PCI DSS 컴플라이언스 수준: 의미와 자격 요건

PCI DSS 컴플라이언스 수준 한눈에 보기

가맹점 레벨 1~4 개요

결제 카드 산업 데이터 보안 표준(Payment Card Industry Data Security Standard) (PCI DSS)은 연간 카드 거래량과 전반적인 위험 노출 수준을 기준으로 조직을 4가지 가맹점 레벨로 분류하여 적절한 검증 요건을 결정합니다. 자신의 컴플라이언스 수준을 이해하는 것은 의무를 이행하고 카드 결제를 처리할 수 있는 능력을 유지하기 위해 적절한 보안 조치를 유지하는 데 매우 중요합니다.

레벨 1 가맹점은 가장 높은 거래량을 처리하며, 일반적으로 연간 600만 건이 넘는 거래를 수행하고 가장 엄격한 검증 요건을 적용받습니다. 레벨 2 가맹점은 레벨 1보다 낮지만 여전히 높은 거래량을 관리하며, 일반적으로 연간 100만~600만 건의 카드 거래를 처리하고 추가적인 감독 하에 자체평가로 검증됩니다. 레벨 3 가맹점은 대체로 중견 규모의 전자상거래 기업으로, 보통 2만~100만 건의 카드 거래를 처리하며 자체평가를 통해 검증됩니다. 레벨 4 가맹점은 거래량이 가장 적은 소규모 비즈니스로, 연간 전자상거래 거래가 2만 건 미만이거나 총 거래가 최대 100만 건까지이며, 가장 간단한 컴플라이언스 의무를 대상으로 자체평가로 검증됩니다.

다른 조직(서비스 제공자)을 대신해 카드 데이터를 처리하거나 저장하는 조직은, 가맹점(merchant) 검증과는 구분되는 별도의 2단계 검증 요구사항 체계를 따르며, 이는 연간 카드 거래량에 따라 달라집니다. 레벨 1 서비스 제공자는 연간 300,000건을 초과하는 거래를 처리하거나 제3자를 위해 카드 소지자 데이터를 저장합니다. 레벨 2 서비스 제공자는 매년 300,000건 미만의 거래를 처리합니다.

내 레벨이 중요한 이유

준수(compliance) 수준은 조직이 준수 여부를 어떻게 검증해야 하는지, 그리고 이를 유지하는 데 드는 노력의 규모를 직접적으로 결정합니다. 가맹점(merchant) 수준은 조직이 자격을 갖춘 보안 평가자(Qualified Security Assessor)를 통해 준수 보고서(Report on Compliance, ROC)를 제출해야 하는지, 또는 자체 평가 설문지(Self-Assessment Questionnaire, SAQ)를 제출해야 하는지와 함께, 조직이 유지해야 하는 준수 증거의 깊이와 유형을 규정합니다.

가맹점(merchant) 레벨이 높을수록 더 많은 문서화된 증거와 보안 관리 항목에 대한 정기적인 테스트가 요구됩니다. 예를 들어, 레벨 1 가맹점은 자격을 갖춘 보안 평가자(Qualified Security Assessor, QSA)가 서명한 공식적인 준수 확인서(Attestation of Compliance, AOC)를 요구합니다. 준수는 지속적인 의무이지만, 가맹점 레벨은 Approved Scanning Vendor(승인된 스캐닝 업체)가 수행하는 분기별 네트워크 스캔과 같이 평가가 얼마나 자주 필요한지에도 영향을 줍니다. 카드 브랜드와 매입 은행(acquiring banks)은 준수 수준에 따라 추가 요구사항을 부과할 수 있습니다. 규제 기관의 기대에 부응하고 벌금을 피하며, 카드 소지자 데이터를 보호하기 위한 요구되는 실사를 효율적으로 입증하려면 자신의 준수 수준을 정확히 식별하고 유지하는 것이 매우 중요합니다.

카드 브랜드가 귀사의 PCI DSS 준수 수준을 결정하는 방법

거래량 기준

카드 브랜드는 주로 연간 카드 거래량을 기준으로 조직의 준수 수준을 설정합니다. 이러한 기준은 PCI DSS 준수를 유지하기 위해 조직이 따라야 하는 검증 및 보고 체계가 어떤 형태여야 하는지를 결정하는 데 도움이 됩니다:

• 레벨 1: 모든 채널(매장 및 온라인)에서 연간 600만 건 이상의 거래를 처리하는 가맹점
• 레벨 2: 연간 100만 건에서 600만 건 사이의 거래를 처리하는 가맹점
• 레벨 3: 연간 20,000건에서 100만 건 사이의 전자상거래 거래를 처리하는 가맹점
• 레벨 4: 연간 전자상거래 거래 20,000건 미만을 처리하거나, 모든 채널을 합산해 총 거래가 100만 건 이하인 가맹점

레벨 1 가맹점은 일반적으로 인증된 보안 평가자(QSA)가 매년 현장 평가를 수행해야 하며, 그보다 낮은 레벨은 설문지(SAQ)를 사용한 자체 평가와 분기별 네트워크 스캔과 같은 추가 요구사항을 필요로 합니다.

침해 및 사고 에스컬레이션

연간 거래량은 준수(컴플라이언스) 수준을 결정하는 주요 요소이지만 유일한 요소는 아닙니다. 카드 브랜드는 결제 생태계에 대한 위험이 높다고 판단될 경우, 어떤 가맹점이든 수동으로 레벨 1로 상향 조정할 권리를 보유합니다. 가맹점이 카드소지자 데이터가 손상된 데이터 침해 또는 보안 사고를 겪었다면, 카드 브랜드는 거래량과 무관하게 해당 가맹점을 레벨 1로 상향 조정할 수 있습니다. 또한 카드 브랜드가 보안 통제의 부적절, 준수 증거의 부족과 같은 체계적 취약점 또는 거래 패턴, 업종 유형, 사기 이력에 근거한 고위험 프로필을 식별하는 경우, 레벨 1 검증 요구사항을 의무화할 수 있습니다.

매입은행의 역할

카드 브랜드가 전 세계 보안 표준을 수립하더라도, PCI DSS 수준을 부여하는 최종 권한은 매입은행에 있습니다. 매입은행은 조직의 올바른 가맹점 등급을 보장할 책임이 있으며, 실제 거래 데이터와 카드 브랜드별 기준을 검토하여 준수 수준을 확인합니다. 또한 매입사는 준수성 검증 문서(예: Attestation of Compliance, SAQ, Reports on Compliance)를 수집하고 검토하며, 최소 카드 브랜드 기준을 넘어서는 추가 요구사항을 부과할 수도 있습니다. Visa, Mastercard, Discover, American Express 등 서로 다른 카드 브랜드는 PCI 준수 수준에 대해 약간씩 다른 기준(임계값)을 적용합니다. 여러 브랜드를 함께 처리하는 가맹점은 모든 카드 브랜드의 준수 수준을 따라야 하며, 매입은행이 이러한 요구사항을 조정하고 시행합니다.

네 가지 가맹점 등급: 요구사항 및 증빙

레벨 1: 최고 수준의 확신

자격 요건: 매년 모든 채널을 합산해(오프라인 카드 결제, 전자상거래, 우편 또는 전화 주문) 6백만 건이 넘는 카드 거래를 처리하는 가맹점. 구매, 환불, 크레딧, 승인 등 모든 거래 유형을 포함합니다. 또한 거래량과 무관하게, 데이터 침해로 인해 데이터가 손상된 경험이 있거나, 위험 평가, 이전 준수 위반, 또는 실질적인 위험을 제시하는 비즈니스 모델에 근거해 카드 브랜드가 레벨 1으로 지정한 가맹점도 해당됩니다.

검증 요구사항: PCI DSS Level 1 준수는 가장 높은 위험 노출에 해당하므로, 따라서 가장 엄격한 검증이 필요합니다:

Level 2: 기본적으로 QSA가 없는 대용량

자격이 있는 대상: 중·대형 온라인 소매업체, 지역 소매 체인, 여러 지점을 운영하는 호텔과 레스토랑 등 Level 2 가맹점은 상당한 위험을 나타내지만, 인수 은행이 달리 지시하지 않는 한 자체 검증을 허용받습니다.

검증 요구사항:

참고: 매입(에이커링) 은행이나 카드 브랜드는 위험 프로필, 보안 침해 이력, 복잡한 인프라 또는 취약한 컴플라이언스 수준에 따라 레벨 2 가맹점에 대해 전체 ROC 및 QSA 주도 평가를 요구할 수 있습니다.

레벨 3: 중견 시장 중심의 전자상거래

자격 기준: 연간 전자상거래 거래 20,000건~100만 건을 처리하는 가맹점. 특히 Card-Not-Present(Card-Not-Present, CNP) 시나리오를 동반하며 온라인 영향력이 큰 가맹점이 해당됩니다.

검증(Validation) 요구사항: 레벨 3 가맹점에는 일반적으로 성장 중인 전자상거래 비즈니스, 결제 연동이 있는 SaaS 기업, 디지털 마켓플레이스, 구독 기반 비즈니스가 포함됩니다. 이들은 다음과 같은 검증을 제공해야 합니다:

수준 4: 소규모 가맹점 기본 요건

자격 대상: 연간 전 채널에서 총 100만 건 이하 또는 전자상거래 거래 2만 건 미만을 처리하는 가맹점은 수준 4 준수에 해당합니다.

검증 요구사항: 수준 4 가맹점에는 일반적으로 소규모 기업, 지역 소매 매장, 단일 지점의 호텔 및 레스토랑, 그리고 소규모 온라인 리테일러가 포함됩니다. 이들은 다음 검증을 완료해야 합니다:

일반적인 오해: Level 4 가맹점은 방화벽과 암호화 기술을 사용해 안전한 네트워크를 유지하고, 카드 소지자 데이터(cardholder data)를 보호하며, 취약점 관리(vulnerability management)를 수행하는 등 적용 가능한 모든 PCI DSS 요구 사항을 충족해야 할 의무가 있습니다. 액세스 제어(access controls), 지속적인 모니터링, 네트워크 테스트까지 포함됩니다. 등급은 보안 의무가 아니라 검증 방식에만 영향을 줍니다.

서비스 제공업체를 위한 PCI DSS 등급

2단계 서비스 제공업체 모델

서비스 제공업체는 가맹점을 대신해 카드 소지자 데이터(cardholder data)를 저장, 처리 또는 전송하기 때문에 결제 처리 생태계에서 중요한 역할을 하며, 카드 소지자 데이터의 보안에 영향을 줄 수 있습니다. 가맹점은 4가지 준수(compliance) 등급으로 분류되는 반면, 서비스 제공업체는 여러 고객에 걸친 공동 책임(shared responsibility) 역할을 수행한다는 이유로 엄격한 검증 요구 사항이 적용되는 2단계 분류 모델을 따릅니다.

Level 1 서비스 제공업체: 가맹점을 대신해 연간 30만 건(300,000) 이상의 카드 거래를 처리, 저장 또는 전송하는 모든 조직, 또는 거래량과 무관하게 결제 카드 브랜드에서 특정 용도로 지정한 모든 조직입니다. 이들은 ROC를 위한 Qualified Security Assessor(QSA)가 수행하는 현장 감사(on-site audit)를 받아야 하며, AOC를 제출하고, 분기별 ASV 스캔을 수행하며, 의무적인 연간 침투 테스트(annual penetration testing)를 실행해야 합니다. 이 범주의 서비스 제공업체에는 일반적으로 결제 게이트웨이(payment gateways), 관리형 서비스 제공업체(managed service providers), 클라우드 및 호스팅 제공업체(cloud and hosting providers)가 포함됩니다.

레벨 2 서비스 제공업체: 매년 총 300,000건 미만의 거래를 처리, 저장 또는 전송하는 모든 조직이며, 카드 브랜드에서 레벨 1 서비스 제공업체로 지정되지 않은 경우입니다. 레벨 2 서비스 제공업체는 PCI DSS의 모든 요구사항을 충족하기 위해 매년 서비스 제공업체용 SAQ D를 통해 검증 요구사항을 이행해야 하며, AOC를 제출하고, 분기별 ASV 스캔 보고서를 제공하고, 연례 침투 테스트를 수행해야 합니다.

서비스 제공업체를 검증하는 주체

서비스 제공업체의 준수 여부는 계약상 의무와 위험 고려사항에 따라 여러 메커니즘을 통해 검증할 수 있습니다:

• 자체 검증 vs. QSA: 레벨 1 제공업체는 외부 QSA의 검증을 받아야 하는 반면, 레벨 2 제공업체는 SAQ D를 사용해 자체 검증할 수 있습니다. 다만 제공되는 서비스의 민감도에 따라 고객, 가맹점 또는 카드 브랜드가 QSA가 서명한 ROC를 여전히 요구할 수 있습니다. 일부 경우에는 공유 책임의 특성 때문에, 가맹점의 자체 PCI 평가 과정에서 가맹점 QSA가 서비스 제공업체의 통제를 검토하기도 합니다
• 카드 브랜드 준수 레지스트리: Visa 및 Mastercard와 같은 널리 알려진 카드 브랜드는 준수 서비스 제공업체에 대한 공식 목록을 유지합니다. 가맹점은 해당 서비스 제공업체만 사용하도록 권장되며, 종종 사용이 요구되기도 합니다
• 가맹점의 책임: 가맹점은 서비스 제공업체 목록을 유지하고, 해당 업체와 서면 계약을 체결해야 하며, 서비스 제공업체의 준수 여부(컴플라이언스 상태)를 최소 1년에 한 번은 확인할 책임이 있습니다. 컴플라이언스가 확보된 서비스 제공업체를 사용하지 못했다고 해서 PCI 의무가 이전되지는 않으며, 가맹점은 카드 소지자 데이터 보호에 대한 책임을 계속 부담합니다

환경에 맞는 올바른 SAQ 선택하기

SAQ 선택 매트릭스

자기점검 설문지(Self-Assessment Questionnaires, SAQ)는 PCI Security Standards Council(PCI SSC)이 정의한 검증 도구로, 가맹점과 서비스 제공업체가 PCI DSS 준수 여부를 스스로 점검할 수 있도록 돕습니다. 올바른 SAQ는 가맹점이 카드 소지자 데이터를 수락, 처리, 전송, 저장하는 방식에 따라 달라집니다.

범위(스코프) 확대를 방지하는 팁

잘못된 SAQ 유형을 선택하면 컴플라이언스 부담이 커지고 보안 공백이 발생하며 감사(audit)에서 거절될 수 있습니다.

결제 흐름을 파악하세요: 카드holder data가 조직에 유입되는 모든 지점, 처리 및 저장 방식, 그리고 환경을 벗어나는 위치를 문서화하세요. 백업 시스템, 로그, 아카이브를 포함하여 데이터 캡처 및 처리에 관여하는 모든 시스템과 서비스를 식별합니다.

카드holder data 접점(터치포인트)을 이해하세요: 인프라의 어느 부분이든 카드holder data에 접촉한다면, SAQ 유형이 더 가벼운 SAQ에서 SAQ D로 변경될 수 있습니다. 어떤 시스템이든 카드holder data를 저장, 처리 또는 전송한다면, 카드holder data의 보안에 영향을 미칠 수 있습니다. 또한 카드holder data 환경에 접근할 수 있는 시스템과 CDE와 동일한 네트워크 세그먼트에 있는 시스템도 고려하세요.

세분화(segmentation)를 사용하세요: 적절한 네트워크 및 시스템 세분화는 PCI DSS의 적용 범위를 줄여 컴플라이언스에 필요한 노력을 감소시킬 수 있습니다. 방화벽과 VLAN을 사용해 결제 단말기 또는 POS 시스템을 나머지 기업 네트워크로부터 격리하세요. 변경 사항은 항상 문서화하고, 지속적인 컴플라이언스를 지원하기 위해 효과성을 정기적으로 검증하세요.

QSA와 상담하세요: 가맹점이 오프라인 매장과 전자상거래 서비스를 모두 제공하는 경우, 여러 개의 SAQ를 작성하거나 단일 SAQ D를 완료해야 할 수 있습니다. 과도하거나 과소한 컴플라이언스 노력을 방지하는 데 도움을 줄 수 있는 QSA를 참여시키는 것은 항상 좋은 방법입니다.

범위부터 증거까지: 수준별 감사인이 기대하는 것

범위 설정 및 문서화

PCI DSS 준수 여부를 평가하는 감사인은 먼저 범위 검증과 기본 문서부터 확인합니다. 관련 증거의 전부는 카드 소유자 데이터 환경(Cardholder Data Environment, CDE)을 정확히 정의하는 데 달려 있기 때문입니다.

정확한 CDE 스코핑: 감사인은 카드 소유자 데이터를 저장, 처리 또는 전송하는 모든 시스템, 네트워크, 위치를 명확히 식별할 것을 요구합니다. CDE의 명확한 경계는 문서로 남겨야 합니다. POS 단말기, 결제 게이트웨이, 데이터베이스 등 어떤 시스템이 범위에 포함되는지, 그리고 어떤 시스템은 제외되는지에는 네트워크 분리 및 방화벽 규칙과 같은 제외 근거가 있어야 합니다. 또한 CDE 스코핑은 최소 연 1회, 그리고 CDE 또는 관련 인프라에 중대한 변경이 있을 때마다 검토되어야 합니다.

데이터 흐름도(DFD): DFD는 엔트리 포인트부터 내부 이동, 저장, 그리고 종료(익스잇) 포인트까지의 카드 소유자 데이터의 종단 간 이동을 보여주어야 합니다. DFD에는 간단한 설명이 포함된 상위 수준 및 상세 데이터 흐름이 모두 있어야 하며, 암호화된 경로와 암호화되지 않은 경로를 표시하고, IP 주소 및 호스트네임이 있는 실제 장치에 매핑되어야 합니다.

네트워크 분리(세그먼트) 문서: 특정 서버와 장치가 범위 제외(out of scope)로 주장되는 경우, CDE에 영향을 받지 않음을 입증하는 기술적 증거를 문서에 포함해야 합니다. 예를 들어, CDE 및 비-CDE 네트워크 간 네트워크 트래픽을 제한하는 방화벽 구성, 네트워크를 논리적으로 분리하는 VLAN 구성, 그리고 연례 침투 테스트 결과 등이 있습니다.

시스템 인벤토리: CDE에 영향을 줄 수 있는 모든 항목에 대해, 서버, 워크스테이션, 네트워크 장치, 단말 등 모든 IT 자산에 대한 완전하고 최신의 인벤토리(설치된 운영체제, 애플리케이션, 버전, 패치 수준 포함)를 문서로 남겨야 합니다. 또한 시스템 업데이트, 패치, 하드웨어 폐기(제거)에 대한 증거로 로그를 제시할 수 있도록 변경 관리 메커니즘을 구현해야 합니다.

시간 동기화: 시간 동기화는 로그 상관 분석과 포렌식 분석에 필수적이므로, 모든 시스템은 Network Time Protocol (NTP)를 사용해 정확하고 동기화된 시간을 가져야 합니다. 문서에는 성공적으로 시간 동기화가 수행되었음을 보여주는 지원 로그와 함께, NTP 서버 구성, 시간 소스, 동기화 주기(빈도) 설정을 포함해야 합니다.

수준별 주요 증거(아티팩트)

서로 다른 보고 수준은 서로 다른 유형과 수준(깊이)의 증거를 요구하지만, 핵심 증거(아티팩트)는 일관된 상태를 유지합니다. 검증 방법만 가맹점(merchant) 수준에 따라 달라집니다. 아래는 모든 수준에서 감사자가 공통적으로 기대하는 증거(아티팩트)입니다:

• 정보보안 정책: 포괄적으로 문서화된 보안 정책 해당되는 모든 PCI DSS 요구사항을 포함하며, 허용 사용 정책, 데이터 보관 정책, 암호화 키 관리 메커니즘, 원격 액세스 정책, 변경 관리 정책, 물리적 보안, 그리고 사고 대응 절차를 포함합니다
• 접근 통제 문서: 사용자 접근 정책 누가 어떤 시스템과 데이터에 접근할 수 있는지 보여주는 보고서, 역할 기반 접근 통제( RBAC ) 구현 여부, 그리고 역할과 권한이 최소 권한 원칙을 따르는지 여부. CDE 내의 모든 접근 경로에서 다중 요소 인증(MFA)이 강제 적용되고, 세션 기록을 포함한 고권한 접근 관리 메커니즘이 있으며, CDE에 대한 관리자 접근에 대한 완전한 감사 추적이 존재해야 합니다
• 파일 무결성 모니터링(FIM) 로그: 중요한 시스템 파일과 구성에 대해 승인되지 않은 변경이 있는지 모니터링하고 있음을 입증하는 증거로, FIM 알림 및 보고서, 기준 구성 정의, 그리고 정당한 변경에 대한 조사 기록을 포함합니다
• 사용자 접근 검토: 부서 책임자가 승인한 보고서, 과도한 권한에 대한 개선(시정) 증거, 그리고 해지된 사용자 접근 권한의 제거를 포함하여 사용자 계정 및 관리자 계정을 정기적으로 검토합니다
• 취약점 스캔 결과: 내부 스캔 도구와 외부 Approved Scanning Vendors(ASV)가 분기별로 작성한 보고서로, 고위험 취약점이 발견되지 않았음을 보여주거나, 취약점이 패치되었고 재스캔 결과 취약점이 해결되었음을 입증해야 합니다
• 침투 테스트 보고서: 내부 또는 외부 침투 테스트 결과에 대한 공식 보고서로, 네트워크 계층 테스트, 애플리케이션 계층 테스트, 그리고 세그먼테이션 검증을 포함합니다. 결과(발견 사항)는 위험도 등급과 함께 취약점을 명확히 식별해야 하며, 재테스트 후에는 해당 조치(복구/개선) 검증이 이루어져야 합니다
• 사고 대응 절차: 보안 사고를 처리하기 위한 문서화된 계획으로, 사고 분류 방법, 에스컬레이션(상향 보고) 경로, 대응 팀의 역할과 책임, 커뮤니케이션 프로토콜, 디지털 포렌식 증거 수집 절차, 그리고 업무 연속성 조치(비즈니스 연속성)까지 포함합니다
• 변경 관리 기록: 시스템과 애플리케이션에 대해 수행된 변경 사항 전체에 대한 완전한 감사 추적(감사 로그)으로, 변경 요청서(폼), 위험 평가서(폼), 승인 기록, 구현 후 검증, 그리고 긴급 절차 실행의 정당성(사유)까지 포함합니다

Netwrix 감사 및 컴플라이언스 기능은 조직이 PCI DSS의 모든 요구 사항에 대해 증거를 생성할 수 있도록 돕습니다. 정확한 범위 정의와 데이터 검색부터 액세스 제어 및 다단계 인증에 이르기까지, privileged access management 및 광범위한 로깅과 지속적인 모니터링까지 지원합니다. 자동화된 데이터 검색 기능은 Primary Account Numbers (PAN) 및 기타 민감한 카드 소지자 데이터(카드홀더 데이터)를 찾아 분류합니다. 데이터 최소화는 보안 삭제 프로세스를 지원하기 위해 더 이상 사용되지 않거나 과도하게 보관된 카드 소지자 데이터를 식별하는 데 도움이 됩니다. 정기적인 사용자 액세스 검토 캠페인은 최소 특권의 원칙을 강제하여 CDE에 대한 액세스를 제한하고, 액세스 증명(attestation)을 자동화합니다. Netwrix 솔루션은 사용자 활동, 시스템 변경, 액세스 이벤트에 대한 감사 추적 을 포괄적으로 수집하며, 이러한 로그와 컴플라이언스 보고서를 PCI DSS 요구 사항을 충족하도록 내보낼 수 있는 기능을 제공합니다.

등급이 변하는 방식: 위로 또는 아래로 이동시키는 트리거

수준 변경을 유발하는 요인

PCI DSS 준수 수준은 고정되어 있지 않습니다. 카드 브랜드 또는 인수 은행(가맹점 측에 결제 서비스를 제공하는 은행)의 결정, 비즈니스 활동, 위험 이벤트에 따라 위아래로 변동될 수 있습니다. 가맹점과 서비스 제공업체의 준수 수준은 주로 연간 거래량으로 결정됩니다. 예를 들어, 연말연시 기간에 진행한 마케팅 캠페인이 거래량을 크게 증가시켜 600만 건 거래 기준을 넘기면, 인수 은행은 가맹점에 대해 이제 PCI DSS Level 1 준수 요구사항(준수 현황) 보고를 충족해야 한다고 통지합니다.

마찬가지로 가맹점의 거래량이 크게 감소하면 준수 수준을 하향 조정할 자격이 생길 수 있으며, 그 결과 감사의 복잡성과 비용이 줄어듭니다. 인수합병(M&A)으로 여러 가맹점의 거래량이 통합될 수 있고, 인수를 통해 상속받은 새로운 결제 채널이나 브랜드도 총 거래 건수에 영향을 줄 수 있습니다.

보안 사고나 데이터 침해는 카드 브랜드 또는 인수 은행의 엄격한 준수 조치를 유발할 수 있으며, 그에 따라 준수 수준이 상승하고(필요시) 준수 수준을 정상으로 되돌리기 전까지 포렌식 조사와 함께 개선(시정) 노력이 요구될 수 있습니다. 가맹점이 새로운 제3자 서비스 제공업체를 사용하기 시작하거나, 아웃소스(위탁)된 결제 처리 방식을 변경하는 경우에도 준수 수준에 영향을 줄 수 있습니다. 예를 들어, 아웃소스 결제 페이지에서 부분 호스팅 모델(partially hosted model)로 전환하면 준수 의무가 높아질 수 있지만, 사내 결제 관리 서비스에서 아웃소스 결제 처리로 전환하면 준수 의무가 단순해질 수 있습니다. 카드 브랜드는 높은 사기율, 반복되는 비준수, 또는 고위험 비즈니스 모델을 근거로 어떤 가맹점이나 서비스 제공업체든 재분류할 권리를 보유합니다.

거버넌스 모범 사례

준수(Compliance)는 한 번으로 끝나는 일이 아니라 지속적인 프로세스입니다. 갑작스러운 실패를 방지하려면 조직은 PCI compliance level에 필요한 통제와 정책을 비즈니스 거버넌스 모델에 통합해야 합니다.

예기치 않은 상황을 피하세요: 분기 또는 월 단위로 거래량을 추적하면, 판매자는 실제로 발생하기 전에 다음 단계에 도달할 시점을 예측할 수 있습니다. 보안 침해 사건이 발생한 경우를 대비해 신규 채널 추가의 데이터 흐름 다이어그램, 사고(인시던트) 로그, 그리고 시정(개선) 기록 등 재분류를 위한 거래 증빙을 유지하세요.

검증(Validation) 계획: 레벨 2에서 레벨 1로 전환하려면 인증된 보안 평가자(QSA)를 고용해야 하며, CDE를 확보하기 위한 기술적 비용이 발생합니다. 이러한 변경에는 예산이 적절히 책정되고, 직원과 장비 같은 자원이 올바르게 배분되도록 하기 위한 상당하고도 효율적인 계획이 필요합니다.

선제적 커뮤니케이션: 매입은행(acquiring bank)과 투명한 관계를 유지하세요. 이는 컴플라이언스 수준 변경이 예기치 않게 발생한 경우 보안 통제의 구현 일정에 대해 협의하는 데 도움이 됩니다. 새로운 전자상거래 플랫폼을 시작하거나 토큰화(tokenization) 변경 또는 결제 게이트웨이 교체를 진행하기 전에 항상 매입업체(acquirer)에게 사전 통지하십시오.

레벨별 흔한 함정과 이를 피하는 방법

수준 1의 취약점

취약한 Privileged Access Management: 1수준 카드소지자 환경 및 관련 인프라에는 공격 표면을 줄이기 위한 엄격한 접근 제어가 필요합니다. 포괄적인 access management 는 카드소지자 데이터 보안에서 핵심적인 요소입니다. 흔한 문제로는 공유 관리자 계정 사용, 관리 또는 서비스 계정 및 원격 액세스에 대한 MFA 미구현, 과도한 상시 권한, 사용자 접근 검토 캠페인의 부재, 최소 권한 원칙을 따르지 않는 역할 기반 접근 제어(RBAC), 관리자 활동에 대한 모니터링 부재 등이 있습니다.

미흡한 로깅: 로그는 데이터 침해 사고의 포렌식 조사에서, 그리고 보안 통제의 효율성을 검증하는 데 있어 핵심적인 역할을 합니다. 흔한 문제로는 인증 실패의 중요 이벤트, 권한 상승, 또는 데이터 액세스와 같은 인증 흔적이 누락되는 경우가 있습니다. 로그는 수집되지만 자동 분석 및 저장을 위해 중앙 집중형 플랫폼에 집계되지 않습니다. 로그는 존재하지만 특정 계정에 연결된 고유 ID를 기반으로 이벤트 흐름(트레일)을 구분할 수 없습니다.

분리(세분화) 효과: 일반적인 문제로는 CDE에 접근할 수 없다는 증거 없이 ‘범위 제외’로 라벨이 붙은 네트워크, 연간 침투 테스트 보고서의 부재, 그리고 네트워크 접근을 허용할 수 있는 잘못된 방화벽 규칙 등이 있습니다.

변경 관리 증거: 일반적인 문제로는 적절한 승인 없이 긴급 변경을 수행한 기록, 구현 후 PCI 영향이 평가되지 않은 경우, 적절한 백업 없이 하드웨어 및 소프트웨어를 업그레이드하거나 교체한 경우, 그리고 정당한 변경 관리 이벤트 이후 보안 포지션 평가 보고서가 없는 경우 등이 있습니다.

레벨 2~4의 함정

잘못된 SAQ 선택: 상점(가맹점)에서는 환경이 실제로는 더 자세하고 관련성 있는 기술적 평가를 요구한다는 사실을 인지하지 못한 채, 종종 가장 쉽거나 가장 짧은 Self-Assessment Questionnaire (SAQ)를 선택합니다. 잘못된 SAQ 유형을 선택하면 특히 결제 흐름이 오해되어 문서에 부정확하게 반영되는 경우, 규정 준수(컴플라이언스) 평가가 불완전해질 수 있습니다. SAQ를 선택하기 전에 결제 카드 데이터의 전체 흐름을 반드시 파악하고, PAN이 전송·처리·저장되는 위치를 문서화하며, 제3자 프로세서의 통합 방식이 적절한지 확인하세요. 확신이 없으면 SAQ 선택 가이드를 항상 참고하거나 QSA를 고용해 SAQ 선택 절차를 돕는 것이 좋습니다.

분기별 ASV 스캔 누락: 취약점 스캔은 승인된 스캐닝 벤더(Approved Scanning Vendor, ASV)가 90일마다 수행해야 합니다. 가맹점(상점)은 이를 연 1회 작업으로 오해하거나, 규정 준수 상태를 유지하기 위해 스캔에서 식별된 취약점을 요구되는 시간 제한 내에 조치(수정)하지 않는 경우가 있습니다. 식별된 취약점을 조치할 수 있는 충분한 시간을 확보하고, 동일 분기가 끝나기 전에 통과 보고서를 얻기 위해 조치 후 재스캔까지 할 수 있도록 매 분기의 첫 달에 스캔 일정을 항상 잡으세요. 만기일 2~3주 전에 캘린더 알림을 설정하고, 조치 기한을 추적하세요(고위험 취약점은 30일). 스캔 결과와 조치에 대한 문서화된 증빙을 유지하며, 분기별 스캔에는 PCI SSC가 승인한 스캐닝 벤더만 사용하세요.

로그 및 내보내기(Export)에 포함된 PAN: Primary Account Number (PAN) 정보는 애플리케이션 로그, 고객 서비스 채팅 대화 기록, 음성 통화 녹음, CRM 내보내기, 또는 회계 부서에서 사용하는 CSV 내보내기 등, 저장되어서는 안 되는 위치로 유출될 수 있습니다. 자동화된 data discovery tools 를 사용해 인프라에서 암호화되지 않은 PAN이 있는지 최소 1년에 한 번 스캔하세요. 소프트웨어 솔루션이 카드 번호를 마스킹하여 처음 4자리 또는 마지막 4자리만 보이도록 하게 하십시오. PAN을 잘라내기(절단)할 수 있도록 내보내기 기능과 보고 도구를 검토하고, 디버그 로그에 민감정보가 저장되지 않도록 안전한 코딩 방식에 대해 개발자를 교육하세요. 또한 암호화되지 않은 민감 정보가 있는지 정기적으로 로그를 점검하십시오.

Netwrix가 모든 수준에서 PCI DSS를 가속하는 방식

요구 사항 3: 저장된 카드 소지자 데이터 보호

Netwrix Data Security Posture Management 솔루션은 하이브리드 환경 전반에서 자동 데이터 검색 및 분류를 수행하여 개인 계정 번호(Primary Account Numbers, PAN)와 기타 민감한 카드 소지자 데이터를 찾아낼 수 있도록 지원합니다. 데이터 분류는 단순 키워드 매칭 대신 복합 용어 처리와 통계 분석을 사용해 수행됩니다. 자동화된 마스킹(레덕션) 기능은 해당 데이터를 표시할 업무상의 필요가 없을 때 카드 숫자를 가립니다. 데이터 최소화 및 보관(유지) 추적을 통해 필요한 카드 소지자 데이터만 저장되고 불필요한 데이터는 보관되지 않음을 입증합니다. 자동화된 워크플로우는 조직이 안전하지 않은 위치에 있는 민감 데이터를 격리(quarantine)하도록 돕고, 전역 액세스 그룹(global access groups)에서 권한을 제거하는 데도 도움이 됩니다.

요구 사항 7과 8: 접근 제어 및 인증

Netwrix Identity Governance 솔루션은 온프레미스와 클라우드 플랫폼 전반에서 사용자, 서비스 계정, 관리자 계정의 권한을 가시적으로 확인할 수 있게 해줍니다. 권한(Privilege) 증명(attestation) 보고서는 최소 권한 원칙을 집행하고, 카드 소지자 환경에 대한 액세스가 엄격히 역할 기반으로 문서화되어 있음을 보장하기 위해 사용자 권한을 인증합니다. Identity governance 솔루션은 사용자 ID의 생명주기를 자동화하여, 모든 사람이 고유 ID를 갖고 모든 활동이 그 고유 ID로 추적되며, 의심스러운 활동 또는 퇴사(termination) 시 액세스를 즉시 철회할 수 있도록 합니다. Privileged account monitoring 기능을 통해 조직은 CDE에서 특권 세션을 모니터링하고 기록하여, 무단 변경 또는 데이터 유출 시도 여부를 감지할 수 있습니다.

요구 사항 10: 로깅 및 모니터링

Netwrix Auditor는 파일 시스템, Active Directory, 클라우드 서비스를 포함한 하이브리드 인프라 전반에서 통합 감사(auditing) 및 활동 모니터링 기능을 제공합니다. 변경 추적(Change tracking) 솔루션은 파일 무결성 모니터링(File integrity monitoring, FIM) 기능을 통합해 중요 시스템 파일 및 보안 구성에 대한 무단 변경을 탐지하고, 로그 데이터가 수정될 때 경고를 생성합니다. Netwrix 솔루션은 내보내기 가능한(Exportable) 감사 준비 완료(audit-ready) 로그와 보고서를 제공하며, 이는 Attestation of Compliance 및 Report on Compliance 제출 시 증거로 활용되어 감사 준비 시간을 크게 단축합니다.

요구사항 6 및 11: 보안이 적용된 시스템과 테스트

Netwrix Change Tracker 는 시스템 구성을 지속적으로 추적하고, 보안 기준선(Security baselines)에서 벗어나는 잘못된 구성(misconfigurations)을 탐지하며, 서버, 엔드포인트, 네트워크 장치가 항상 안전한 상태를 유지하도록 보장합니다. 변경 추적(Change tracking)은 변경 전/후 구성 값(before-and-after configuration values)을 함께 보여주므로, 무엇이 언제, 누가 변경했는지 명확히 파악할 수 있어 CDE에 대한 포괄적인 증거 기반 리포트를 제공합니다. 이러한 증거 기반 리포트는 안전한 시스템 유지보수, 구성의 일관성 검증, 그리고 PCI 스캔 및 테스트 요구사항을 충족하기 위한 지속적인 테스트를 지원합니다.

PCI DSS Level 1 심층 분석(기업 및 서비스 제공업체 대상)

Level 1을 위한 추가적인 엄격함

Level 1 가맹점과 서비스 제공업체는 결제 생태계에 대한 위험이 가장 크기 때문에 더 높은 수준의 심사를 받습니다. Level 1에서는 PCI 컴플라이언스의 12가지 핵심 요구사항을 넘어설 것이 요구됩니다. 즉, 검증 요건을 제대로 충족하기 위해 강화된 통제, 문서화된 준수 절차, 지속적인 모니터링을 구현해야 합니다.

샘플링 전략 고려사항: 기업에 수백~수천 개의 인프라 구성요소가 있는 경우, QSA는 그 모든 항목을 하나하나 평가할 수 없습니다. PCI DSS는 단 하나의 특정 샘플링 공식(수식)을 의무화하지는 않지만, Level 1 감사는 본질적으로 CDE, 세분화(분리) 통제, 접근 통제, 로깅 등 가장 중요한 시스템 전반에 대해 대표성 있는 샘플링을 요구합니다. 동일한 구성을 가진 시스템을 묶어서 샘플링을 표준화하세요. 샘플링에는 카드 소지자 데이터(cardholder data)를 처리하는 모든 비즈니스 프로세스와 모든 지리적 위치가 포함되어야 합니다. 샘플링 방법에 대한 문서를 유지해야 하며, 여기에는 모집단 정의, 선택 기준, 통계적 정당성, 그리고 QSA가 완전성을 입증할 수 있는 증거를 포함하여 샘플이 특정 PCI 요구사항과 어떻게 연결(추적)되는지(추적성)를 포함해야 합니다. 샘플링 결과 실패가 드러나면 테스트 범위를 확장하거나 전체 시스템 클래스(유형)를 평가해야 합니다. Level 1 기관은 단일 대표 시스템이 전체 클래스를 커버한다고 가정하는 것을 피해야 합니다.

확대된 침투 테스트 범위: Level 1 기관은 매년 내부 네트워크, 구역(퍼리미터) 네트워크, VPN, 클라우드 인프라, API, 엔드포인트를 포함해야 하며, 새 하드웨어 추가, 소프트웨어 업그레이드, 새로운 클라우드 플랫폼으로의 마이그레이션 등 네트워크에 중대한 변경이 발생하는 경우에도 포함해야 합니다. 최소한, 표적(타깃) 침투 테스트를 다시 수행해야 합니다. 조직은 방화벽 규칙과 VLAN 격리 같은 증거를 통해 네트워크 분리(세그멘테이션)를 입증해야 합니다. 인증 및 인가(authorization) 프로세스는 내부 사용자 관점과 외부 공격자 관점 모두에서 평가되어야 합니다. 시정(복구) 이후에는 취약점이 해결되었음을 확인하기 위해 표적 재테스트가 필요합니다.

증거 저장소 모범 사례: Level 1 감사에는 수천 건의 증거가 필요할 수 있습니다. 조직은 스프레드시트에서 벗어나, 중앙 집중형 데이터 저장소를 기반으로 전체 프로세스를 자동화할 수 있는 적절한 Governance, Risk and Compliance (GRC) 도구로 전환해야 합니다. 정책, 설정 파일, 로그, 절차 등 각 요구사항에 대한 기본(베이스라인) 산출물을 생성하기 위해 자동화 도구를 사용하세요. 증거는 12가지 PCI DSS 요구사항 및 하위 요구사항에 따라 정리하십시오. 모든 구성(configuration)과 정책(policy)의 날짜가 포함된 버전, 역할 기반 접근 권한의 세부 정보, 분기별 스캔 보고서, 로그 분석, 파일 무결성 모니터링 알림, 방화벽 규칙, 암호화 구현 사항을 최신으로 유지하세요.

지속적인 준수: 기존의 특정 시점에 한정된 준수 방식과 달리, PCI DSS는 지속적인 보안을 강조합니다. 레벨 1 조직의 경우, 지속적인 모니터링은 모든 비즈니스 프로세스에 내장되어야 합니다. 분기별 외부 ASV 취약점 스캐닝과 내부 취약점 스캔 외에도, 로그는 일 단위로 또는 최소 주 2회 검토해야 하며, 집계 분석을 위해 SIEM 도구를 구현해야 합니다. 파일 무결성 모니터링을 위해 실시간 알림 생성 메커니즘을 배포해야 합니다. 또한 CDE에서 발생하는 모든 변경에는 문서화된 승인 절차를 포함하는 공식적인 변경 관리 프로세스가 마련되어 있어야 합니다. 매월 사용자 액세스 검토 캠페인을 실행하고, 방화벽 및 라우터 규칙을 검토하며, 서비스 제공자 준수 여부를 검증해야 합니다.

체계적인 문서 유지: 조직은 감사 시즌을 기다리면 안 됩니다. 연중 내내 12가지 PCI DSS 요구사항 전체에 대해, 적절한 버전 관리와 요약 변경 로그를 갖추고 정기적으로 문서를 작성 및 업데이트해야 합니다. QSA의 첫 번째 임무는 종종 범위 파악입니다. 문서화되지 않은 시스템이나 요구사항을 발견하면, 감사는 대부분 지연되거나 실패할 가능성이 큽니다.

QSA와의 협업

레벨 1 검증에는 외부 Qualified Security Assessor (QSA)가 필요합니다. 다만 QSA를 감사자(auditor)로만 보지 말고, 위험을 줄이는 데 함께하는 파트너로 인식해야 합니다. 성공적인 참여를 위해서는 사전에 준비하고, 이 프로세스에서 얻을 수 있는 결과를 극대화하기 위해 효율적인 협업을 해야 합니다.

증거를 사전에 준비: 조직은 ROC 템플릿을 사용해 내부 평가를 수행하여 격차를 식별해야 합니다. 각 요구사항을 해당 증거와 매핑하는 체크리스트를 작성하세요. 데이터 흐름 다이어그램을 포함한 완전하고 최신의 자산 목록을 준비하고, 범위 설정 문서에는 범위를 정당화하기 위한 상세한 네트워크 분할(세그멘테이션)이 포함되어야 합니다.

명확한 커뮤니케이션 채널을 구축하세요: QSA 조정을 위한 단일 연락 담당자를 지정합니다. 각 요구사항 도메인별로 상세 내용에 대해 주제 전문가를 파악하세요. 이메일, 화상 회의, 문서 포털 등 선호하는 커뮤니케이션 채널을 설정합니다. 본 감사 전 워크스루 세션을 진행하고, 증빙 요청과 관련된 분쟁이나 지연에 대한 에스컬레이션 경로를 정의하며, 예를 들어 48시간 또는 72시간처럼 증빙 요청에 대한 처리(회신) 소요 시간을 정해 두세요.

발견 사항을 신속히 처리하세요: 감사 중에 QSA가 공백(미비 사항)을 발견하면, 그들이 현장에 있는 동안 즉시 시정(개선)하려고 노력하세요. 이는 최종 ROC에서 비준수(non-compliance) 상태가 아니라 성공적으로 통과할 수 있는 경우가 많습니다. 시정 절차는 공식적으로 진행되어야 하며, 발견 사항을 이해했음을 수령 확인하고, 비준수가 발생한 이유에 대한 근본 원인 분석을 수행하며, 스크린샷, 구성 상세 정보, 새 정책 등과 같은 증거를 바탕으로 문제를 시정하기 위해 실제로 수행한 조치를 문서화해야 합니다.

다음 단계: PCI DSS 준수 수준을 검증하세요

실행 계획

가맹점 또는 서비스 수준을 이해하는 것은 PCI DSS 준수를 위해 매우 중요합니다. 수준이 올바르게 평가되면, 앞으로의 준수 경로는 검증, 증빙, 그리고 지속적인 모니터링에 관한 것입니다.

어떤 수준에서든 PCI DSS 준수를 간소화할 준비가 되셨나요? Netwrix PCI DSS solution page 를 방문하여 매핑된 보고서 샘플을 확인하고, 당사의 데이터 보안 및 감사(감사 지원) 역량이 검증을 얼마나 빠르게 하는지 알아보세요.