[특집]Cover Story PCI DSS(Payment Card Industry Data Security Standard), 즉 미(美) 신용카드협회 데이터보안표준, 또는 지불카드협회 데이터보안 표준은 미 신용카드협회 보안표준위원회(PCI SSC, PCI Security Standards Council)가 제정한 광대한 범위에 걸쳐 다양하고 까다로운 요건 사항을 내걸고 있는 대표적인 컴플라이언스다. PCI DSS가 제정된 것은 불과 2년 전이지만 적게는 요건사항 위반 건당 50달러부터, 심할 경우 카드결제 승인 거부에 이르기 까지 막강한 패널티를 기반으로 준수를 강제하고 있다. (PCI DSS를 한 마디로 정리하자면 보안 관리, 정책, 절차 등과 관련된 요건 사항을 포함하는 다방면에 걸친 보안 표준이라 할 수 있다.) 
국내의 경우 현재까지 구체적으로 논의된 바는 없지만, 미 신용카드협회가 국내의 PG(전자결제시스템 : Payment Gateway)사들과 VAN(부가가치통신망 : Value Added Network)사들에게도 오는 11월 말부터, 연간 6 백만 건 이상의 카드거래 업체는 내년부터 PCI 요건 사항을 충족시킬 수 있는 대책을 마련하도록 권장하고 있다. 그러나 PCI DSS의 본고장(?)인 미국에서조차 관련 업계들이 아직 PCI DSS를 충분히 이해하지 못해 골머리를 앓고 있는 만큼(특히 지난 6월말부터 의무화된 6.6항의 경우 미국 내 많은 업체들이 그 난해한 내용 때문에 혼란 을 겪고 있는 상황이다), 국내 관련 업체들도 정보보안을 위해 필요한 부분이지만 이를 도입해야할지 말아야 할 지, 몸살을 앓을 수밖에 없는 실정이다.

비자카드, 마스터카드, 아메리칸익스프레스 등 세계적 인 카드회사가 주축이 돼 마련한 지불카드 업계 정보 보안 표준인 PCI DSS는 지난 2006년 9월 PCI 보안 표준위원회(PCI Security Standards Council)가 설립되면서 제정되었다.
PCI DSS 규제는 고객의 데이터를 저장, 처리, 전송하는 ‘카드 가맹점’과 ‘서비스사업자’라면 모두 준수하도 록 권고되고 있지만, 일정 거래규모 이상의 처리업체 와 가맹점에게는 의무적으로 이행토록 하고 있다. 특히, PCI DSS를 이행하지 않는 가맹점 등에 카드결제 승인 을 거부하는 등의 강도 높은 제재방식이 적용되고 있다.
아직 국내에서는 구체적으로 추진되거나 결정된 것 이 없지만, PCI와 관련해 비자코리아의 장성빈 이사 는 “PCI는 가맹점단에서의 카드 정보유출을 방지하기 위한 비자카드에서 만든 AIS(Acount Infornaition Security)프로그램에서 시작됐다”며 “신용카드를 사 용하지 않는 사람의 79%가 안전하지 않기 때문이라고 대답한 조사 결과처럼 PCI는 신용카드에 있어서 보안 을 비롯해 여러 가지 측면에서 필요한 것”이라고 강조 했다.
또한 그는 “특히 가맹점 단에서 거래된 신용카드 정보 는 지워야 하는데도 불구하고 이를 마케팅 자료로 활용하기 위해 보관하고 있는 상황에서 이러한 정보가 유출되면 엄청난 피해로 이어질 수 있고 해당 기업도 집단 손해배상 청구 소송 등과 같은 커다란 리스크가 발생하기 때문”이라고 덧붙였다. 아울러 일본 등 해외 에서는 PCI에 대한 정부 차원의 지원이 활발하게 이루어지고 있는데 반해 우리나라는 아직 미흡한 부분이 있어 아쉽다고 밝혔다.
현 상황은 이와 같지만, 우리나라도 올 연말 즈음부터 는 미(美) 신용카드협회 데이터보안표준(PCI DSS, 이 하 PCI)의 영향을 피할 수 없을 것으로 보인다. 특히, PG사들과 VAN사는 당장 오는 11월 말까지 PCI가 요 구하는 요건 사항을 충족시킬 수 있는 대책 마련이 필요할 것으로 예상된다.
즉, 미 PCI 협회가 해외 업체들에게도 연간 카드거래 60만 건 이상일 경우 자가진단서와 네트워크 점검, 실사를 모두 의무화하도록 권장될 것으로 보이며, 연간 카드거래 12만 건 이하일 경우에는 자가진단서 제출 만, 연간 카드거래가 12만 건 이상, 60만 건 이하인 업체의 경우 자가진단서와 분기별 네트워크 점검을 의무화할 것으로 예상된다.
또한 일반 가맹점의 경우, 연간 6백만 건 이상의 카드 거래가 있을 시 분기별 네트워크 점검과 실사를 의무적으로, 자가진단서 제출은 선택적으로 이행하도록 권장 될 것으로 전망된다. 그러나 카드 전자 상거래 업체의 경우, 연간 2만 건 이상의 거래가 이루어지는 업체라면 자가진단서와 분기별 네트워크 점검이 의무화하도록 권장하고 있기 때문에 내년까지 해당 대책을 마련하는 것 이 바람직할 것으로 보인다.

열두 고개+∝
얼핏 생각해보아도 막대한 비용과 인력이 소모될 것으로 보이는 PCI의 까다로움은 여기서 끝이 아니다. 카드 이용자의 카드 결제 데이터를 처리, 저장, 전송하는 가맹점과 통신사업자들에게 정보보안 관리의 준수와 데이터의 안전한 처리를 요구하기 위해 PCI는 보안 영 역을 크게 6개로 구분, 총 12개의 기본적인 요건 사항 을 제시하고 있다(‘PCI DSS v1.2’ 참조).

그러나 12 개의 요건 사항에 따른 각각의 세부 사항이 적지 않을 뿐만 아니라, 그 내용 또한 까다로우면서도 명확하지 않아 관련 업체들은 벌써부터 부담을 느낄 수밖에 없다. 예를 들어 앞서 언급한 것처럼 지난 6월 30일부터 의무화된 ‘안전한 시스템과 애플리케이션의 개발 및 유지에 관한’ 6.6항을 살펴보면, ‘모든 웹 대면 애플리케이션들은 알려진 공격에 대해 보호’가 요구되며 다음 중에서 선택, 적용할 수 있다고 난해하게 설명 하고 있다.

• 애플리케이션 보안 전문 단체를 통해 일반적인 취약성에 대해 모든 커스텀 애플리케이션 코드를 리뷰 또는,
• 애플리케이션 레이어 방화벽을 웹 대면 애플리케이션에 설치

또한 PCI 6.6의 감사 절차를 살펴보면 ‘커스텀 애플리케이션 코드가 애플리케이션 보안 전문 단체에 의해 주 기적으로 리뷰되고 있는지 증명’해야 한다고 요구하고 있으며 모든 코딩 취약성이 수정되었는지, 수정 후 애플리케이션이 재평가 되었는지 등을 확인하도록 되어있 다. 또 웹 기반 공격을 감지하고 방지하기 위해 애플리케이션 레이어 방화벽이 웹 대면 애플리케이션 전단에 적절히 위치하고 있는지 증명해야 한다.
그러나 컨설턴트사 Security Curve의 창립자 다이 애나 켈리(Diana Kelley)는 “수동 또는 자동 소스 코드 리뷰가 허용 가능한지, 혹은 다이내믹 펜 테스트 도 괜찮은지에 대한 언급이 없다”며 내용이 애매하다 고 지적했다. 또 다른 컨설턴트 업체 도노반 네트웍스 (Donovan Networks)의 창립자 프레드 도노반(Fred Donovan)도 웹 애플리케이션 방화벽의 초기값은 스캔하도록 설정되어있을 뿐, 보호하거나 차단하도록 되어있는 것은 아니라고 언급했다.
이처럼 미국 내에서도 업체들의 불만과 혼란이 가중되자 PCI 보안표준위원회(이하 SSC)는 관련 용어 모음집은 물론, 감사 절차, 스캐닝 절차에 관한 상세한 설명을 담은 문서를 업데이트 하거나 한 달 간격으로 추가 가이드를 배포하고 있는 실정이다.
이처럼 PCI의 요건사항을 이해하기 위해서는 마치 ‘스무고개’라도 하듯 질문에 질문을 거듭해야 하다보니 PCI준수는 그야말로 ‘산 너머 산’이다.
<글 : 김태형 기자(boan@boannews.com)/김동빈 기자(foreign@boannews.com)>
[정보보호21c (info@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>