ISO 27001 vs PCI DSS: 우리 사업엔 어느 프레임워크가 필요한가
목차
동남아에서 결제를 다루는 모든 조직은 이 두 프레임워크를 결국 만납니다. 흔히 같은 분기에요. 은행이 벤더 온보딩에 ISO 27001 인증서를 요구합니다. 같은 시기에 acquiring bank가 PCI DSS 준수 증빙을 요구하죠. 두 대화가 비슷하게 들립니다. 둘 다 감사인, 통제 항목, 연간 주기가 있으니 서로 바꿔 쓸 수 있다는 결론이 유혹적입니다.
아닙니다. 차이를 아는 게 중요합니다. 하나를 다른 하나의 대체재로 쓰면 불필요한 인증 비용을 내거나 카드 브랜드의 처벌에 노출되거나 둘 중 하나입니다. 이 글은 각 프레임워크가 실제 무엇을 요구하는지, 어디가 겹치는지, 왜 함께 돌리는 게 따로 도는 것보다 저렴한지 설명합니다.
ISO 27001: 정보보안을 관리하는 거버넌스 프레임워크 #
ISO/IEC 27001은 조직이 업종 불문 정보보안을 관리하는 방법을 정의합니다. 핵심은 ISMS(정보보안경영체계)입니다: 위험 평가, 통제 선택, 운영, 측정, 개선의 문서화된 순환.
두 가지 특징이 정의합니다:
위험 기반입니다. 표준은 어떤 방화벽을 살지 얼마나 자주 패치할지 말하지 않습니다. 위험을 식별하고 Annex A 목록(및 그 밖)에서 대응할 통제를 고르고 각 결정을 정당화할 것을 요구합니다. 유효한 인증서를 둘 다 든 두 조직이 매우 다른 통제 집합을 돌릴 수 있습니다. 위험이 다르니까요.
공인 기관이 인증합니다. 인증은 공인된 인증기관이 Stage 1과 Stage 2 심사 후 발급합니다. 인증되면 3년 주기에 들어가 매년 서베일런스 감사를 받고 재인증합니다. 이 인증서는 국제적으로 인정되어 구매 부서가 사랑합니다. PDF 한 장이 벤더 리스크 설문 수십 항목에 답하기 때문입니다.
유연함의 값은 추상성입니다. ISO 27001 인증서는 보안을 체계적으로 관리한다고 알려줄 뿐, 특정 기술 안전장치가 정해진 강도로 존재한다고 알려주진 않습니다.
PCI DSS: 카드 데이터를 위한 규정형 운영 요건 #
PCI DSS는 한 목적으로 태어났습니다. 결제 카드 데이터 보호. 카드 브랜드들(Visa, Mastercard, Amex, JCB, UnionPay 등)이 PCI Security Standards Council을 통해 발간하고, acquiring bank와 결제 처리사를 통해 계약으로 집행됩니다.
성격이 ISO 27001과 거의 정반대입니다:
규정형입니다. 현행 v4.x는 열두 개 군으로 나눠 구체적 요건을 명시합니다: 네트워크 보안 통제, 안전한 시스템 설정, 저장된 계정 데이터 보호, 공중망 전송 암호화, 악성코드 방어, 접근통제, 물리보안, 로깅과 모니터링, 정기 보안 시험. ISO가 "무단 접근 위험을 관리하라"고 하면 PCI는 "15분 무활동 시 인증 불신뢰 처리"처럼 시험 간격까지 명시합니다.
범위가 cardholder data environment(CDE)에 묶입니다. 모든 것은 카드 데이터가 어디에 살고 흐르고 연결되는지 정의하는 데서 시작합니다. CDE에 연결된 시스템은 범위 안입니다. 올바르게 세그먼트된 시스템은 밖일 수 있습니다. 그래서 스코프 축소가 대부분의 PCI 프로그램에서 가장 가치 높은 활동입니다. 범위 안 시스템이 적으면 증거, 평가 시간, 상시 비용이 모두 줄어듭니다.
연간 검증, 역할별로. 거래량과 카드 브랜드 규칙에 따라 Qualified Security Assessor가 서명하는 ROC(준수 보고서) 또는 분기 ASV 취약점 스캔을 곁들인 SAQ로 검증합니다. ISO식 "인증서"는 없습니다. 특정 시점에 묶인 준수 확인서만 있습니다.
나란히 놓고 #
| 차원 | ISO 27001 | PCI DSS |
|---|---|---|
| 목적 | 조직 전체 정보보안 위험 관리 | 결제 카드 데이터 전용 보호 |
| 접근 | 위험 기반, 선택 근거 문서화 | 규정형, 명시적 기술·절차 요건 |
| 적용 대상 | 모든 조직, 모든 데이터 | 카드 데이터를 저장·처리·전송하는 모든 주체 |
| 검증 | 공인기관 인증서, 3년 주기 + 서베일런스 | 연간 ROC/SAQ, 분기 스캔, acquirer 계약으로 집행 |
| 범위 | 조직이 정한 ISMS 전체 | 데이터 흐름이 정한 CDE |
| 실패 결과 | 인증 박탈, 계약 손실 | acquirer 통해 벌금, 카드 승인 상실 |
겹치는 곳 #
철학이 달라도 실무의 큰 부분은 같습니다. 두 프레임워크 모두 요구합니다:
- 최소 권한 접근통제와 고유 식별
- 전송 중 민감 데이터 및 저장 시크릿 암호화
- 로깅, 모니터링, 시각 동기화
- 취약점 관리와 패치 규율
- 민감 환경 세그먼테이션
- 보안 인식 교육과 검토 주기 있는 문서화 정책
- 사고대응 계획과 시험
실무에서 한 번 잘 지은 통제는 의도적으로 매핑하기만 하면 보통 양쪽 감사인을 만족시킵니다. 헤매는 조직은 감사인당 한 번씩 통제를 두 번 짓는데, 프레임워크 간 매핑을 관리하는 사람이 없기 때문입니다.
함께 돌리는 실용적 방법 #
카드를 받으면서 엔터프라이즈 고객을 노리는 태국 핀테크나 지역 기업에게 통하는 순서:
- 거버넌스는 ISO 27001에 닻을 내립니다. ISMS, 위험 레지스터, 정책 세트, 경영 리뷰 리듬을 만듭니다. 이게 모든 것의 운영체제입니다.
- CDE 위에 PCI DSS를 겹칩니다. 스코프를 빡빡하게 잡고, 그 경계 안에서 규정형 요건을 적용하며, 각 PCI 요건을 ISMS 통제로 되돌리는 매핑을 문서화합니다.
- 증거 파이프라인을 공유합니다. 로깅 플랫폼 하나, 취약점 프로세스 하나, 접근 검토 달력 하나가 두 프로그램을 먹입니다. 이후 평가는 프로젝트가 아니라 검증 활동이 됩니다.
- 두 달력을 배치하세요. 제대로 계획하면 ISO 서베일런스 감사와 PCI 연간 확인이 연중 다른 지점에 옵니다. 그 간격으로 한쪽 finding을 다른 쪽 오기 전에 고칩니다.
이렇게 하면 기존 ISO 27001 위에 PCI DSS를 더하든 반대든, 백지에서 시작하는 것보다 훨씬 쌉니다. 잘못하면? 두 번 내고도 빈틈이 남습니다.
그래서 뭐가 필요합니까? #
두 가지만 물으세요. 결제 카드 데이터를 만지나요? PCI DSS가 적용됩니다. 선택지가 아니고요, acquirer가 가장 불편한 시점에 서면으로 확인해줍니다. 엔터프라이즈 고객, 은행, 규제기관이 입증 가능한 보안 거버넌스를 기대하나요? ISO 27001이 구매 마찰 한 부류를 통째로 없앱니다.
결제 산업의 대부분 조직은 결국 둘 다 필요합니다. 좋은 소식은 서로 강화한다는 겁니다. ISO가 관리 규율을, PCI가 돈이 움직이는 곳의 운영 깊이를 줍니다.
활동적인 QSA 실무로서 PCI DSS gap assessment 및 QSA audit과 규제 준수 어드바이저리를, 하나의 통제 집합으로 두 프레임워크를 충족하는 결합형 프로그램 매핑과 함께 제공합니다. 또는 schedule an Engineering & Scoping Session으로 상황을 직접 논의하세요.