PCI Security Standards Council

PCI Security Standards Council 은 카드 결제 업계 전체가 따르는 보안 기준을 쓰고 고치는 단체입니다. 카드 결제를 받는 회사가 카드 번호를 지키려고 맞추는 규칙이 여기서 나옵니다. 기준을 펴낼 뿐입니다. 누가 지키는지 감시하거나 벌을 주지는 않습니다.

쉽고 빠른 이해

카드 브랜드들이 세운, 결제 보안 기준을 쓰는 단체입니다. 카드 브랜드는 Visa · Mastercard 처럼 자기 이름을 단 카드 결제망을 운영하는 회사입니다. 쇼핑몰이 카드 결제를 받으려고 맞추는 보안 규칙 문서가 이 단체에서 나옵니다.

왜 이런 단체가 있나. 카드 브랜드마다 보안 규칙을 따로 두면 결제를 받는 가게는 여러 벌을 맞춰야 합니다. 한곳에서 한 벌로 쓰면 모두가 같은 규칙을 봅니다.

어떻게 도나:

1. 카드 번호와 결제 장비를 지키는 기준 문서를 쓰고 고칩니다
2. 그 기준대로 점검할 사람과 업체를 가르쳐 자격을 줍니다
3. 기준을 통과한 결제 장비와 소프트웨어를 목록에 올립니다

대가도 있습니다. 기준을 쓰는 곳과 지키게 하는 곳이 다릅니다. 우리 회사가 무엇을 언제까지 증명해야 하는지는 이 단체가 아니라 카드 결제 계약을 맺은 금융사에 물어야 합니다.

상세

이 절은 이 단체가 누구이고, 무엇을 하고, 무엇을 하지 않는지를 차례로 봅니다. 예로는 카드 결제를 받는 온라인 쇼핑몰의 백엔드를 계속 씁니다.

이 쇼핑몰처럼 카드 결제를 받는 가게나 서비스를 가맹점이라고 부릅니다. 이 단체의 기준을 맞춰야 하는 쪽이 바로 가맹점이라서, 아래에서 이 말이 자주 나옵니다.

여러 프로 축구 리그가 모여 만든 규칙 위원회를 떠올리면 가깝습니다. 위원회는 경기 규칙집을 펴내고 심판을 가르쳐 자격을 줍니다. 반칙한 팀에 징계를 내리는 것은 위원회가 아니라 각 리그입니다.

이름과 세운 곳

PCI SSC 는 Payment Card Industry Security Standards Council 을 줄인 이름입니다. 우리말로는 결제 카드 산업 보안 표준 위원회라고 옮깁니다. PCI(Payment Card Industry, 결제 카드 산업)는 카드를 내주고 결제를 처리하는 업계 전체를 가리킵니다.

이 단체는 2006년에 다섯 카드 브랜드가 함께 세웠습니다. American Express · Discover · JCB International · Mastercard · Visa 입니다. 카드 브랜드는 자기 이름을 단 카드 결제망을 운영하는 회사입니다. 손님이 카드를 긁으면 결제 요청이 이 결제망을 타고 오갑니다.

다섯 회사는 같은 몫으로 이 단체를 소유하고 운영합니다.

기준을 한곳에 모은 것은 결제를 받는 쪽의 짐을 덜기 위해서입니다. 브랜드마다 보안 요구를 따로 내면 가게는 같은 일을 다섯 벌의 양식으로 증명해야 합니다. 기준을 한곳에서 쓰면 한 벌만 맞추면 됩니다.

하는 일 넷

이 단체가 하는 일은 넷으로 나뉩니다. 앞의 셋이 실무에서 부딪히는 일입니다.

표의 둘째와 셋째 줄은 둘 다 목록입니다. 둘째는 사람과 업체의 목록입니다. 셋째는 물건의 목록입니다. 결제 단말기나 결제 소프트웨어를 고를 때 셋째 목록에 올라 있는지가 흔히 따지는 조건이 됩니다.

펴내는 기준들

가장 널리 알려진 것은 PCI DSS(Payment Card Industry Data Security Standard, 결제 카드 산업 데이터 보안 표준)입니다. 카드 번호를 저장하거나 처리하거나 보내는 조직이 지킬 보안 요구를 모은 문서입니다. 우리 쇼핑몰 같은 가맹점이 따르는 기준이 이것입니다.

PCI DSS 는 가맹점만 따르지 않습니다. 가맹점을 대신해 카드 번호를 다루는 회사도 따릅니다. 이런 회사를 묶어 서비스 제공자라고 부릅니다.

서비스 제공자의 대표는 결제 대행사입니다. 가맹점을 대신해 카드 결제를 받아 처리해 주는 회사입니다. 쇼핑몰이 카드 결제를 직접 붙이기 어려울 때 결제 대행사를 씁니다.

PCI DSS 말고도 기준이 여럿 있습니다. 지키는 대상이 서로 다릅니다. 아래 표에 나올 줄임말과 낱말을 하나씩 먼저 풉니다.

PIN(Personal Identification Number, 개인 식별 번호)은 카드 주인만 아는 비밀번호입니다. 매장에서 카드를 꽂고 단말기에 누르는 숫자가 이것입니다.

PTS(PIN Transaction Security, PIN 거래 보안)는 PIN 을 입력받는 결제 단말기의 보안입니다. 손님이 카드를 긁거나 꽂고 PIN 을 누르는 그 단말기가 대상입니다.

결제 처리사는 가게에서 올라온 결제 요청을 받아 카드 결제망으로 넘기는 회사입니다. 가게와 카드 결제망 사이에 서는 회사라고 보면 됩니다.

P2PE(Point-to-Point Encryption, 지점 간 암호화)는 단말기에서 결제 처리사까지 카드 번호를 암호화한 채 나르는 방식입니다. 그 사이에 거치는 가게 시스템은 카드 번호를 풀어 볼 수 없습니다.

3DS(3-D Secure, 3-도메인 보안)는 온라인 결제 때 카드를 내준 회사 쪽에서 본인 확인을 한 번 더 거는 방식입니다. 결제 중에 카드를 내준 회사의 인증 화면이 뜨는 것이 이것입니다.

아래 표는 그 가운데 백엔드 개발자가 이름을 들을 만한 것만 추렸습니다.

예전에는 결제 소프트웨어를 다루는 PA-DSS(Payment Application Data Security Standard, 결제 애플리케이션 데이터 보안 표준)도 있었습니다. 지금은 은퇴했고 그 몫을 PCI Secure Software Standard 가 넘겨받았습니다.

쇼핑몰 백엔드에 직접 걸리는 것은 대개 PCI DSS 하나입니다. 나머지는 단말기나 결제 소프트웨어를 만드는 쪽의 기준입니다.

자격을 주는 평가자

기준을 썼으면 그대로 지켰는지 따져 볼 사람이 있어야 합니다. 이 단체는 그 사람과 업체를 가르치고 시험해 자격을 줍니다. 쇼핑몰이 점검을 받을 때 만나는 평가자는 거의 이 목록에서 나옵니다.

표에서 QSA 와 ISA 는 같은 일을 하는 안팎의 짝입니다. QSA 는 바깥 회사 사람입니다. ISA 는 우리 회사 사람입니다. PFI 는 성격이 다릅니다. 평소가 아니라 사고가 난 뒤에 부르는 조사자입니다.

판정을 고르게 하려고 이 단체가 평가자의 자격을 쥡니다. 같은 요구를 평가자마다 다르게 읽으면 한 회사는 통과하고 옆 회사는 떨어집니다. 같은 교육과 같은 시험을 거친 사람만 판정하게 하면 그 차이가 줄어듭니다.

지키게 하는 쪽은 따로 있다

이 단체는 기준이 지켜지는지 감시하지 않습니다. 어긴 회사에 벌금을 매기지도 않습니다. 그 일은 카드 브랜드와 매입사가 맡습니다.

매입사는 가맹점과 카드 결제 계약을 맺는 금융사입니다. 매입사는 가맹점의 결제를 카드 결제망에 실어 보냅니다. 대금을 받으면 가맹점에 넘겨 줍니다.

카드 브랜드는 매입사에게 기준을 지키게 합니다. 매입사는 그 요구를 가맹점 계약에 넣습니다. 누가 기준을 지켜야 하는지, 언제까지 무엇을 내야 하는지도 이 계약에서 정해집니다.

그래서 이 기준은 법이 아니라 계약 조건입니다. 어겼을 때 오는 것도 계약상의 불이익입니다.

이 단체도 나라가 세운 기관이 아닌 민간 단체입니다. 그래서 이 기준은 개인정보 보호법 같은 법과 따로 섭니다. 한 회사가 둘을 함께 지켜야 하는 일도 흔합니다.

flowchart TD
    B["카드 브랜드"] -->|세우고 소유한다| C["PCI SSC"]
    C -->|기준 문서를 펴낸다| B
    C -->|자격을 준다| Q["QSA · ASV"]
    B -->|기준을 지키게 한다| A["매입사"]
    A -->|계약 조건에 넣는다| M["가맹점"]
    Q -->|점검한다| M
    M -->|지켰다는 서류를 낸다| A

그림 맨 위에서 카드 브랜드와 PCI SSC 는 화살표를 주고받습니다. 브랜드가 위원회를 세워 소유합니다. 위원회는 기준 문서를 써서 브랜드에 돌려줍니다. 위원회가 브랜드 위에 선 관계가 아닙니다.

PCI SSC 에서 나가는 화살표는 둘뿐입니다. 기준 문서와 평가자 자격입니다. 가맹점에게 「증명하라」고 요구하는 화살표는 매입사에서 나옵니다. 위원회에서 가맹점으로 곧장 가는 화살표는 없습니다.

쇼핑몰 쪽에서 보면 할 일이 갈립니다. 기준 원문과 SAQ(Self-Assessment Questionnaire, 자체 평가 설문) 양식은 위원회에서 받습니다. SAQ 는 가맹점이 기준을 지켰는지 스스로 답해 내는 설문입니다.

우리가 어느 설문을 채워야 하는지, 언제까지 내야 하는지는 매입사나 결제 대행사에 묻습니다.

기준을 고치는 방식

이 절은 누가 기준의 방향을 정하고 누가 의견을 내는지를 봅니다.

방향을 정하는 곳은 집행 위원회입니다. 다섯 창립 브랜드가 여기 앉습니다. 나중에 들어온 다른 카드 브랜드도 전략 회원이 되면 이 위원회에 앉습니다.

결제 업계의 다른 조직은 참여 회원으로 들어옵니다. 가맹점, 금융사, 결제 처리사, 단말기 제조사 같은 곳입니다.

참여 회원은 자기들 가운데서 자문 위원회를 뽑습니다. 자문 위원회는 기준을 고칠 때 의견을 냅니다.

기준은 고칠 때마다 새 판이 붙습니다. 새 판이 나오면 앞 판은 정해진 날짜 뒤에 은퇴합니다. 그래서 점검을 받을 때는 어느 판으로 받는지를 따집니다.

「PCI」라는 말이 가리키는 것

실무에서는 위원회와 기준을 섞어 「PCI」라고 부릅니다. 「PCI 받았다」는 말은 대개 PCI DSS 를 지켰다는 판정을 받았다는 뜻입니다.

헷갈리기 쉬운 이름이 하나 더 있습니다. 컴퓨터 안에서 장치를 꽂는 PCI 버스(Peripheral Component Interconnect, 주변 장치 연결)도 PCI 라고 씁니다. 두 PCI 는 뜻도 분야도 다릅니다. 결제 이야기에서 나오면 결제 카드 산업 쪽입니다.

관련 항목

PCI SSC 가 펴내는 보안 기준

PCI DSS · PCI Secure Software Standard · PCI Secure SLC · PCI PTS · PCI PIN · P2PE · PCI 3DS · PA-DSS

PCI SSC 가 자격을 주는 평가자와 업체

QSA · ASV · ISA · PFI · QIR

PCI SSC 를 세우고 기준을 지키게 하는 결제 업계 참여자

카드 브랜드 · 매입사 · 발급사 · 가맹점 · 결제 대행사 · 서비스 제공자 · 결제 처리사

PCI DSS 준수를 증명하는 문서

SAQ · 준수 보고서 · 준수 확인서 · 취약점 스캔 보고서

PCI SSC 기준이 지키는 카드 데이터

PAN · 카드 소지자 데이터 · 민감 인증 데이터 · 카드 인증 코드 · PIN · 카드 데이터 환경

PCI SSC 기준이 요구하는 보안 수단

토큰화 · 암호화 · 하드웨어 보안 모듈 · 키 관리 · 네트워크 분할 · 취약점 스캔 · 침투 테스트 · 3-D Secure

보안 기준을 합의로 펴내는 다른 단체

OWASP · ISO · IETF · W3C · EMVCo

PCI SSC 가 속하는 상위 분야

보안 엔지니어링 · 정보 보안 · 결제 시스템 · 규정 준수

이름이 겹치는 다른 PCI

PCI 버스 · PCI Express · PCI DSS