비교

ISO 27001 vs PCI DSS: 관리체계와 규정형 카드 데이터 규칙 비교

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · 데이터 2026-10-27

Paul Gillet 기준 · 2026-10-17 업데이트

PCI DSS v4.0.1은 카드 소유자 데이터를 저장, 처리 또는 전송하는 모든 조직에 결제 카드 브랜드가 계약으로 요구하는 기준입니다. 규정형 기준으로, 시험 절차가 포함된 약 250개의 정의된 요구사항으로 구성되며, 조직의 등급에 따라 공인보안평가기관(QSA)의 검증 또는 자가평가 설문지(SAQ)로 검증합니다. ISO/IEC 27001은 위험 기반 기준으로, 조직이 정의한 범위에 대해 통제를 직접 선택하고 그 근거를 제시합니다.

ISO 27001 ISMS를 갖추고 있으면 PCI 작업의 탄탄한 기반이 됩니다. 거버넌스, 위험 평가, 정책, 접근 통제, 로깅, 사고 관리는 모두 그대로 활용할 수 있으며, ISO의 위험 관리 절차는 PCI DSS v4의 표적 위험 분석에도 도움이 됩니다.

ISO에서 PCI DSS로 넘어갈 때는 대응되지 않거나 느슨하게 관련된 요구사항이 많을 것으로 예상해야 합니다. ISO가 부족해서가 아니라, PCI가 무엇을 언제 얼마나 자주 해야 하는지 정확히 명시하기 때문입니다. 카드 소유자 데이터 환경(CDE)에 대한 네트워크 보안 통제 규칙, 저장된 계정 데이터와 PAN 보호, 특정 인증 및 MFA 요구사항, 분기별 스캔과 연간 침투 테스트, 파일 무결성 모니터링, 결제 페이지 스크립트 통제가 여기에 해당합니다. 또한 데이터상의 한계도 일부 작용합니다. NIST의 PCI 대응표는 표준의 일부만 다루므로, 일부 PCI 요구사항은 공개된 연결 대상이 없습니다.

PCI DSS에서 ISO로 넘어갈 때는 부속서 A의 커버리지가 양호하며, 공백은 관리체계 영역에 있습니다. 즉 ISMS 범위, 목표, 문서화된 정보, 내부 감사, 경영검토가 여기에 해당합니다.

한눈에 보기

	ISO 27001	PCI DSS
보호 대상	ISMS 범위 내의 모든 정보	결제 계정 데이터 및 이를 둘러싼 시스템
규정성 정도	위험 기반: 통제를 직접 선택	규정형: 구체적인 요구사항, 다수에 정해진 주기 존재
요구 주체	고객 및 입찰	카드 브랜드(수탁 계약사를 통한 계약)
평가	인증기관	QSA 준수 보고서(ROC) 또는 자가평가 설문지(SAQ)
주기	연간 사후심사, 3년마다 재인증	연간, 분기별 외부 스캔 포함

PCI DSS에 ISO 27001 활용하기

ISMS 범위에 카드 소유자 데이터 환경(CDE)이 포함되어 있으면 PCI DSS의 정책, 위험, 거버넌스 업무 상당 부분을 충족하며, 많은 기술 영역도 서로 맞물립니다. 새로 필요한 작업은 대개 PCI의 구체적인 설정과 주기입니다. 예를 들어 승인된 스캔 공급업체(ASV)의 분기별 외부 스캔, 카드 소유자 데이터 환경 접근 전반에 대한 MFA, 결제 페이지 스크립트 통제, 로그 검토 주기, 키 관리 세부사항 등이 해당합니다. 아래의 "매핑 없음" 목록이 확인할 곳입니다.

누가 무엇이 필요한가

PCI DSS는 결제 카드 데이터를 저장, 처리 또는 전송하거나 그 보안에 영향을 줄 수 있는 모든 조직에 적용되며, 카드 브랜드가 수탁 계약을 통해 이를 요구하기 때문입니다. 검증 방식은 등급에 따라 달라집니다. 가장 큰 가맹점과 서비스 제공업체는 공인보안평가기관(QSA)이 작성하는 연간 준수 보고서(ROC)가 필요하며, 대부분의 다른 조직은 자가평가 설문지(SAQ)를 작성합니다. ISO 27001은 자발적 인증이며 범위가 더 넓습니다. 카드 데이터만이 아니라 조직의 정보 보안 전반을 다루며, 고객이 인식하는 인증서로 마무리됩니다.

통제를 구축하기 전에 PCI 범위 축소하기

가장 저렴한 PCI DSS 요구사항은 자사에 적용되지 않는 요구사항입니다. ISO 통제를 PCI에 매핑하기 전에 카드 소유자 데이터 환경을 줄이십시오.

결제 페이지 외주화. PCI 준수 결제 서비스 제공업체의 페이지로 리디렉션하거나 이를 삽입하는 전자상거래 사이트는 카드 데이터를 자사 서버에서 배제할 수 있으며, 가장 짧은 설문지인 SAQ A에 해당할 수 있습니다.
토큰화. 저장된 카드 번호를 결제 서비스 제공업체의 토큰으로 대체하여 주계좌번호(PAN)를 직접 보관하지 않도록 하십시오.
망 분리. 카드 데이터를 반드시 처리해야 하는 시스템을 나머지와 분리하고, 망 분리 상태를 시험하십시오.

범위에서 제외되는 시스템 하나마다 수십 개의 요구사항이 한꺼번에 줄어듭니다.

비용과 노력

ISO 인증을 받은 조직의 경우 PCI DSS 비용은 거의 전적으로 범위에 따라 결정됩니다. 결제 페이지를 전부 외주화하면 짧은 설문지와 소수의 통제로 작업이 끝날 수 있습니다. 카드 데이터를 자사 시스템에 보관하고 있다면 요구사항 3(저장 데이터), 8(인증), 10(로깅), 11(시험)에서 상당한 작업이 필요하며, ASV의 분기별 외부 스캔과 상위 등급에서는 QSA 평가도 필요합니다. 거버넌스 작업은 비교적 가볍습니다. ISMS가 요구사항 12의 대부분을 이미 다루고 있기 때문입니다.

일정

범위 축소를 먼저 계획하십시오. 일정이 완전히 달라질 수 있습니다. 평가 대상 환경이 있는 경우 ISO 인증 조직은 최초 평가 전에 PCI 특화 기술 격차를 해소하는 데 보통 3~9개월이 필요하며, 분기별 스캔은 평가일 이전에 이미 가동 중이어야 합니다. PCI의 고정 주기(분기별 스캔, 6개월마다 검토, 연간 시험)를 ISMS 일정에 맞춰 넣어, 내부 감사가 다른 모든 항목과 함께 점검할 수 있도록 하십시오.

사례: 온라인 소매업체

중견 온라인 소매업체가 전자상거래 플랫폼에 대해 ISO 27001 인증을 받았으며, 자체 서버에서 카드 결제를 처리합니다. 수탁 계약사(acquirer)가 PCI DSS 검증을 요구합니다. 격차 분석 결과 거버넌스, 사고 대응, 공급업체 관리 영역은 중복이 크지만, 요구사항 3(저장 계정 데이터), 6.4(결제 페이지 보안), 11(ASV 스캔 및 침투 테스트)에서 큰 격차가 확인되었습니다.

이 업체는 먼저 결제 서비스 제공업체의 삽입형 결제 페이지를 사용하도록 결제 구조를 재설계하고, 저장된 카드 정보를 토큰화했습니다. 이에 따라 자사 시스템은 더 이상 카드 번호를 다루지 않게 되었고, 격차의 대부분이 사라졌으며, 짧은 자가평가 설문지로 검증할 수 있게 되었습니다. 남은 부분은 기존 ISO 통제가 다루며, PCI의 주기는 기존 절차에 반영했습니다.

흔한 실수

범위 설정 전 매핑. 토큰화나 결제 페이지 외주화로 제거할 수 있었던 카드 소유자 데이터 환경을 위해 통제를 구축하는 것.
ISO 주기 적용. 연간 접근 검토는 ISO 요구를 충족하지만, PCI DSS는 6개월마다 수행을 요구합니다. PCI의 주기에 맞춰 설계하십시오.
ASV를 잊는 것. 외부 스캔은 승인된 스캔 공급업체(ASV)가 분기별로 수행해야 하며, 결과가 합격이어야 합니다.
ISO 인증서를 PCI 증빙으로 간주하는 것. 평가자는 요구사항마다 PCI 특화 증빙을 필요로 합니다.
결제 페이지를 간과하는 것. 결제 페이지의 스크립트 관리와 변조 탐지는 v4.0.1에서 가장 흔히 누락되는 요구사항에 속합니다.

핵심 요점

PCI에서는 범위가 전부입니다. 카드 소유자 데이터 환경을 분리하면 작업량이 크게 줄어들 수 있습니다.
ISO → PCI: ISO 통제를 각 PCI 요구사항에 명시적으로 매핑하고, 주기와 기술적 세부사항을 추가할 것을 예상하십시오.
PCI DSS v4.0의 향후 적용 요구사항은 2025년 3월 31일부터 의무화되었습니다. 평가 기준이 v4.0.1인지 확인하십시오.

이 비교 결과 다운로드(CSV) 갭 분석에서 열기 →

ISO 27001 보유 → PCI DSS 필요

요구사항 260건

매핑 77건 · · 매핑 없음 107건 갭 뷰에서 열기 →

PCI DSS v4.0.1 요구사항 260개 중 77개는 ISO 27001의 항목에 매핑되고, 76개는 느슨하게만 관련되며, 107개는 보유 데이터에 매핑이 없습니다.

신규 작업이 필요할 가능성: ISO 27001에 매핑되지 않은 PCI DSS 요구사항 (107)

PCI DSS	요구사항	일치	ISO 27001	증거
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.2.5	Allowed services, protocols and ports approved	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.2.6	Security features defined for insecure services	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.2.7	Network security control rules reviewed every six months	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.2.8	Network security control configuration files secured	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.3.2	Outbound traffic from the CDE restricted	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.3.3	Network controls between wireless networks and the CDE	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.4.2	Inbound traffic from untrusted networks restricted	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.4.3	Anti-spoofing measures in place	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.4.4	Stored cardholder data not reachable from untrusted networks	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.4.5	Internal IP addresses and routing not disclosed	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
2.2.4	Only necessary services and functions enabled	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
2.2.5	Insecure services justified and secured	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
2.2.6	System security parameters set to prevent misuse	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
2.2.7	Non-console administrative access encrypted	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
2.3.2	Wireless keys changed when key holders leave	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.3.1.2	Card verification code not kept after authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.3.1.3	PIN and PIN block not kept after authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.3.2	Sensitive authentication data encrypted before authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.3.3	Issuer storage of sensitive authentication data limited and protected	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.5.1.2	Disk-level encryption used only where it suffices	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.2	Key management: secure key distribution	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.3	Key management: secure key storage	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.5	Key management: retiring weakened or compromised keys	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.6	Key management: split knowledge and dual control	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.7	Key management: preventing unauthorised key substitution	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.8	Key custodians formally acknowledge their responsibilities	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
3.7.9	Service providers give customers key-handling guidance	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
4.2.2	PAN secured when sent by end-user messaging	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
5.3.3	Removable media scanned or analysed	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
5.3.4	Anti-malware audit logs enabled and retained	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
5.3.5	Users cannot disable or alter anti-malware	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
6.5.2	PCI DSS requirements re-confirmed after significant changes	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
6.5.3	Pre-production environments separated from production	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
6.5.4	Duties separated between production and pre-production	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
6.5.5	Live PANs not used in pre-production	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
6.5.6	Test data and accounts removed before go-live	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
7.2.5	System and application accounts least privilege	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
7.2.6	Access to cardholder data repositories restricted	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
7.3.1	Access control system restricts access by need	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
7.3.2	Access control system enforces assigned permissions	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
7.3.3	Access control system set to deny by default	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.2.4	User ID changes authorised and controlled	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.2.7	Third-party remote access accounts enabled only when needed	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.3.2	Authentication factors unreadable in transit and storage	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.3.3	Identity verified before changing authentication factors	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.3.4	Account lockout after repeated failed attempts	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.3.11	Tokens, smart cards and certificates assigned to individuals	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
8.6.1	Interactive use of system accounts managed	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.3.3	Visitor badges returned or deactivated	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.3.4	Visitor log maintained and retained	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.4.1	Media with cardholder data physically secured	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.4.3	Media sent off site tracked and secured	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.4.4	Management approves media moved off site	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.4.5	Inventory logs of electronic media kept	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.4.5.1	Electronic media inventories at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.5.1	Card-reading (POI) devices protected from tampering	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
9.5.1.3	Staff trained to spot POI tampering	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.2.1.2	Logs capture administrative actions	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.2.1.3	Logs capture access to audit logs	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.2.1.4	Logs capture invalid access attempts	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.2.1.5	Logs capture credential and privilege changes	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.2.1.6	Logs capture starting, stopping or pausing logging	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.2.1.7	Logs capture system-level object changes	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.4.2	Other logs reviewed periodically	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.4.3	Exceptions and anomalies addressed	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.6.2	Time configuration correct and consistent	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
10.7.3	Security control failures responded to promptly	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.3.1.2	Internal scans use authenticated scanning	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.3.1.3	Internal scans after significant changes	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.3.2.1	External scans after significant changes	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.4.1	Penetration testing methodology defined	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.4.2	Internal penetration test at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.4.3	External penetration test at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.4.5	Segmentation controls tested at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.4.6	Service providers test segmentation every six months	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.4.7	Multi-tenant providers support customer penetration tests	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.5.1.1	Service providers detect covert malware communication	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
11.5.2	Change-detection on critical files	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
12.5.2.1	Service providers confirm scope every six months	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
12.6.2	Awareness programme reviewed annually	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
12.6.3.1	Training covers phishing and social engineering	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
12.6.3.2	Training covers acceptable use of technology	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A1.1.2	Multi-tenant providers: customers confined to their own environment	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A1.1.3	Multi-tenant providers: customers reach only their own data	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A1.1.4	Multi-tenant providers: separation tested every six months	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A1.2.1	Multi-tenant providers: audit logging for each customer	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A1.2.2	Multi-tenant providers: support customer forensic investigations	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A2.1.1	POI terminals using SSL or early TLS not exploitable	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A2.1.2	Service providers: migration plan off SSL and early TLS	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.
A2.1.3	Service providers offer a secure connection option	보유 데이터에 매핑 없음	—	보유 데이터에 ISO 27001에 대한 매핑이 없습니다.

확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (76)

PCI DSS	요구사항	일치	ISO 27001	증거
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
1.1.2	Roles for network security controls assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
1.2.4	Accurate account-data flow diagram maintained	느슨하게 관련됨	A.5.19 A.5.20 A.5.22+5	CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
2.1.2	Roles for secure configuration assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
2.3.1	Wireless vendor defaults changed	느슨하게 관련됨	A.5.15 A.5.3 A.5.10+5	CSF PR.AA-03, PR.DS-02만 공유: 관련은 있으나 매핑은 아님
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
3.1.2	Roles for protecting stored account data assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
3.5.1.3	Disk encryption access managed separately from OS access	느슨하게 관련됨	A.5.15 A.5.1 A.5.3+5	CSF PR.AA-03, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
3.6.1.1	Service providers document their cryptographic architecture	느슨하게 관련됨	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04만 공유: 관련은 있으나 매핑은 아님
3.6.1.2	Secret and private keys stored in approved forms	느슨하게 관련됨	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04만 공유: 관련은 있으나 매핑은 아님
3.6.1.3	Cleartext key components accessible to fewest custodians	느슨하게 관련됨	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04만 공유: 관련은 있으나 매핑은 아님
3.6.1.4	Keys stored in the fewest possible locations	느슨하게 관련됨	A.5.15 A.5.16 A.8.2+5	CSF PR.AA-01, PR.DS-01, PR.AA-04만 공유: 관련은 있으나 매핑은 아님
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
4.1.2	Roles for protecting data in transit assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
5.1.2	Roles for malware protection assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
5.2.3	Systems without anti-malware periodically re-evaluated	느슨하게 관련됨	A.8.20 A.8.21 A.8.22+1	CSF PR.IR-01만 공유: 관련은 있으나 매핑은 아님
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	느슨하게 관련됨	A.5.1 A.8.20 A.8.21+4	CSF GV.RM-03, GV.RM-06, PR.IR-01만 공유: 관련은 있으나 매핑은 아님
5.3.2.1	Scan frequency set by targeted risk analysis	느슨하게 관련됨	A.5.1 Clause 6.1.2 Clause 6.1.3	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
6.1.2	Roles for secure systems and software assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
6.2.3.1	Manual code reviews approved by someone else	느슨하게 관련됨	A.5.8 A.5.9 A.5.11+5	CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.3 A.5.14+5	CSF GV.PO-02, PR.AA-05만 공유: 관련은 있으나 매핑은 아님
7.1.2	Roles for access restriction assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
7.2.5.1	System and application account access periodically reviewed	느슨하게 관련됨	A.5.1 A.5.3 A.5.14+5	CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05만 공유: 관련은 있으나 매핑은 아님
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	느슨하게 관련됨	A.5.1 A.5.3 A.5.14+5	CSF GV.PO-02, PR.AA-05만 공유: 관련은 있으나 매핑은 아님
8.1.2	Roles for identification and authentication assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
8.2.2	Shared or generic accounts only by documented exception	느슨하게 관련됨	A.7.4 A.8.2 A.8.3+3	CSF DE.CM-03, PR.AA-02만 공유: 관련은 있으나 매핑은 아님
8.2.5	Access revoked immediately on termination	느슨하게 관련됨	A.5.19 A.5.20 A.5.21+5	CSF GV.SC-10만 공유: 관련은 있으나 매핑은 아님
8.2.6	Inactive user accounts disabled within 90 days	느슨하게 관련됨	A.5.1 A.5.3 A.5.14+5	CSF PR.AA-05만 공유: 관련은 있으나 매핑은 아님
8.2.8	Re-authentication after 15 minutes idle	느슨하게 관련됨	A.5.15 A.5.3 A.5.10+5	CSF PR.AA-03, PR.DS-10만 공유: 관련은 있으나 매핑은 아님
8.3.5	First-use and reset passwords unique and changed	느슨하게 관련됨	A.8.2 A.8.3 A.8.5	CSF PR.AA-02만 공유: 관련은 있으나 매핑은 아님
8.3.6	Minimum password length and complexity	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.7	Recent passwords cannot be reused	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.8	Authentication guidance communicated to users	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.9	Password-only access: change every 90 days or analyse risk	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.10	Service providers give customers password guidance	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.10.1	Service provider customer passwords: rotation or analysis	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+2	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.6.2	No hard-coded passwords for system accounts	느슨하게 관련됨	A.5.15 A.5.16 A.5.18+2	CSF PR.AA-01만 공유: 관련은 있으나 매핑은 아님
8.6.3	System account passwords protected and changed	느슨하게 관련됨	A.5.1 Clause 6.1.3 A.5.15+5	CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01만 공유: 관련은 있으나 매핑은 아님
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+5	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
9.1.2	Roles for physical security assigned	느슨하게 관련됨	A.5.2 A.5.3 A.7.5+5	CSF GV.RR-02, PR.IR-02만 공유: 관련은 있으나 매핑은 아님
9.2.4	Consoles in sensitive areas locked when unattended	느슨하게 관련됨	A.5.15 A.5.16 A.5.17+5	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
9.4.1.2	Security of offline backup location reviewed annually	느슨하게 관련됨	A.8.13 A.7.4	CSF PR.DS-11, RC.RP-03, DE.CM-02만 공유: 관련은 있으나 매핑은 아님
9.4.6	Hard-copy media destroyed when no longer needed	느슨하게 관련됨	A.5.20 Clause 4.2 A.5.1+5	CSF GV.OC-03, GV.SC-10, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
9.4.7	Electronic media destroyed or made unrecoverable	느슨하게 관련됨	A.5.20 A.8.13 Clause 4.2+5	CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11만 공유: 관련은 있으나 매핑은 아님
9.5.1.1	Inventory of POI devices kept	느슨하게 관련됨	A.5.9 A.5.19 A.5.20+5	CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09만 공유: 관련은 있으나 매핑은 아님
9.5.1.2	POI devices inspected for tampering	느슨하게 관련됨	A.7.4 A.5.9 A.5.19+5	CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09만 공유: 관련은 있으나 매핑은 아님
9.5.1.2.1	Inspection frequency set by targeted risk analysis	느슨하게 관련됨	A.5.1 Clause 6.1.2 Clause 6.1.3+5	CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07만 공유: 관련은 있으나 매핑은 아님
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
10.1.2	Roles for logging and monitoring assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
10.2.2	Log entries record who, what, when, where and outcome	느슨하게 관련됨	A.5.25 A.5.27 A.5.28	CSF RS.AN-03, RS.AN-07만 공유: 관련은 있으나 매핑은 아님
10.3.1	Read access to logs limited to need	느슨하게 관련됨	A.5.26 A.5.28 A.8.15+1	CSF DE.AE-06, RS.AN-06, PR.PS-04만 공유: 관련은 있으나 매핑은 아님
10.3.3	Logs promptly backed up to a central server	느슨하게 관련됨	A.5.28 A.8.15 A.5.24+4	CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…만 공유: 관련은 있으나 매핑은 아님
10.3.4	File-integrity monitoring on logs	느슨하게 관련됨	A.5.24 A.5.25 A.5.28+5	CSF DE.AE-02, RS.AN-06만 공유: 관련은 있으나 매핑은 아님
10.4.2.1	Review frequency set by targeted risk analysis	느슨하게 관련됨	A.5.1 Clause 6.1.3 A.5.9+5	CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05만 공유: 관련은 있으나 매핑은 아님
10.6.3	Time settings protected from change	느슨하게 관련됨	A.8.15 A.8.17	CSF PR.PS-04만 공유: 관련은 있으나 매핑은 아님
10.7.1	Service providers detect security control failures	느슨하게 관련됨	A.5.1 A.5.19 Clause 9.1+5	CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03만 공유: 관련은 있으나 매핑은 아님
10.7.2	Critical security control failures detected and reported	느슨하게 관련됨	A.5.1 A.5.19 Clause 9.1+5	CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…만 공유: 관련은 있으나 매핑은 아님
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	느슨하게 관련됨	A.5.1 A.5.31 A.5.32+2	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
11.1.2	Roles for security testing assigned	느슨하게 관련됨	A.5.2 A.5.3 Clause 7.2	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
11.2.1	Wireless access points detected and unauthorised ones handled	느슨하게 관련됨	A.8.15 A.8.16 A.8.20+3	CSF DE.CM-01, PR.IR-01만 공유: 관련은 있으나 매핑은 아님
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	느슨하게 관련됨	A.5.1 Clause 6.1.2 Clause 6.1.3+2	CSF GV.RM-03, GV.RM-06, ID.RA-05만 공유: 관련은 있으나 매핑은 아님
11.4.4	Penetration test findings corrected and retested	느슨하게 관련됨	A.5.19 A.5.1 A.5.35+5	CSF GV.OV-02, GV.OV-03, ID.IM-02만 공유: 관련은 있으나 매핑은 아님
11.6.1	Payment page changes and tampering detected	느슨하게 관련됨	A.5.19 A.5.1 A.5.20+5	CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…만 공유: 관련은 있으나 매핑은 아님
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	느슨하게 관련됨	A.5.1 A.8.32 Clause 6.1.2+1	CSF GV.RM-06, ID.RA-07만 공유: 관련은 있으나 매핑은 아님
12.3.3	Cipher suites and protocols reviewed annually	느슨하게 관련됨	A.5.1 A.5.3 A.5.10+5	CSF GV.RM-03, GV.RM-06, PR.DS-02만 공유: 관련은 있으나 매핑은 아님
12.3.4	Hardware and software technologies reviewed annually	느슨하게 관련됨	A.5.19 A.5.1 A.5.20+5	CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…만 공유: 관련은 있으나 매핑은 아님
12.4.2.1	Service providers: quarterly review results documented	느슨하게 관련됨	A.5.1 A.5.19 A.5.35+5	CSF GV.OV-01, GV.OV-02, ID.IM-01만 공유: 관련은 있으나 매핑은 아님
12.5.3	Service providers review scope after organisational change	느슨하게 관련됨	A.5.1 A.5.19 Clause 6.1.3+5	CSF GV.OV-02, GV.RM-03, GV.RM-05만 공유: 관련은 있으나 매핑은 아님
12.9.1	Service providers acknowledge responsibilities to customers	느슨하게 관련됨	A.5.19 A.5.20 A.5.31+5	CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님
12.9.2	Service providers support customer compliance requests	느슨하게 관련됨	A.5.19 A.5.20 A.5.31+5	CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님
12.10.4.1	Training frequency set by targeted risk analysis	느슨하게 관련됨	A.5.1 A.5.2 A.6.3+3	CSF GV.RM-03, GV.RM-06, PR.AT-02만 공유: 관련은 있으나 매핑은 아님
12.10.5	Plan covers alerts from security monitoring	느슨하게 관련됨	A.5.26	CSF GV.SC-08만 공유: 관련은 있으나 매핑은 아님
12.10.7	Procedures for PAN found where it shouldn't be	느슨하게 관련됨	A.5.9	CSF ID.AM-07만 공유: 관련은 있으나 매핑은 아님

매핑됨 (77)

PCI DSS	요구사항	일치	ISO 27001	증거
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	편집 콘텐츠	A.8.20 A.8.21 A.8.22	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
1.2.3	Accurate network diagram maintained	대응표	A.8.20 A.8.21 A.8.22	같은 주제: 방화벽 / 네트워크 분리
1.3.1	Inbound traffic to the CDE restricted	편집 콘텐츠	A.8.20 A.8.21 A.8.22	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
1.4.1	Network controls between trusted and untrusted networks	편집 콘텐츠	A.8.20 A.8.21 A.8.22	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	대응표	A.8.9	같은 주제: 보안 구성
2.2.2	Vendor default accounts managed or removed	대응표	A.8.9	같은 주제: 보안 구성
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	대응표	A.5.14 A.8.10 A.8.11	같은 주제: 데이터 보호
3.3.1	Sensitive authentication data not kept after authorisation	대응표	A.5.14 A.8.10 A.8.11	같은 주제: 데이터 보호
3.4.1	PAN masked when displayed	대응표	A.5.14 A.8.10 A.8.11	같은 주제: 데이터 보호
3.4.2	PAN copying prevented over remote-access technologies	편집 콘텐츠	A.8.12	같은 주제: DLP (편집부 추천)
3.5.1	PAN rendered unreadable wherever stored	대응표	A.8.24	같은 주제: 암호화
3.6.1	Procedures protect keys that secure stored account data	대응표	A.8.24	같은 주제: 암호화
3.7.1	Key management: strong key generation	편집 콘텐츠	A.8.24	같은 주제: 암호화 (편집부 추천)
3.7.4	Key management: key changes at end of cryptoperiod	편집 콘텐츠	A.8.24	같은 주제: 암호화 (편집부 추천)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	대응표	A.8.24	같은 주제: 암호화
4.2.1.1	Inventory of trusted keys and certificates kept	편집 콘텐츠	A.8.24	같은 주제: 암호화 (편집부 추천)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	대응표	A.8.19 A.8.1 A.8.7	같은 주제: 엔드포인트 보호
5.2.2	Anti-malware detects, removes or contains known malware	대응표	A.8.19 A.8.1 A.8.7	같은 주제: 엔드포인트 보호
5.3.2	Periodic scans or continuous behavioural analysis	대응표	A.8.19 A.8.1 A.8.7	같은 주제: 엔드포인트 보호
5.4.1	Mechanisms to detect and protect against phishing	편집 콘텐츠	A.5.14	같은 주제: 이메일 보안 (편집부 추천)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	편집 콘텐츠	A.8.25 A.8.26 A.8.28+1	같은 주제: 보안 개발 (편집부 추천)
6.2.2	Developers trained in secure software development	대응표	A.8.25 A.8.26 A.8.28+1	같은 주제: 보안 개발
6.2.3	Custom code reviewed before release	대응표	A.8.5 A.8.25 A.8.26+2	같은 주제: API 보안, 보안 개발
6.2.4	Coding techniques prevent common software attacks	편집 콘텐츠	A.8.5 A.8.26	같은 주제: API 보안 (편집부 추천)
6.3.1	Vulnerabilities identified and risk-ranked	대응표	A.5.7 A.8.8	같은 주제: 위협 인텔리전스, 취약점 관리, 패치 관리
6.3.2	Inventory of custom software and its components	대응표	A.5.9 A.5.11 A.5.19+2	같은 주제: 자산 관리, 공급망 위험
6.3.3	Security patches installed promptly	대응표	A.8.8	같은 주제: 패치 관리
6.4.1	Public web applications protected against attacks	편집 콘텐츠	A.8.26	같은 주제: 웹 보안 (편집부 추천)
6.4.2	Automated solution blocks attacks on public web apps	편집 콘텐츠	A.8.20	같은 주제: WAF (편집부 추천)
6.4.3	Payment page scripts authorised and integrity-checked	편집 콘텐츠	A.8.26	같은 주제: 웹 보안 (편집부 추천)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	대응표	A.5.15 A.5.16 A.5.18+3	같은 주제: 접근 통제, 제로 트러스트
7.2.2	Access assigned by job function and least privilege	대응표	A.5.15 A.5.16 A.5.18+3	같은 주제: 접근 통제
7.2.4	User accounts and privileges reviewed every six months	대응표	A.5.15 A.5.16 A.5.18+1	같은 주제: 접근 통제
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	대응표	A.5.15 A.5.16 A.5.18+1	같은 주제: 접근 통제
8.3.1	User and admin access requires an authentication factor	대응표	A.5.15 A.8.5 A.8.22	같은 주제: 제로 트러스트
8.4.1	MFA for non-console administrative access to the CDE	편집 콘텐츠	A.8.5	같은 주제: 다단계 인증 (편집부 추천)
8.4.2	MFA for all access into the CDE	편집 콘텐츠	A.8.5	같은 주제: 다단계 인증 (편집부 추천)
8.4.3	MFA for remote network access	편집 콘텐츠	A.8.5	같은 주제: 다단계 인증 (편집부 추천)
8.5.1	MFA systems configured to resist misuse	편집 콘텐츠	A.8.5	같은 주제: 다단계 인증 (편집부 추천)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	편집 콘텐츠	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안 (편집부 추천)
9.2.1.1	Access to sensitive areas monitored by camera or access control	편집 콘텐츠	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안 (편집부 추천)
9.2.3	Physical access to network hardware restricted	대응표	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안
9.3.1	Personnel physical access authorised and managed	편집 콘텐츠	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안 (편집부 추천)
9.3.1.1	Sensitive-area access authorised and revoked promptly	대응표	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안
9.3.2	Visitor access authorised, escorted and identifiable	편집 콘텐츠	A.7.1 A.7.2 A.7.3+6	같은 주제: 물리적 보안 (편집부 추천)
9.4.1.1	Offline backup media stored securely	대응표	A.8.13	같은 주제: 백업 및 복구
9.4.2	Media classified by data sensitivity	편집 콘텐츠	A.5.12 A.5.13	같은 주제: 데이터 분류 (편집부 추천)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	대응표	A.6.1 A.6.4 A.8.15+2	같은 주제: 내부자 위협, 로깅 및 감사
10.3.2	Logs protected from modification	대응표	A.5.28 A.8.15 A.8.17	같은 주제: 포렌식, 로깅 및 감사
10.4.1	Security event and critical logs reviewed daily	대응표	A.5.25 A.8.16	같은 주제: SIEM / SOC, 지속적 모니터링
10.4.1.1	Automated mechanisms for log review	편집 콘텐츠	A.8.16	같은 주제: 이상 징후 탐지 (편집부 추천)
10.5.1	Audit logs retained 12 months, three immediately available	편집 콘텐츠	A.8.15 A.8.17	같은 주제: 로깅 및 감사 (편집부 추천)
10.6.1	System clocks synchronised	대응표	A.8.15 A.8.17	같은 주제: 로깅 및 감사
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	대응표	A.8.8	같은 주제: 취약점 관리
11.3.2	External ASV scans every three months	대응표	A.8.8	같은 주제: 취약점 관리
11.5.1	Intrusion detection or prevention on network traffic	편집 콘텐츠	A.8.16	같은 주제: 침입 탐지 (편집부 추천)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	대응표	A.5.1 A.5.37 Clause 5.2	같은 주제: 거버넌스 정책
12.1.2	Security policy reviewed at least annually	대응표	A.5.1 A.5.37 Clause 5.2	같은 주제: 거버넌스 정책
12.1.3	Security roles and responsibilities defined	대응표	A.5.2 A.5.4	같은 주제: 역할 및 책임
12.1.4	Executive responsibility for information security assigned	대응표	A.5.2 A.5.4	같은 주제: 역할 및 책임
12.3.1	Targeted risk analysis for flexible-frequency requirements	대응표	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	같은 주제: 위험 관리, 위험 평가
12.4.2	Service providers: quarterly reviews of operational tasks	대응표	A.5.31 Clause 9.1 A.5.36	같은 주제: 컴플라이언스
12.5.1	Inventory of in-scope system components	대응표	A.5.9 A.5.11 A.7.14	같은 주제: 자산 관리
12.5.2	PCI DSS scope confirmed annually and on change	대응표	Clause 4.1 Clause 4.2	같은 주제: 사업 환경
12.6.1	Formal security awareness programme	대응표	A.6.3 Clause 7.3	같은 주제: 인식 제고 및 교육
12.6.3	Awareness training on hire and at least annually	대응표	A.6.3 Clause 7.3	같은 주제: 인식 제고 및 교육
12.7.1	Personnel screened before hire	대응표	A.6.1 A.6.4 A.8.16	같은 주제: 내부자 위협
12.8.1	List of third-party service providers kept	대응표	A.5.19 A.5.20 A.5.21+2	같은 주제: 공급망 위험, 벤더 리스크 관리
12.8.2	Written agreements with service providers	대응표	A.5.19 A.5.20 A.5.22	같은 주제: 벤더 리스크 관리
12.8.3	Due diligence before engaging service providers	대응표	A.5.19 A.5.20 A.5.22	같은 주제: 벤더 리스크 관리
12.8.4	Service provider compliance monitored annually	대응표	A.5.19 A.5.20 A.5.22	같은 주제: 벤더 리스크 관리
12.8.5	Responsibilities split with each provider documented	대응표	A.5.19 A.5.20 A.5.22+1	같은 주제: 벤더 리스크 관리
12.10.1	Incident response plan ready to activate	대응표	A.5.5 A.5.24 A.5.25+5	같은 주제: 보고, 사고 대응
12.10.2	Incident response plan reviewed and tested annually	대응표	A.5.24 A.5.25 A.5.26	같은 주제: 사고 대응
12.10.3	Incident response staff available around the clock	대응표	A.5.24 A.5.25 A.5.26	같은 주제: 사고 대응
12.10.4	Incident response staff trained	대응표	A.5.24 A.5.25 A.5.26	같은 주제: 사고 대응
12.10.6	Plan updated from lessons learned and industry changes	대응표	A.5.27 Clause 10.1	같은 주제: 교훈 도출

PCI DSS 보유 → ISO 27001 필요

요구사항 123건

매핑 76건 · · 매핑 없음 10건 갭 뷰에서 열기 →

ISO/IEC 27001:2022 요구사항 123개 중 76개는 PCI DSS의 항목에 매핑되고, 37개는 느슨하게만 관련되며, 10개는 보유 데이터에 매핑이 없습니다.

신규 작업이 필요할 가능성: PCI DSS에 매핑되지 않은 ISO 27001 요구사항 (10)

ISO 27001	요구사항	일치	PCI DSS	증거
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 5.1	Leadership and commitment	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 6.2	Information security objectives and planning to achieve them	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 6.3	Planning of changes	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 7.5.1	General	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 7.5.2	Creating and updating	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 7.5.3	Control of documented information	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 9.2.1	General	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 9.2.2	Internal audit programme	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
Clause 10.2	Nonconformity and corrective action	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.

확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (37)

ISO 27001	요구사항	일치	PCI DSS	증거
A.5 Organizational controls · 9
A.5.3	Segregation of duties	느슨하게 관련됨	7.2.2 12.1.3 1.1.2+5	CSF PR.AA-05, PR.DS-10, GV.RR-02만 공유: 관련은 있으나 매핑은 아님
A.5.6	Contact with special interest groups	느슨하게 관련됨	12.10.6 10.7.1 10.7.2+5	CSF GV.OV-01, RS.CO-03만 공유: 관련은 있으나 매핑은 아님
A.5.8	Information security in project management	느슨하게 관련됨	1.2.3 1.2.4 6.2.1+5	CSF GV.OC-05, ID.AM-08만 공유: 관련은 있으나 매핑은 아님
A.5.10	Acceptable use of information and other associated assets	느슨하게 관련됨	2.3.1 3.2.1 3.3.1+5	CSF PR.DS-02, PR.DS-10, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.5.17	Authentication information	느슨하게 관련됨	2.2.2 2.3.1 3.5.1.3+5	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
A.5.32	Intellectual property rights	느슨하게 관련됨	1.1.1 2.1.1 3.1.1+5	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
A.5.33	Protection of records	느슨하게 관련됨	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.5.34	Privacy and protection of PII	느슨하게 관련됨	1.1.1 2.1.1 3.1.1+5	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
A.5.35	Independent review of information security	느슨하게 관련됨	11.4.4 12.3.4 12.4.2+5	CSF GV.OV-02, ID.IM-02, ID.IM-01만 공유: 관련은 있으나 매핑은 아님
A.6 People controls · 4
A.6.2	Terms and conditions of employment	느슨하게 관련됨	7.2.2 2.3.1 3.2.1+5	CSF GV.RR-04, PR.DS-10, PR.DS-02만 공유: 관련은 있으나 매핑은 아님
A.6.5	Responsibilities after termination or change of employment	느슨하게 관련됨	7.2.2 2.3.1 3.2.1+5	CSF GV.RR-04, PR.DS-10, PR.DS-02만 공유: 관련은 있으나 매핑은 아님
A.6.6	Confidentiality or non-disclosure agreements	느슨하게 관련됨	7.2.2 8.2.5 9.3.1.1+4	CSF GV.RR-04만 공유: 관련은 있으나 매핑은 아님
A.6.7	Remote working	느슨하게 관련됨	7.2.2 12.1.3 8.2.5+5	CSF GV.RR-04, PR.AA-05, GV.PO-01만 공유: 관련은 있으나 매핑은 아님
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	느슨하게 관련됨	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.7.9	Security of assets off-premises	느슨하게 관련됨	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.7.10	Storage media	느슨하게 관련됨	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.7.13	Equipment maintenance	느슨하게 관련됨	6.2.1 6.2.2 6.2.3+5	CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님
A.8 Technological controls · 9
A.8.4	Access to source code	느슨하게 관련됨	7.2.2 2.3.1 3.2.1+5	CSF PR.AA-05, PR.DS-10, PR.DS-02만 공유: 관련은 있으나 매핑은 아님
A.8.6	Capacity management	느슨하게 관련됨	5.2.1 5.2.2 5.3.2+5	CSF DE.CM-09만 공유: 관련은 있으나 매핑은 아님
A.8.23	Web filtering	느슨하게 관련됨	1.2.3 1.2.4 5.2.1+5	CSF PR.IR-01만 공유: 관련은 있으나 매핑은 아님
A.8.27	Secure system architecture and engineering principles	느슨하게 관련됨	12.10.1 12.10.2 12.10.6	CSF PR.IR-03만 공유: 관련은 있으나 매핑은 아님
A.8.30	Outsourced development	느슨하게 관련됨	7.2.5.1 10.7.2 11.3.1+5	CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님
A.8.31	Separation of development, test and production environments	느슨하게 관련됨	6.2.2 6.2.3 6.3.2+5	CSF PR.PS-06만 공유: 관련은 있으나 매핑은 아님
A.8.32	Change management	느슨하게 관련됨	12.3.1 7.2.5.1 8.6.3+5	CSF GV.OV-03, ID.RA-07만 공유: 관련은 있으나 매핑은 아님
A.8.33	Test information	느슨하게 관련됨	3.3.1 3.5.1 3.5.1.3+5	CSF PR.DS-01만 공유: 관련은 있으나 매핑은 아님
A.8.34	Protection of information systems during audit testing	느슨하게 관련됨	7.2.5.1 10.7.2 11.3.1+5	CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	느슨하게 관련됨	12.1.4 12.8.1 12.8.5+2	CSF GV.OC-02만 공유: 관련은 있으나 매핑은 아님
Clause 5.3	Organizational roles, responsibilities and authorities	느슨하게 관련됨	12.1.4 12.8.3 12.8.4+1	CSF GV.SC-02만 공유: 관련은 있으나 매핑은 아님
Clause 7.1	Resources	느슨하게 관련됨	12.1.4 12.10.3	CSF GV.RR-03만 공유: 관련은 있으나 매핑은 아님
Clause 7.2	Competence	느슨하게 관련됨	12.1.3 12.1.4 1.1.2+5	CSF GV.RR-01, GV.RR-02, GV.RR-03만 공유: 관련은 있으나 매핑은 아님
Clause 7.4	Communication	느슨하게 관련됨	12.10.1 12.8.2 12.10.3+3	CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03만 공유: 관련은 있으나 매핑은 아님
Clause 8.1	Operational planning and control	느슨하게 관련됨	1.2.3 1.2.4 6.3.1+5	CSF GV.SC-01, RC.RP-04, GV.SC-03만 공유: 관련은 있으나 매핑은 아님
Clause 8.2	Information security risk assessment	느슨하게 관련됨	12.1.1 12.1.4 12.8.1+3	CSF GV.OC-01, GV.OC-02만 공유: 관련은 있으나 매핑은 아님
Clause 8.3	Information security risk treatment	느슨하게 관련됨	12.1.1 12.1.4 12.8.1+3	CSF GV.OC-01, GV.OC-02만 공유: 관련은 있으나 매핑은 아님
Clause 9.3.1	General	느슨하게 관련됨	2.2.1 2.2.2	CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님
Clause 9.3.2	Management review inputs	느슨하게 관련됨	2.2.1 2.2.2	CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님
Clause 9.3.3	Management review results	느슨하게 관련됨	2.2.1 2.2.2	CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님

매핑됨 (76)

ISO 27001	요구사항	일치	PCI DSS	증거
A.5 Organizational controls · 28
A.5.1	Policies for information security	대응표	12.1.1 12.1.2	같은 주제: 거버넌스 정책
A.5.2	Information security roles and responsibilities	대응표	12.1.3 12.1.4	같은 주제: 역할 및 책임
A.5.4	Management responsibilities	대응표	12.1.3 12.1.4	같은 주제: 역할 및 책임
A.5.5	Contact with authorities	대응표	12.10.1	같은 주제: 보고
A.5.7	Threat intelligence	대응표	6.3.1	같은 주제: 위협 인텔리전스
A.5.9	Inventory of information and other associated assets	대응표	6.3.2 12.5.1	같은 주제: 자산 관리
A.5.11	Return of assets	대응표	6.3.2 12.5.1	같은 주제: 자산 관리
A.5.12	Classification of information	편집 콘텐츠	9.4.2	같은 주제: 데이터 분류 (편집부 추천)
A.5.13	Labelling of information	편집 콘텐츠	9.4.2	같은 주제: 데이터 분류 (편집부 추천)
A.5.14	Information transfer	대응표	3.2.1 3.3.1 3.4.1+1	같은 주제: 데이터 보호
A.5.15	Access control	대응표	7.2.1 7.2.2 7.2.4+2	같은 주제: 접근 통제, 제로 트러스트
A.5.16	Identity management	대응표	7.2.1 7.2.2 7.2.4+1	같은 주제: 접근 통제
A.5.18	Access rights	대응표	7.2.1 7.2.2 7.2.4+1	같은 주제: 접근 통제
A.5.19	Information security in supplier relationships	대응표	6.3.2 12.8.1 12.8.2+3	같은 주제: 공급망 위험, 벤더 리스크 관리
A.5.20	Addressing information security within supplier agreements	대응표	12.8.1 12.8.2 12.8.3+2	같은 주제: 벤더 리스크 관리
A.5.21	Managing information security in the ICT supply chain	대응표	6.3.2 12.8.1	같은 주제: 공급망 위험
A.5.22	Monitoring, review and change management of supplier services	대응표	12.8.1 12.8.2 12.8.3+2	같은 주제: 벤더 리스크 관리
A.5.23	Information security for use of cloud services	대응표	12.8.1 12.8.5	같은 주제: 클라우드 보안
A.5.24	Information security incident management planning and preparation	대응표	12.10.1 12.10.2 12.10.3+1	같은 주제: 사고 대응
A.5.25	Assessment and decision on information security events	대응표	10.4.1 12.10.1 12.10.2+2	같은 주제: SIEM / SOC, 사고 대응
A.5.26	Response to information security incidents	대응표	12.10.1 12.10.2 12.10.3+1	같은 주제: 사고 대응, 완화
A.5.27	Learning from information security incidents	대응표	12.10.6	같은 주제: 교훈 도출
A.5.28	Collection of evidence	대응표	10.3.2	같은 주제: 포렌식
A.5.29	Information security during disruption	대응표	12.10.1	같은 주제: 복구 계획 수립, 비즈니스 연속성
A.5.30	ICT readiness for business continuity	대응표	12.10.1	같은 주제: 복구 계획 수립, 비즈니스 연속성, 재해 복구
A.5.31	Legal, statutory, regulatory and contractual requirements	대응표	12.4.2	같은 주제: 컴플라이언스
A.5.36	Compliance with policies, rules and standards for information security	편집 콘텐츠	12.4.2	같은 주제: 컴플라이언스 (편집부 추천)
A.5.37	Documented operating procedures	대응표	12.1.1 12.1.2	같은 주제: 거버넌스 정책
A.6 People controls · 4
A.6.1	Screening	대응표	10.2.1 12.7.1	같은 주제: 내부자 위협
A.6.3	Information security awareness, education and training	대응표	12.6.1 12.6.3	같은 주제: 인식 제고 및 교육
A.6.4	Disciplinary process	대응표	10.2.1 12.7.1	같은 주제: 내부자 위협
A.6.8	Information security event reporting	대응표	12.10.1	같은 주제: 보고
A.7 Physical controls · 10
A.7.1	Physical security perimeters	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.2	Physical entry	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.3	Securing offices, rooms and facilities	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.4	Physical security monitoring	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.5	Protecting against physical and environmental threats	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.6	Working in secure areas	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.8	Equipment siting and protection	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.11	Supporting utilities	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.12	Cabling security	대응표	9.2.3 9.3.1.1 9.2.1+3	같은 주제: 물리적 보안
A.7.14	Secure disposal or re-use of equipment	대응표	6.3.2 12.5.1	같은 주제: 자산 관리
A.8 Technological controls · 25
A.8.1	User endpoint devices	편집 콘텐츠	5.2.1 5.2.2 5.3.2	같은 주제: 엔드포인트 보호 (편집부 추천)
A.8.2	Privileged access rights	대응표	7.2.2	같은 주제: 특권 접근
A.8.3	Information access restriction	대응표	7.2.1 7.2.2 7.2.4+1	같은 주제: 접근 통제
A.8.5	Secure authentication	대응표	6.2.3 7.2.1 8.3.1+5	같은 주제: API 보안, 제로 트러스트
A.8.7	Protection against malware	편집 콘텐츠	5.2.1 5.2.2 5.3.2	같은 주제: 엔드포인트 보호 (편집부 추천)
A.8.8	Management of technical vulnerabilities	대응표	6.3.1 6.3.3 11.3.1+1	같은 주제: 취약점 관리, 패치 관리
A.8.9	Configuration management	대응표	2.2.1 2.2.2	같은 주제: 보안 구성
A.8.10	Information deletion	대응표	3.2.1 3.3.1 3.4.1	같은 주제: 데이터 보호
A.8.11	Data masking	대응표	3.2.1 3.3.1 3.4.1	같은 주제: 데이터 보호
A.8.12	Data leakage prevention	편집 콘텐츠	3.4.2	같은 주제: DLP (편집부 추천)
A.8.13	Information backup	대응표	9.4.1.1	같은 주제: 백업 및 복구
A.8.14	Redundancy of information processing facilities	대응표	12.10.1	같은 주제: 비즈니스 연속성, 재해 복구
A.8.15	Logging	대응표	10.2.1 10.3.2 10.6.1+1	같은 주제: 로깅 및 감사
A.8.16	Monitoring activities	대응표	10.2.1 10.4.1 12.7.1+2	같은 주제: 내부자 위협, 지속적 모니터링, SIEM / SOC
A.8.17	Clock synchronization	대응표	10.2.1 10.3.2 10.6.1+1	같은 주제: 로깅 및 감사
A.8.18	Use of privileged utility programs	대응표	7.2.2	같은 주제: 특권 접근
A.8.19	Installation of software on operational systems	대응표	5.2.1 5.2.2 5.3.2	같은 주제: 엔드포인트 보호
A.8.20	Networks security	대응표	1.2.3 1.2.1 1.3.1+2	같은 주제: 방화벽 / 네트워크 분리
A.8.21	Security of network services	대응표	1.2.3 1.2.1 1.3.1+1	같은 주제: 방화벽 / 네트워크 분리
A.8.22	Segregation of networks	대응표	1.2.3 7.2.1 8.3.1+3	같은 주제: 방화벽 / 네트워크 분리, 제로 트러스트
A.8.24	Use of cryptography	대응표	3.5.1 3.6.1 4.2.1+3	같은 주제: 암호화
A.8.25	Secure development life cycle	대응표	6.2.2 6.2.3 6.2.1	같은 주제: 보안 개발
A.8.26	Application security requirements	대응표	6.2.2 6.2.3 6.2.1+3	같은 주제: 보안 개발, API 보안
A.8.28	Secure coding	대응표	6.2.2 6.2.3 6.2.1	같은 주제: 보안 개발
A.8.29	Security testing in development and acceptance	대응표	6.2.2 6.2.3 6.2.1	같은 주제: 보안 개발
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	대응표	12.5.2	같은 주제: 사업 환경
Clause 4.2	Understanding the needs and expectations of interested parties	대응표	12.5.2	같은 주제: 사업 환경
Clause 5.2	Policy	대응표	12.1.1 12.1.2	같은 주제: 거버넌스 정책
Clause 6.1.1	General	대응표	12.3.1	같은 주제: 위험 관리
Clause 6.1.2	Information security risk assessment	대응표	12.3.1	같은 주제: 위험 평가
Clause 6.1.3	Information security risk treatment	대응표	12.3.1	같은 주제: 위험 관리, 위험 평가
Clause 7.3	Awareness	대응표	12.6.1 12.6.3	같은 주제: 인식 제고 및 교육
Clause 9.1	Monitoring, measurement, analysis and evaluation	대응표	12.4.2	같은 주제: 컴플라이언스
Clause 10.1	Continual improvement	편집 콘텐츠	12.10.6	같은 주제: 교훈 도출 (편집부 추천)

주제별

양쪽 모두 포함 (46):

ISO 27001만 해당 (4):

모바일 보안 DNS 보안 커뮤니케이션 커뮤니케이션 및 복구

질문

ISO 27001이 PCI DSS를 대체할 수 있는가?

아니요. 카드 브랜드는 ISO 인증과 관계없이 PCI DSS 검증을 요구합니다. ISO는 PCI 준수가 의존하는 프로그램을 운영하는 데 도움이 됩니다.

PCI DSS는 법률인가?

아니요. 카드 브랜드 및 수탁 계약사와의 계약을 통해 시행되는 표준입니다. 일부 관할권에서는 법률에서 이를 참조하지만, 그 권한은 결제 네트워크 계약에서 나옵니다.

하나의 통제로 ISO 27001과 PCI DSS를 동시에 충족할 수 있는가?

대개 가능합니다. 다만 PCI DSS의 더 구체적인 요구사항에 맞춰 구현해야 합니다. ISO 27001은 근거가 잘 갖춰진 모든 구현을 인정하므로, PCI의 주기와 설정에 맞춰 설계하면 보통 두 기준을 모두 충족합니다.

ISO 27001과 PCI DSS 중 어느 쪽이 더 어려운가?

PCI DSS는 자체 범위 안에서 더 규정적이고 기술적입니다. ISO 27001은 범위가 더 넓고 관리체계를 요구합니다. 카드 소유자 데이터 환경이 작다면 PCI DSS가 둘 중 더 가벼울 수 있습니다.

PCI DSS 가맹점 등급이란 무엇인가?

카드 브랜드는 가맹점과 서비스 제공업체를 연간 거래량에 따라 분류합니다. 등급에 따라 준수 검증 방식이 결정되며, 가장 큰 곳은 QSA 준수 보고서(ROC), 그 밖의 대부분은 자가평가 설문지(SAQ)를 사용합니다.

ISO 27001은 PCI DSS 평가에 도움이 되는가?

네, 특히 정책, 위험 평가, 역할, 공급업체 관리, 사고 대응에서 그렇습니다. 다만 PCI 특화 증빙을 대체하지는 않습니다.

PCI DSS v4.0.1은 ISO 27001과 같은 형태의 위험 평가를 요구하는가?

같은 형태의 조직 전체 위험 평가를 요구하지는 않습니다. PCI DSS v4.0은 주기를 조직이 설정할 수 있는 요구사항에 대해 표적 위험 분석을 도입했고, 암호화와 기술에 대한 연간 검토를 기대하지만, ISO 27001의 위험 평가가 더 넓은 범위를 다룹니다.

요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.

대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.