PCI DSS(Payment Card Industry Data Security Standard)는 신용카드 거래 시 보안 강화를 위해 결제 카드 업계에서 공동으로 개발한 글로벌 보안 표준입니다. 이 표준은 Visa, MasterCard, American Express, Discover, JCB 등 주요 카드 브랜드들이 참여하는 PCI SSC(Payment Card Industry Security Standards Council)에서 관리합니다.
이 표준의 주요 목적은 카드 소유자의 데이터 보호 및 보안 강화이며, 카드 결제 데이터를 처리하는 모든 기업(상점, 결제 게이트웨이, 금융기관 등)에 적용됩니다.
PCI DSS는 12개의 주요 요구사항으로 구성되며, 이 요구사항들은 6가지 보안 목표(Security Goals)를 충족해야 합니다.
다음과 같은 조직은 PCI DSS 준수를 요구받습니다.
PCI DSS 준수 여부는 결제 거래량(Level)에 따라 14단계(Level 14)로 구분됩니다.
| Level | 연간 카드 거래 건수 | 요구 사항 |
|---|---|---|
| Level 1 | 600만 건 이상 | 연간 QSA 감사 및 침투 테스트 필요 |
| Level 2 | 100만~600만 건 | 연간 자체 평가(SAQ) 및 ASV 스캔 |
| Level 3 | 20,000~100만 건 | 자체 평가(SAQ) 및 ASV 스캔 |
| Level 4 | 20,000건 미만 | 자체 평가(SAQ) 권장 |
PCI DSS(지불카드 산업 데이터 보안 표준) 버전 4.0은 2022년 3월 31일에 발표되었으며, 이전 버전인 3.2.1과 비교하여 여러 중요한 변경 사항이 도입되었습니다.
이러한 변경 사항은 조직이 최신 보안 위협에 대응하고 카드 소지자 데이터를 더욱 효과적으로 보호할 수 있도록 설계되었습니다.
| 항목 | PCI DSS v3.2.1 (이전 버전) | PCI DSS v4.0 (최신 버전) |
|---|---|---|
| 보안 제어 접근 방식 | 전통적인 명확한 요구사항 기반 | 유연한 보안 목표(Customized Approach) 도입 |
| 다단계 인증(MFA) | 원격 접속 시 필수 | 내부 시스템 포함 모든 접근에 필수 |
| 비밀번호 정책 | 최소 8자 | 최소 12자, 더 강력한 보안 요구 |
| 보안 모니터링 및 테스트 | 정기적인 점검 요구 | 지속적인 모니터링 및 자동화된 테스트 강조 |
| 서비스 제공업체 및 클라우드 환경 | 제한적 요구사항 | 클라우드 및 서비스 제공업체에 대한 책임 명확화 |
| 웹 애플리케이션 보안 | WAF(웹 애플리케이션 방화벽) 권장 | WAF 도입 의무화 |
| 암호화 및 키 관리 | 정기적인 키 변경 요구 | 키 변경보다 보안 강화를 위한 리스크 기반 접근법 허용 |
| 보안 취약점 관리 | 연 1회 취약점 평가 요구 | 지속적인 취약점 모니터링 및 개선 요구 |
| PCI DSS 준수 기간 | 기존 요구사항 유지 | 2025년 3월 31일까지 v4.0 완전 적용 필수 |
핵심 변화 요약
PCI DSS는 카드 결제 시스템의 보안을 보장하기 위한 필수 표준이며, 카드 데이터를 저장하거나 처리하는 모든 조직이 준수해야 합니다. 최신 PCI DSS v4.0에서는 지속적인 보안 모니터링과 자동화된 대응이 더욱 강조되고 있습니다.
PCI DSS 준수를 통해 금융 데이터 보호 및 기업의 신뢰도를 높일 수 있으며, 이는 법적 리스크 감소와 함께 장기적인 비즈니스 안정성 확보에 기여합니다.
요양원 선택 전 반드시 확인해야 할 체크리스트를 공개합니다. 공식 평가 자료 조회법, 방문 시 확인…
공공기관 채용 비리의 실태와 피해 지원자의 대응법을 정리했습니다. 채용 비리 신고 방법, 공익신고자 보호제도, 취준생…
주식 손실을 세금 절약에 활용하는 합법적 방법을 공개합니다. 해외주식 손익통산, ISA 계좌 활용, 연금계좌 절세까지…
배달이 예상 시간보다 크게 늦으면 취소·환불을 요청할 수 있습니다. 배달앱별 지연 취소 방법과 잘못 배달됐을…
통신비 절약의 핵심은 요금제 최적화입니다. 내 데이터 사용량 확인법, 알뜰폰 전환 비교, 위약금 없이 요금제…