 있습니다. 글로벌 고객 기반을 만족시키기 위해 다양한 결제 옵션을 제공하는 것을 고려하십시오.

예를 들어, 브라질로 확장하는 회사는 PCI DSS와 함께 GDPR의 브라질 버전인 "LGPD"(Lei Geral de Proteção de Dados)를 인지해야 합니다. 마찬가지로, 일본으로 확장하는 회사는 신용카드 외에 콘비니(편의점 결제)와 같은 현지 결제 수단 선호도를 이해하고 구현하는 모든 솔루션이 PCI 규정을 준수하도록 해야 합니다.

실제 PCI 규정 준수 사례

• 전자상거래 플랫폼: 글로벌 전자상거래 플랫폼은 고객 신용카드 데이터를 보호하기 위해 토큰화를 구현합니다. 실제 신용카드 번호는 고유한 토큰으로 대체되어 보안 저장소에 저장됩니다. 플랫폼은 이 토큰을 사용하여 민감한 신용카드 데이터를 노출하지 않고 거래를 처리합니다.
• 레스토랑 체인: 대형 레스토랑 체인은 판매 시점(POS) 시스템에 종단 간 암호화(E2EE)를 구현합니다. E2EE는 입력 시점에서 카드 소지자 데이터를 암호화하고 결제 처리 업체의 보안 환경에서만 해독합니다. 이는 전송 중에 데이터가 가로채이는 것을 방지합니다.
• 호텔 체인: 글로벌 호텔 체인은 카드 소지자 데이터에 액세스할 수 있는 모든 직원에 대해 다단계 인증(MFA)을 구현합니다. MFA는 사용자가 신원을 확인하기 위해 암호와 휴대폰으로 전송된 일회용 코드와 같은 두 가지 이상의 인증 요소를 제공하도록 요구합니다.
• 소프트웨어 공급업체: 결제 처리 소프트웨어를 개발하는 소프트웨어 공급업체는 보안 취약점을 식별하고 해결하기 위해 정기적인 침투 테스트를 거칩니다. 침투 테스트는 실제 공격을 시뮬레이션하여 소프트웨어의 보안을 평가하고 해커가 악용할 수 있는 약점을 식별하는 것을 포함합니다.

결론

PCI 규정 준수는 신용카드 데이터를 취급하는 모든 비즈니스에 필수적인 요구사항입니다. PCI DSS 요구사항을 구현함으로써 고객의 민감한 정보를 보호하고 신뢰를 구축하며 비용이 많이 드는 데이터 유출을 피할 수 있습니다. PCI 규정 준수를 달성하고 유지하는 것이 어려울 수 있지만, 이는 비즈니스와 고객을 보호할 가치 있는 투자입니다. PCI 규정 준수는 일회성 이벤트가 아니라 지속적인 프로세스임을 기억하십시오. 강력한 보안 태세를 유지하기 위해 지속적으로 환경을 모니터링하고 보안 통제를 업데이트하며 최신 위협 및 모범 사례에 대한 정보를 얻으십시오. 규정 준수 표준에 정통한 사이버 보안 전문가와 상담하면 프로세스를 훨씬 더 간단하게 만들 수 있습니다.