점대점 암호화
PCI SSC(PCI 보안 표준 위원회)는 PCI P2PE(점대점 암호화) 표준을 포함하여 결제 산업의 보안 요건을 정의, 명시하고 시행합니다. 이러한 표준을 통해 PCI SSC는 P2PE 솔루션 제공업체가 솔루션을 검증하는 방법, 판매자가 이러한 검증된 솔루션을 활용하여 PCI DSS 평가 범위를 축소하는 방법을 자세히 명시합니다.
P2PE는 특별한 애플리케이션 레벨 암호화 사례인데, 이 사례에서는 암호화가 비즈니스 애플리케이션 내에 선택적으로 적용됩니다. POS 단말기와 같이 승인된 보안 암호화 장치(SCD) 내에서 계정 데이터가 암호화되고, 판매자 환경 내에서 전혀 복호화되지 않은 상태로 점대점 암호화 프로세스가 올바르게 구현되면 판매자가 PCI DSS 적용 범위에서 거의 완전히 벗어날 수 있습니다.
복호화 키의 보안, 액세스에 대한 엄격한 통제를 마련해야 합니다. 실제로, 현재 지침에 따르면 적절한 보안 등급을 가진 하드웨어 보안 모듈(HSM)을 사용해 해당 키에 대한 액세스를 보호해야 합니다. 결제 환경의 인수자와 기타 관련 업체는 이미 P2PE를 활용하여 판매자의 규정 준수 비용을 줄이는 부가가치 서비스를 출시하기 시작했습니다. PCI DSS 관점에서 계정 데이터를 복호화할 수 있는 모든 시스템은 즉시 준수 범위에 포함되므로 HSM 내에서 키를 보호하여 판매자를 보호하는 기능은 모든 관련자에게 상당한 이점을 제공할 수 있습니다.
- 과제
- 솔루션
- 장점
점대점 암호화: 오늘날의 과제
- 점대점 암호화로 계정 데이터를 보호하지 않는 조직은 PCI DSS 규정 미준수로 벌금을 부과해야 하거나 사업적 피해를 볼 수 있습니다.
- 공격자는 수많은 채널(웹사이트, 콜센터와 헬프데스크, 이메일 시스템 등)을 통해 의도적으로, 또는 무심코 유입될 수 있기 때문에 일반적인 조직의 여러 내부 위치에서 고객 계정 데이터를 훔칠 수 있고 이러한 공격이 전사적으로 빠르고 광범위하게 퍼져 대책 및 규정 준수 관련 보고 비용이 증가하게 됩니다.
- 암호화는 위험을 줄일 수 있지만 키를 적절하게 관리하기 위한 조치는 조직이 직접 취해야 합니다. 순수한 소프트웨어 기반 시스템에 존재하는 키는 공격에 취약하며 종종 규정 준수 의무에 미달하는 상태입니다.
- PCI DSS가 P2PE(점대점 암호화) 사용을 의무화하지는 않지만 이 접근 방식을 활용해 PCI DSS 범위를 축소하지 않는 조직은 불필요한 규정 준수 비용을 감당해야 할 수 있습니다.
점대점 암호화: 탈레스 솔루션
탈레스는 PCI DSS를 효과적이고 효율적으로 준수하도록 지원할 뿐만 아니라 P2PE(점대점 암호화)를 통해 PCI DSS 범위를 축소하여 규정 준수 비용을 절감하는 데도 도움이 됩니다. payShield HSM은 P2PE 지침에서 요구하는 FIPS 140-2 레벨 3 표준에 맞춰 독립적으로 인증되었습니다. payShield HSM은 키 자료를 안전하게 생성, 저장, 관리할 수 있고 복호화 작업을 안전하게 수행할 수 있는 신뢰 환경을 만듭니다. 이러한 방식으로 HSM을 사용하는 것은 결제 네트워크를 통과할 때 사용자 PIN을 보호하는 용도로 HSM을 사용하는 방식과 거의 유사합니다. 두 HSM 사용 사례는 모두 메모리 스캐닝 공격, 런타임 모니터링, 또는 악의적인 권한이 있는 사용자에게 암호키와 프로세스를 노출시킬 수 있는 순수 소프트웨어 기반 시스템의 고유한 약점을 극복합니다.
탈레스 CipherTrust Data Security Platform, 자체 개발 소프트웨어, 또는 타사 상용 애플리케이션 중에서 무엇을 사용해 계정 데이터를 암호화, 복호화하는지와 관계없이 payShield HSM은 배포하기 쉽고 형식 보존 암호화(FPE)와 같은 혁신적인 기술을 지원하며, 기존 비즈니스 프로세스에 대한 영향을 최소화합니다. 이러한 장치는 이미 업계 파트너, 주요 POS 제조업체의 제품과 직접 통합 가능한 인증을 받았으므로 기존 시스템과의 원활한 통합과 빠른 배포를 보장합니다.
탈레스 HSM을 사용하면 다음과 같은 이점을 누릴 수 있습니다.
- PCI DSS를 준수하는 점대점 암호화(P2PE)를 배포하여 계정 데이터를 보호하고 규정 준수 비용을 줄입니다.
- 구현 프로젝트를 가속화합니다. payShield HSM은 주요 암호화 공급업체의 CipherTrust Data Security Platform 제품과 통합할 수 있는 사전 인증을 받았습니다.
- 원하는 성능 수준과 제품 형태를 선택하여 필요한 것만 정확하게 배포하고 요건이 변경되면 쉽게 업그레이드할 수 있습니다.
- 최첨단 FPE를 활용하여 일반 텍스트로 된 계정 데이터가 아닌 암호화된 데이터에 노출된 기존 시스템에 미치는 영향을 최소화합니다.