PCI DSS란?

다루는 범위

PCI DSS는 결제 계정 데이터를 보호하기 위한 기술적·운영적 요구 사항의 기준선을 제공합니다. PCI Security Standards Council에 따르면, 카드 소지자 데이터나 민감 인증 데이터를 저장, 처리, 전송하는 주체, 또는 이를 보유한 환경의 보안에 영향을 줄 수 있는 주체를 대상으로 합니다. 가맹점, 프로세서, 매입사, 발급사, 서비스 제공자가 포함됩니다. 협의회가 표준을 정하고 매입사와 결제 브랜드가 계약을 통해 적용하므로 법령이 아닙니다. 이 페이지는 표준 버전 4.0.1을 반영합니다.

여기서는 두 용어가 중요합니다. 카드 소지자 데이터에는 주 계좌 번호(PAN)가 포함됩니다. 민감 인증 데이터(SAD)에는 CVV2, CVC2, CID처럼 카드에 인쇄된 검증 코드가 포함되며, 결제자가 카드를 손에 들고 있음을 증명하기 위해 존재합니다.

요구 사항

요구 사항 3.2.1은 데이터 보존 및 폐기 정책, 절차, 프로세스를 통해 계정 데이터의 저장을 최소한으로 유지하도록 요구합니다. 요구 사항 3.3.1은 SAD를 암호화했더라도 승인 이후에는 저장하지 않는다고 말합니다. PAN 같은 카드 소지자 데이터는 업무상 필요가 있을 때만, 그리고 PAN은 읽을 수 없게 만든 경우에만 승인 후에도 보관할 수 있습니다. SAD는 보관할 수 없습니다.

협의회는 이를 통화에 직접 적용했습니다. FAQ 1210에서 협의회는 승인 이후 카드 검증 코드를 .wav나 .mp3 같은 디지털 음성 녹음에 저장하는 것이 요구 사항 3.3.1 위반이라고 말합니다. 통화 중에 그런 데이터가 수집되면 녹음되지 않도록 모든 노력을 다해야 하며, 데이터 입력 중 오디오를 억제하거나 가리는 기술이 있는 곳에서는 활성화해야 합니다. 녹음을 막을 수 없다면 승인 직후 데이터를 안전하게 삭제해야 합니다. 삭제가 불가능한 경우의 대안은 보완 통제입니다. FAQ는 또한 PCI DSS가 음성 보관에 관한 현지 또는 지역 법률보다 우선하지 않는다고 밝힙니다.

음성 에이전트에 주는 의미

음성 에이전트는 카드 데이터가 퍼질 수 있는 새로운 장소입니다. 발신자가 소리 내어 말하거나 키패드로 입력한 숫자는 통화 오디오, 전사, LLM에 보내는 프롬프트, 도구 호출, 웹훅 페이로드, 분석 저장소, 벤더의 로그에 나타날 수 있습니다. 각 사본은 PCI 범위 안에 들어가는지 여부를 따져야 합니다.

흔한 접근법은 발신자를 에이전트 밖에 있는 결제 흐름으로 넘기거나, 오디오에서 마스킹되는 키패드 톤(DTMF)으로 숫자를 받아 에이전트가 숫자를 듣지도 저장하지도 않게 하는 것입니다. 어떤 설계든 결제 단계에서 통화 녹음이 무엇을 담는지, 조각들이 어떻게 보관되고 삭제되는지(데이터 보존)를 확인하세요. 벤더의 SOC 2 보고서는 PCI 상태를 보여 주지 않습니다. 벤더가 카드 데이터 경로에 있다면 PCI 인증 확인서를 요청하세요. 은행 업무 사례는 은행 분야의 대화형 AI 가이드를 참고하세요.

법무 담당자에게 물어볼 질문

1. 이 흐름에서 우리가 카드 데이터를 저장, 처리, 전송하는가, 아니면 에이전트를 범위 밖에 둘 수 있는가?
2. 우리에게 어떤 평가나 확인서가 적용되며, 매입사와 카드 브랜드는 무엇을 요구하는가?
3. 카드 숫자가 녹음, 전사, 프롬프트, 로그에 들어가지 않게 하려면 어떻게 하는가?
4. 녹음에 이미 검증 코드가 담겨 있다면 어떻게 하는가?
5. 통화 경로의 어떤 벤더가 자체 PCI 상태에 대한 증거를 제공해야 하는가?

관련 용어

• 데이터 보존
• 통화 녹음
• DTMF
• 제로 데이터 보존
• SOC 2

가이드

• 은행의 대화형 AI: 고객 전화 응대

사용 사례

• 전화 결제
• 금융 서비스

출처

• PCI Security Standards Council, PCI Data Security Standard (PCI DSS)
• PCI SSC FAQ 1210, Are audio/voice recordings permitted to contain sensitive authentication data?