보안·클라우드 인증 가이드
카드정보 흐름과 거래 상대의 검증 조건을 먼저 봅니다
PCI DSS는 카드정보를 저장·처리·전송하는 환경의 보안 요구사항입니다. 결제대행·호스팅·전자상거래 구조와 데이터 흐름을 확인하고 카드사·매입사가 요구하는 검증·보고 방식을 먼저 정해야 합니다.
IS THIS YOUR PATH?
어떤 기업이 검토하나요?
- 카드정보를 처리하는 결제·PG 서비스
- 결제 환경에 영향을 주는 호스팅·서비스 제공자
- 매입사에서 PCI 준수 증빙을 요청받은 가맹점
DOCUMENTS & EVIDENCE
무엇을 준비하나요?
문서의 양보다 실제 제품·프로세스·운영 기록과의 일치가 중요합니다.
DOCUMENT 01
카드정보 흐름·CDE 범위
저장·처리·전송 위치와 연결 시스템·외주 책임을 식별합니다.
DOCUMENT 02
기술·운영 통제 증거
계정·네트워크·로그·취약점·보안개발과 정책 실행을 정리합니다.
DOCUMENT 03
보고서·검증자료
요구된 SAQ·ROC·AOC와 적용되는 스캔·시험 자료를 준비합니다.
YOUR NEXT STEPS
어떤 순서로 진행하나요?
- 01
준수 수신기관 요구 확인
카드사·매입사와 보고 방식·기한·검증 수준을 확정합니다.
- 02
범위 검증·통제 보완
평가자와 카드정보 환경 및 적용 제외의 근거를 검토합니다.
- 03
검증·보고·지속관리
필요한 평가·스캔·시험과 증빙 제출 및 주기적 운영을 수행합니다.
일정은 이렇게 판단합니다
카드정보 환경 보완·요구되는 주기적 활동과 평가 일정이 좌우합니다. 거래 상대의 제출기한을 기준으로 역산하세요.
QUESTIONS, ANSWERED
PCI DSS 결제카드 데이터 보안 자주 묻는 질문
SAQ 종류를 회사가 자유롭게 골라도 되나요?
해당 SAQ의 자격조건을 충족하고 카드사·매입사의 보고 요구를 확인해야 합니다.
PCI SSC가 준수 의무를 직접 부과하나요?
PCI SSC는 표준을 관리하며 검증·보고 요구는 카드 브랜드와 매입사 등 준수 프로그램 운영자가 결정합니다.
PG를 쓰면 모든 요구에서 제외되나요?
결제위탁 구조와 사이트가 결제환경에 미치는 영향에 따라 적용이 달라집니다. 실제 데이터 흐름과 책임을 확인해야 합니다.