PCI DSS v4.0.1 중 ISO 27001이 실제로 다루는 범위는 얼마나 될까?

카드 결제를 받으면서 이미 ISO 27001 ISMS를 운영하는 조직은 PCI DSS가 작은 확장 정도일 것이라고 예상하는 경우가 많습니다. 하지만 수치는 그렇지 않음을 보여줍니다. 여기서는 PCI DSS v4.0.1 전체에 대해 ISO 27001이 요구사항별로 어떻게 대응하는지, 그리고 주제상의 겹침이 시사하는 것보다 격차가 왜 더 큰지 살펴봅니다.

핵심 수치

PCI DSS의 요구사항 260개 중 77개(30%)는 ISO 27001의 항목에 대응되고, 76개는 느슨하게만 관련되며, 107개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

PCI DSS 요구사항의 3분의 1 미만만 ISO 27001의 어떤 항목에 매핑되며, 비슷한 비율이 느슨하게 관련될 뿐입니다. 거의 모든 PCI 주제가 부속서 A 어딘가에는 존재하므로, 이것은 주제상의 격차가 아니라 세부 내용의 격차입니다.

겹치는 영역

PCI DSS 섹션	매핑됨	느슨하게 관련됨	매핑 없음
Requirement 1: Install and maintain network security controls	4 / 19	3	12
Requirement 2: Apply secure configurations to all system components	2 / 11	3	6
Requirement 3: Protect stored account data	8 / 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 / 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 / 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 / 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 / 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 / 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 / 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 / 27	10	11
Requirement 11: Test security of systems and networks regularly	3 / 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 / 37	10	6
Appendix A: additional requirements	0 / 10	0	10

ISO 27001 보유, PCI DSS 필요. 요구사항별: 격차 보고서 열기 →

겹침은 일반적인 보안 표준처럼 읽히는 PCI DSS 부분에 집중됩니다. 즉, 각 요구사항 시작부의 정책과 역할, 요구사항 12의 위험 및 거버넌스, 요구사항 7의 접근 통제 원칙, 그리고 사고 대응입니다. ISO 27001의 관리 체계와 부속서 A가 이 영역들을 잘 다룹니다.

PCI DSS 대부분이 신규 작업인 이유

PCI DSS는 ISO 27001이 위험 기반인 곳에서 규범적입니다. 부속서 A는 “기술적 취약점 관리”를 요구하지만, PCI DSS는 방법, 빈도, 그리고 어떤 스캐너를 사용할지까지 정합니다. 매핑이 없는 행은 대부분 다음과 같은 요구사항이 차지합니다:

• 계정 데이터 처리 (요구사항 3): 승인 후 절대 저장할 수 없는 항목, 표시 시 PAN 마스킹, 저장되는 모든 위치에서 판독 불가능하게 처리하는 방식, 그리고 상세한 키 관리 절차.
• 구체적 주기: 3개월마다 그리고 중요한 변경 후 실시하는 내부 취약점 스캔, 승인 스캐닝 공급업체(ASV)에 의한 외부 스캔, 로그 검토, 6개월마다 실시하는 접근 검토.
• 구체적 기술 설정: 카드 소유자 데이터 환경(CDE)으로의 모든 접근에 대한 MFA, 세션 시간 초과, 비밀번호 길이 및 잠금 임계값.
• 결제 전용 통제: 결제 페이지 스크립트 관리 및 변조 탐지, 카드 판독 장치의 변조 점검.
• 표적 위험 분석: v4.0에서 일부 활동의 빈도를 설정하는 위험 분석이 도입되었으며, 이는 문서화되어야 합니다.

ISO 27001에서는 이 모든 것을 위험 처리를 통해 선택할 수 있습니다. PCI DSS는 이를 대신 결정합니다.

ISMS가 여전히 제공하는 가치

매핑되는 3분의 1이 사소하지는 않습니다. 카드 소유자 데이터 환경을 적용 범위에 포함한 ISMS는 PCI 준수가 매년 의존하는 정책 체계, 위험 평가, 역할, 공급업체 관리, 사고 대응, 내부 감사를 제공합니다. 요구사항 12는 ISO의 조항 4~10을 요약한 것처럼 읽히며, ISMS를 갖춘 조직은 대개 PCI DSS의 거버넌스 측면을 수월하게 이해합니다.

계획 수립 방법

1. 카드 소유자 데이터 환경을 ISMS 적용 범위에 포함하고, PCI DSS를 법적 및 계약상 요구사항에 추가하십시오 (A.5.31).
2. ISO 27001 → PCI DSS 격차 보고서를 실행하고, 매핑되지 않은 모든 요구사항을 찾아야 할 매핑이 아니라 설계해야 할 통제로 취급하십시오.
3. 통제를 구축하기 전에 적용 범위를 축소하십시오. 네트워크 세그먼테이션, 토큰화, 외부 위탁 결제 페이지를 활용하면 PCI DSS의 상당 부분을 적용 범위에서 제외할 수 있습니다.
4. PCI의 빈도를 ISMS 통제에 사용하여 하나의 통제로 두 기준을 모두 충족하십시오. ISO는 합리적으로 설명된 모든 빈도로 충족되므로 PCI의 빈도를 선택하십시오.

ISO 27001 대 PCI DSS 비교에서는 양방향의 모든 요구사항을 나열합니다. PCI DSS 원문은 PCI SSC의 저작권이므로, 이 사이트의 요구사항 제목은 자체적으로 작성한 짧은 요약입니다.

질문

ISO 27001 인증으로 PCI DSS를 충족할 수 있나요?

아니요. 카드 브랜드는 ISO 인증과 관계없이 PCI DSS 검증(준수 보고서(ROC) 또는 자가 평가 설문지(SAQ))을 요구합니다. ISMS는 프로그램 운영에 도움이 되지만, 대부분의 PCI 요구사항은 부속서 A보다 더 구체적입니다.

ISO 27001은 PCI DSS의 어떤 요구사항을 가장 잘 다루나요?

거버넌스 및 정책(요구사항 12), 접근 통제 원칙(7), 사고 대응이 잘 매핑됩니다. 격차는 특정 기술 설정, 빈도, 계정 데이터 처리에 집중되어 있습니다.