말도 많고 탈도 많았던 PCI DSS의 적용 마감일이 드디어 현실로 다가왔다.

BSP 여행사라면 누구도 피해갈 수 없는 PCI DSS 도입이 오는 18일로 다가온 것이다.

지난 2개월간 여행사를 위해 무료로 개최한 설명회를 진행하면서 아직도 많은 여행사 분들이 어려움을 느끼고 있고 그들의 공통된 질문에 답을 하는 것이 필요하겠다는 생각을 가지게 됐다.

이번 기회를 통해 여행사가 가지는 일반적이고 공통적인 질문에 대한 답변을 공유하고자 한다.

PCI DSS는 5개의 카드 회사들이 설립한 PCI SSC(Payment Card Industry Security Standards Council)에서 규정한 카드업계 정보보호 표준이다.

PCI DSS에서 검증하는 분야는 크게 6개의 카테고리로, 카드회원 데이터 보호와 데이터 액세스에 대한 제어, 네트워크 안정성 강화 및 정기적인 모니터링, 취약점 관리와 보안정책의 점검이 있으며, 세부적으로는 12가지 요구사항 및 415개 항목으로 구성돼 있다.

PCI DSS 인증을 위해서는 먼저 SAQ (Self Assessment Questionnaire) 즉 자가 질의 평가서를 작성해야 하는데 이는 여행사의 시스템 보안 관련 질의서로 여행사의 신용카드 데이터 처리 방법에 따라 SAQ 타입이 약 10가지로 나뉜다. SAQ를 작성하고 나면 요약본인 AOC (Attestation of Compliance, 준수 확인서)를 작성하게 되는데 이 AOC가 IATA에 제출되는 서류이며 영문으로 제출해야 한다.

온라인 여행사의 경우, ASV(Approved Scanning Vendor)라고 하는 PCI SSC로부터 공인된 업체를 통해 네트워크 취약점 점검 및 보완 작업을 진행 하게 되는데 이를 ‘네트워크 스캔’이라고 한다. 이렇게 작성된 영문 AOC와 네트워크 스캔 결과를 IATA에 제출하면 인증에 필요한 모든 단계가 끝나게 된다.

대상이 되는 여행사들은 매년 AOC를 IATA에 제출해야 하며(IATA 정책에 따라 변경 가능), 온라인 여행사(Booking Engine을 사용하며 온라인상에서 결제를 처리하는 여행사)들은 ASV 업체를 통해 매 분기마다 네트워크 스캔을 진행해야 한다.

PCI DSS에 대한 용어 및 내용이 생소하다 보니 여행사가 직접 SAQ 작성하는 것을 더욱 어려워하고 있다. 이를 위해 토파스에서는 지난 12일까지 서울과 부산에서 SAQ 작성 설명회를 6회 개최해 가능한 많은 여행사들이 부담을 덜 수 있도록 지원했다.

그리고 토파스 홈페이지 ‘토파스 소식-공지사항 ‘PCI DSS, AOC(준수 확인서) 작성 TIP’ 페이지에 첨부 파일을 다운로드해 작성 시 참고하면 된다.(작성 및 제출해야 되는 문서 양식은 PCI DSS Council 사이트에서 다운)

이번에는 기본적인 개요와 절차에 대해 알아봤고 다음에는 SAQ 작성 설명회에서 나온 여행사들의 주요한 질문에 대해 알아보는 시간을 가져 보자.