PCI DSS

어떤 정보 흐름을 살펴보나요?

카드정보를 저장·처리·전송하는 환경과 그 보안에 영향을 주는 환경을 살펴봐요. PG를 사용하더라도 가맹점의 어떤 시스템이 카드정보를 다루는지에 따라 확인할 범위가 달라질 수 있어요.

연동 예시

PG가 제공하는 결제창으로 고객 정보를 입력받는 쇼핑몰과, 상점 서버가 카드번호를 직접 받아 전달하는 쇼핑몰을 생각해 볼게요. 두 시스템의 데이터 흐름은 다르므로 동일한 준수·검증 범위를 전제로 개발하면 안 돼요.

PG 인증서가 있으면 끝인가요?

PG가 표준을 준수한다는 사실과 내 서비스의 책임 범위는 따로 확인해야 해요. PCI SSC는 표준을 관리하고, 준수 프로그램과 검증 요구는 카드 브랜드·매입사 등 관련 주체가 정해요. 계약한 PG와 필요한 범위를 확인하세요.

개발 전에 정리할 점

카드정보가 어느 화면에서 입력되고 어느 서버를 지나는지, 로그·백업에 남는지부터 그려보세요. 고객에게 제시하는 ‘보안 인증’ 문구를 그대로 가져오기보다 실제 연동 구성과 검증된 범위를 확인하는 것이 좋아요.