이 문서에서는 PCI-DSS, ISO 27001 및 SOC 준수를 정의합니다.

PCI-DSS, ISO 27001 및 SOC 준수는 조직 내 정보 보안 및 데이터 보호를 보장하기 위한 표준 및 프레임워크입니다.

각 항목에 대한 자세한 개요는 다음과 같습니다:

PCI-DSS (결제 카드 산업 데이터 보안 표준)

PCI-DSS는 신용 카드 정보를 수락, 처리, 저장 또는 전송하는 모든 회사가 안전한 환경을 유지하도록 보장하기 위해 설계된 보안 표준 세트입니다.

주요 사항:

• 개발 기관: Visa, MasterCard, American Express, Discover 및 JCB와 같은 주요 신용 카드 브랜드를 포함하는 결제 카드 산업 보안 표준 위원회(PCI SSC).
• 요구 사항: 준수를 위한 12가지 요구 사항이 여섯 가지 제어 목표로 조직되어 있습니다:
  1. 안전한 네트워크 구축 및 유지(예: 방화벽 구성, 시스템 비밀번호에 대해 공급업체 제공 기본값 사용).
  2. 카드 소지자 데이터 보호(예: 암호화, 저장 보안).
  3. 취약점 관리 프로그램 유지(예: 안티바이러스 소프트웨어, 안전한 시스템 및 애플리케이션).
  4. 강력한 접근 제어 조치 시행(예: 접근 제한, 사용자에 대한 고유 ID).
  5. 정기적으로 네트워크 모니터링 및 테스트(예: 접근 추적 및 모니터링, 정기 보안 테스트).
  6. 정보 보안 정책 유지(예: 공식 정책 및 절차).

ISO 27001 (국제 표준화 기구 27001)

ISO 27001은 정보 보안 관리에 대한 국제 표준입니다. 이는 민감한 회사 정보를 안전하게 유지하기 위한 체계적인 접근 방식을 제공합니다.

주요 사항:

• 발행 기관: 국제 표준화 기구(ISO) 및 국제 전기 기술 위원회(IEC).
• 프레임워크: 표준은 정보 보안 관리 시스템(ISMS)을 수립, 구현, 유지 및 지속적으로 개선하기 위한 요구 사항을 명시합니다.
• ISMS 구성 요소:
  • 위험 평가 및 처리: 정보 보안 위험 식별 및 완화.
  • 보안 통제: 표준의 부록 A에 자세히 설명된 최선의 관행 및 보안 통제 세트.
  • 문서화 및 증거: 준수 및 지속적인 개선을 입증하기 위한 문서화된 정책, 절차 및 기록.
  • 내부 감사 및 지속적인 개선: ISMS의 유효성과 지속적 개선을 보장하기 위한 정기 감사 및 검토.

SOC (시스템 및 조직 통제)

SOC 보고서는 서비스 조직의 통제 효과성을 측정하는 데 도움을 주기 위해 설계된 일련의 표준입니다. 각기 다른 목적을 가진 다양한 SOC 보고서 유형이 있습니다:

• SOC 1: 재무 보고 통제에 중점을 둡니다.

  • 유형 I: 특정 시점에서 서비스 조직의 시스템 및 통제 설계의 적합성을 설명합니다.
  • 유형 II: 유형 I 정보를 포함하고 특정 기간 동안 통제의 운영 효과성을 포함합니다.

• SOC 2: 정보 및 IT 보안 통제에 중점을 둡니다.

  • 기준: 보안, 가용성, 처리 무결성, 기밀성 및 개인 정보를 포함하는 신뢰 서비스 기준에 기반합니다.
  • 유형 I: 특정 시점에서 서비스 조직의 시스템 및 통제 설계의 적합성을 설명합니다.
  • 유형 II: 유형 I 정보를 포함하고 특정 기간 동안 통제의 운영 효과성을 포함합니다.

• SOC 3: SOC 2와 유사하지만 일반 대중을 위해 설계되어 자세한 테스트 및 결과 없이 고급 개요를 제공합니다.

주요 사항:

• 개발 기관: 미국 공인 회계사 협회(AICPA).
• 목적: SOC 보고서는 이해 관계자(예: 클라이언트, 규제 기관)에게 서비스 조직이 재무 보고(SOC 1) 또는 IT 및 데이터 보안(SOC 2 및 SOC 3) 관련 충분한 통제를 갖추고 있음을 보장합니다.

요약

• PCI-DSS: 결제 시스템 내에서 카드 소지자 데이터를 보호하는 데 중점을 둡니다.
• ISO 27001: 모든 조직 전반에 걸쳐 정보 보안을 관리하기 위한 포괄적인 프레임워크를 제공합니다.
• SOC: 서비스 조직의 통제에 대한 보장을 제공하며, 재무 보고(SOC 1) 또는 IT 및 데이터 보안(SOC 2 및 SOC 3)에 중점을 둡니다.

이러한 표준 및 프레임워크는 조직이 위험을 관리하고 법률 및 규제 요구 사항을 준수하며 정보 보안 및 데이터 보호에 대한 헌신을 입증하는 데 도움을 줍니다.