PCI DSS

어떤 정보 흐름을 살펴보나요?

카드정보를 저장·처리·전송하는 시스템, 그리고 그 보안에 영향을 줄 수 있는 시스템을 살펴봐요. PG를 이용하더라도 가맹점의 카드정보 처리 방식에 따라 적용 범위와 검증 범위가 달라져요.

연동 방식에 따른 보안 범위

카드정보를 PG 결제창에 입력하는 방식이 있고 가맹점 서버가 카드번호를 받아 PG로 전달하는 방식이 있어요. 두 방식은 카드정보 처리 경로가 달라요. 각 방식에 필요한 보안 요구사항과 검증 절차를 확인해야 해요.

PG 인증서가 있으면 끝인가요?

PG가 PCI DSS를 준수해도 가맹점의 책임이 모두 사라지지는 않아요. 표준은 PCI SSC가 관리하지만 준수 의무와 검증 절차는 카드 브랜드·매입사 등 준수 프로그램을 운영하는 주체가 정해요. 계약한 PG와 내 서비스에 필요한 범위를 확인해요.

개발 전에 정리할 점

카드정보를 입력하는 화면, 정보가 지나는 서버, 로그·백업에 저장되는 정보를 먼저 정리해요. 고객에게 ‘보안 인증’을 안내할 때는 실제 연동 방식과 검증받은 범위에 맞는 문구를 써요.