카드 결제 산업 데이터 보안 표준 준수 계획 가이드
On This Page

서론 서론
PCI DSS 규정 준수 PCI DSS 규정 준수
부록 부록

서론

카드 결제 산업 데이터 보안 표준 준수 계획 가이드는 조직이 PCI DSS(카드 결제 산업 데이터 보안 표준) 규정을 충족하는 데 도움을 주기 위한 목적으로 마련된 문서입니다. 특히 본 가이드는 카드 결제를 받는 소매점, 카드 결제 거래를 처리하는 금융 기관 및 카드 결제 처리 또는 데이터 저장소 서비스를 제공하는 서비스 공급자(타사)를 대상으로 합니다. 이러한 각 그룹의 IT 솔루션은 모든 PCI DSS 규정을 만족해야 합니다. 본 가이드는 각종 규정 및 표준을 준수하기 위한 방법 중 하나로 프레임워크 기반 IT 통제 방식을 소개하는 규정   준수   계획   가이드 (영문)의 내용을 보완하도록 만들어졌습니다. 또한 Microsoft 제품 및 기술 솔루션에 대한 설명도 수록되어 있어서, PCI DSS 규정뿐만 아니라 조직에 적용될 수 있는 기타 의무 규정도 준수할 수 있도록 일련의 IT 통제를 구현하는 데 사용할 수 있습니다.

참고   서비스의 일부로 ATM(자동 입출금기)을 제공하는 조직을 위해, Microsoft에서는 ATM을 지원하는 소프트웨어, 시스템 및 네트워크에 대한 구조 및 보안 지침을 제공합니다. 자세한 내용은 MSDN 웹 사이트의 Microsoft 금융 서비스 - 다운로드(영문) 페이지를 참조하십시오.

이 가이드는 모든 조직에서 PCI DSS를 준수하는 방법에 대한 포괄적인 정보를 제공하지는 않습니다. 귀하의 조직과 관련된 특정 준수 질문에 대한 답변을 얻으려면 법률 고문이나 감사 담당자에게 문의하십시오.

이 가이드의 서론 부분은 다음과 같은 단원으로 구성되어 있습니다.

  • 개요. 이 단원에서는 PCI DSS 규정과 본 계획 가이드의 주요 목표를 개괄적으로 설명합니다. 또한 IT 관리자가 PCI DSS 준수 규정을 충족하기 위해 갖춰야 하는 지식에 대해서도 논의합니다.

  • 이   가이드의   대상   독자. 이 단원에서는 이 가이드의 대상 독자, 가이드의 목표와 범위, 이 가이드의 제한점에 대한 주의 사항 및 책임 제한을 설명합니다.

  • 카드   결제   산업   데이터   보안   표준이란 ? 이 단원에서는 PCI DSS 및 해당 규정을 대략적으로 설명합니다.

  • PCI DSS 준수   계획. 이 단원에서는 PCI DSS 규정을 충족하기 위한 프레임워크 사용법에 대해 설명합니다. 다양한 유형의 IT 통제, 이러한 통제의 조합 방식, 이러한 방식이 조직에서 PCI DSS 규정 및 기타 규정 준수 의무를 충족하는 데 도움을 주는 중요한 구성 요소인 이유 등이 다루어집니다.

  • PCI DSS 감사   프로세스. 이 단원에서는 감사 담당자들이 조직의 PCI DSS 규정 준수 상태 평가에 사용하는 PCI DSS 감사 프로세스에 대해 대략적으로 설명합니다.

이 백서는 규정 준수 계획 가이드(영문)를 보완하도록 작성되었으므로, 각 조직에 해당되는 모든 규정 요구 사항을 충족하는 완벽한 솔루션을 계획하려면 해당 가이드도 함께 참조하십시오.

개요

조직에서 결제 카드 소유자의 정보를 처리, 저장 또는 전송할 때는 반드시 PCI DSS(카드 결제 산업 데이터 보안 표준)를 준수해야 합니다. 이 표준은 PCI 보안 표준 협의회에서 개발한 것으로, 조직의 서비스를 사용하는 카드 소유자의 보안에 대해 최소한의 허용 기준을 정립하는 요건을 정의합니다.

그러나 이러한 상황을 복잡하게 만드는 세 가지 문제가 있습니다. 첫 번째는 PCI DSS 규정을 준수할 경우 조직 전체에 영향을 줄 수 있다는 것입니다. 따라서 부서 간에 준수 과정을 조율하는 동시에 전사적으로는 PCI DSS 준수 전략을 갖추는 것이 중요합니다. 두 번째 문제는 한 조직에서 준수해야 하는 규정이 여러 개여서 각기 다른 규정을 지켜야 하는 경우 발생합니다. 이렇게 다양한 규정 요구 사항에 적절히 대처하는 동시에 비용 효과적인 프로세스와 절차를 통해 규정 준수 체제를 유지하는 방법을 찾는 것은 일부 기업만의 문제가 아닙니다. 세 번째 문제는 다른 규정과 마찬가지로 PCI DSS에서도 IT 통제를 간단하게만 기술하고 있기 때문에 IT 관리자들은 별다른 지침 없이 규정을 준수하고 유지하는 방식을 알아서 판단해야 한다는 것입니다.

카드 결제 산업 데이터 보안 표준 준수 계획 가이드는 회사의 PCI DSS 의무 규정을 만족시켜야 하는 IT 관리자를 위해 작성되었습니다. 이 가이드의 목적은 IT 관리자가 PCI DSS 준수 규정을 비롯하여 조직에 적용되는 다양한 IT 통제 요구 사항을 해결하는 방법을 이해하는 데 도움을 주는 것입니다. 이를 위해 본 가이드에서는 이러한 프로세스에서 사용할 수 있는 솔루션에 대한 정보를 제공하고 있습니다.

여러 가지 규정 표준을 준수하는 방법에 대해 보다 폭넓게 알아보려면 규정   준수   계획   가이드 (영문)를 참조하십시오.

중요   이 계획 가이드는 법률적인 정보는 제공하지 않으며 규정 준수에 대한 사실에 입각한 기술적인 정보만 제공합니다. 규정 요구 사항을 지키기 위해 이 가이드에만 전적으로 의지하지는 마십시오. 자세한 문의 사항에 대해서는 귀하의 법률 고문이나 감사 담당자와 상담하십시오.

이 가이드의 대상 독자

PCI DSS 준수   계획   가이드는 조직에서 카드 소유자의 개인 정보를 보호하고 카드 소유자 데이터의 수집, 처리, 전송, 보관 작업에서 보안과 안정성을 유지하도록 지원하는 담당자를 위해 작성되었습니다. 이 가이드의 내용은 조직에서 다음과 같은 직책을 맡고 있는 IT 관리자를 대상으로 작성되었습니다.

  • CIO( 정보   관리   책임자 ): 시스템 및 IT 관련 프로세스의 배포와 조작을 담당합니다.

  • CISO( 정보   보안   관리   책임자 ): 전반적인 정보 보안 프로그램 및 정보 보안 정책 준수를 담당합니다.

  • CFO( 재무   담당   책임자 ): 조직의 전반적인 제어 환경을 담당합니다.

  • CPO( 보안   담당   책임자 ): 개인 정보 및 데이터 보호 법률 준수를 지원하는 정책을 비롯하여 개인 정보의 관리와 관련된 정책의 구현을 담당합니다.

  • 기술   결정   수립자: 특정 비즈니스 문제를 해결하는 데 적합한 기술 솔루션을 파악합니다.

  • IT 운영   관리자: PCI DSS 준수 프로그램을 실행하는 시스템 및 프로세스를 실행합니다.

  • IT 보안   설계자: 조직의 비즈니스 요구에 맞는 적절한 보안 수준을 제공할 수 있도록 IT 통제 및 보안 시스템을 설계합니다.

  • IT 인프라   설계자: IT 보안 설계자가 설계한 IT 보안 및 통제를 지원할 수 있는 인프라를 설계합니다.

  • 컨설턴트   및   파트너: 고객을 위해 PCI DSS 준수 목적을 달성하고자 최선의 개인 정보 보호 또는 보안 정책을 권장하거나 구현합니다.

본 가이드는 위 사용자 외에 다음과 같은 업무를 담당하는 사용자에게도 유용할 수 있습니다.

  • 위험 / 준수   담당   책임자: 조직의 PCI DSS 규정 준수와 관련된 전반적인 위험 관리를 담당합니다.

  • IT 감사   관리자: IT 시스템을 감사하고 내외부 IT 감사 담당자의 업무를 일부 담당합니다.

카드 결제 산업 데이터 보안 표준이란?

PCI(카드 결제 산업) DSS(데이터 보안 표준)는 정보의 수집, 처리, 전송 및 보관 방식과 위치에 관계없이, 카드 소유자의 신용 카드 및 직불 카드 정보가 안전하게 유지되도록 고안된 종합적인 규정 모음집입니다. American Express, Discover Financial Services, JCB, MasterCard Worldwide 및 Visa International을 비롯하여 PCI 보안 표준 협의회의 창립 회원들이 개발한 이 PCI DSS는 전 세계적으로 일관된 데이터 보안 조치가 이루어지도록 하기 위한 것입니다.

회사와 조직에서는 일상적인 업무 과정에서 카드 소유자 데이터를 처리하는 데 있어 해당 요구 사항을 지켜야 합니다. 특히 PCI DSS는 일상적으로 카드 소유자 데이터 처리 업무를 수행하는 금융 기관, 상점 및 서비스 공급업체에 대한 규정을 정립하고 있습니다. PCI DSS는 보안 관리, 정책, 절차, 네트워크 아키텍처, 소프트웨어 설계 및 카드 소유자 데이터를 보호하기 위한 기타 조치에 대한 규정 목록으로 구성되어 있습니다.

PCI DSS 버전 1.1은 2006년 9월에 출시된 가장 최신 버전의 표준입니다. 이 버전은 6가지 원칙과 12가지 관련 규정 그룹으로 구성되어 있습니다. 각 규정에는 이에 따른 프로세스, 정책 또는 기술 솔루션에 대한 하위 규정이 포함되어 있습니다. PCI DSS 정책 및 규정은 다음과 같습니다.

  • 보안 네트워크 구축 및 유지 관리

    • 규정 1: 카드 소유자 데이터를 보호하기 위한 방화벽 구성을 설치 및 유지 관리한다.

    • 규정 2: 시스템 암호 및 기타 보안 매개 변수에 대해 공급업체가 제공하는 기본값을 사용하지 않는다.

  • 카드 소유자 데이터 보호

    • 규정 3: 저장된 카드 소유자 데이터를 보호한다.

    • 규정 4: 개방된 공용 네트워크에서는 카드 소유자 데이터 전송을 암호화한다.

  • 보안 취약점 관리 프로그램 유지 관리

    • 규정 5: 바이러스 백신 소프트웨어를 사용하고 정기적으로 업데이트한다.

    • 규정 6: 보안 시스템 및 응용 프로그램을 개발하고 유지 관리한다.

  • 강력한 액세스 제어 조치

    • 규정 7: 업무에 반드시 필요한 경우에만 카드 소유자 데이터에 액세스할 수 있도록 제한한다.

    • 규정 8: 컴퓨터 액세스 권한이 있는 각 사용자에게 고유한 ID를 할당한다.

    • 규정 9: 카드 소유자 데이터에 대한 실제 액세스를 제한한다.

  • 네트워크의 정기적인 모니터링 및 테스트

    • 규정 10: 네트워크 리소스 및 카드 소유자 데이터에 대한 모든 액세스를 추적하고 모니터링한다.

    • 규정 11: 보안 시스템 및 프로세스를 정기적으로 테스트한다.

  • 정보 보안 정책 유지 관리

    • 규정 12: 정보 보안을 처리하는 정책을 유지한다.

규정 9와 12의 경우에는 기술 솔루션을 구현할 필요가 없지만, 규정 9의 경우에는 카드 소유자 데이터가 보관 및 처리되는 장소에 대한 실질적인 보안 문제를 해결하도록 지시하고 있습니다. 여기에는 건물 접근 보안, 감시 장치 설치 및 유지 관리, 해당 시설에서 근무하거나 일시적으로 방문하는 모든 개인에 대한 신원 확인 요구 등이 포함될 수 있습니다. 규정 12는 정보 보안 정책을 만든 후 사내에서 카드 소유자 데이터를 사용하게 되는 직원, 공급업체 및 기타 대상에게 전달하라는 지침입니다.

PCI DSS 준수 계획

PCI DSS 준수 솔루션을 단독으로 수립하는 것은 효율적인 측면이나 비용 측면에서 바람직하지 않습니다. PCI DSS 규정을 준수하기 위한 접근 방식을 계획할 때는 여러 기타 규정을 다각도로 고려해야 합니다. 이같이 고려해야 하는 규정에는 다음과 같은 것이 있습니다.

  • 사베인스-옥슬리 법안(SOX: 회계 개혁 법)

  • 그램-리치 블라일리 법안(GLBA: 금융 개혁 법)

  • 의료 보험 양도 및 책임에 관한 법안(HIPAA)

  • 유럽 연합 데이터 보호 법안(EUDPD)

  • 정보 보안 관리에 대한 ISO 17799:2005 실행 준칙(ISO 17799)

참고   다국적 기업의 경우에는 사업 영역에 속하는 모든 지역의 정부 규정을 준수해야 합니다. 법률 고문을 통해 해당되는 모든 지역의 규정을 명확히 파악하는 것이 좋습니다.

이러한 각 규정에 대한 준수 계획에 대한 자세한 내용은 규정   준수   계획   가이드 (영문)를 참조하십시오.

조직에서 PCI DSS 준수 솔루션을 구축할 때는 다음 두 가지 사항을 반드시 염두에 두어야 합니다.

  • 다른 규정 요구 사항을 충족하는 기존 솔루션

  • 모든 규정 요구 사항을 충족하는 새 솔루션을 구축하는 최선의 방법

PCI DSS 규정을 효율적이고 효과적으로 준수하기 위해서는 조직의 규정 준수 목적을 만족하는 데 도움을 주는 제어 프레임워크를 사용하는 것이 좋습니다. 조직은 제어 프레임워크를 사용하여 해당되는 규정 및 표준을 프레임워크에 매핑할 수 있습니다. 이로써 기업은 개별 규정이 아닌 프레임워크에 정의된 요구 사항을 충족하는 데 IT 통제 노력을 집중할 수 있게 됩니다.

또한 조직에 영향을 주는 새로운 규정과 표준이 있는 경우, 해당 내용을 프레임워크에 매핑하면 규정이 변경된 프레임워크의 부분에만 노력을 집중할 수 있습니다. 아울러 카드 결제 산업 보안 규정, 내부 정책과 같이, 산업별 요구 사항을 비롯한 광범위한 IT 통제 관련 요구 사항을 프레임워크에 매핑할 수도 있습니다.

이와 같이 프레임워크는 조직의 규정 준수 과정에서 다양한 이점을 제공합니다. 해당 프레임워크 기반 접근 방법을 통해 조직은 다음과 같은 이득을 얻을 수 있습니다.

  • IT 통제를 결합하여 PCI DSS 및 EUDPD에서 개발한 규정 표준 등 다양한 규정 표준을 충족할 수 있기 때문에 감사를 여러 번 별도 수행할 필요가 없습니다.

  • 새로운 규정이 도입되는 즉시 신속하게 처리합니다.

  • 가장 큰 영향을 미치는 IT 통제 사항을 선택하여 우선 순위를 정합니다.

  • 회사 내의 여러 부서에서 규정을 준수하여 작업이 중복되는 것을 방지합니다.

  • 조직의 기존 IT 통제 상황을 점차 개선함으로써 현재 규정을 효율적인 방향으로 업데이트합니다.

  • IT 부서와 감사 담당자 간에 공통된 토대를 마련합니다.

물론 준수 조치를 계획할 때 PCI DSS 자체에 대한 검토도 필요합니다. PCI DSS는 https://www.pcisecuritystandards.org/pdfs/pci_dss_v1-1.pdf에서 다운로드할 수 있습니다. 또한 PCI 보안 표준 협의회는 조직이 PCI DSS 준수 여부를 파악하는 데 도움을 줄 수 있는 자체 평가 문항을 제작해 왔습니다. 조직의 PCI DSS 준수 조치를 계획하는 과정에서 이 문항 목록이 도움이 될 수도 있습니다. PCI DSS 자체 평가 문항은 https://www.pcisecuritystandards.org/pdfs/pci_saq_v1-0.pdf에서 다운로드할 수 있습니다.

제어 프레임워크의 IT 통제를 사용한 규정 요구 사항 처리에 대한 자세한 내용은  규정   준수   계획   가이드(영문)를 참조하십시오.

PCI DSS 감사 프로세스

PCI DSS 준수 여부에 대한 감사 프로세스는 일반적으로 규정   준수   계획   가이드 (영문)에 설명된 프로세스와 비슷합니다. 그러나 PCI DSS 감사와 관련하여 알아 두어야 할 몇 가지 사항이 있습니다.

PCI DSS 감사 검토는 QSA(Qualified Security Assessor) 및 ASV(Approved Scanning Vendor)라고 하는 두 가지 종류의 타사 조직에 의해 수행됩니다. QSA는 현장 감사 업무를 담당하는 반면 ASV는 조직의 인터넷 접속 환경에 대한 보안 취약점 검사를 수행합니다. QSA 및 ASV로 선정된 기업은 PCI DSC(데이터 보안 협의회)로부터 1년에 한 번씩 평가 및 승인을 받아야 합니다.

QSA의 경우에는 조직을 감사한 후에 PCI DSC에서 정의한 특정 지침을 준수하여 보고서를 준비해야 합니다. 이러한 지침은 PCI 감사 절차 문서(https://www.pcisecuritystandards.org/pdfs/pci_audit_procedures_v1-1.pdf)에 수록되어 있습니다. 이 지침에는 QSA에서 감사 후에 작성해야 하는 보고서의 구성 방식이 나와 있습니다. 지침에 따라 보고서에 포함되어야 하는 내용으로는 조직의 연락처 정보, 감사 날짜, 요약, 작업 범위에 대한 설명, 조직 감사 시 QSA가 사용한 방식, 분기별 검사 결과 및 QSA가 확인한 사항 및 결과 등이 있습니다. 특히 마지막 섹션에는 조직의 PCI DSS 준수에 대한 다양한 정보가 담기게 됩니다. QSA는 이 섹션에서 조직의 각 PCI DSS 규정 및 하위 규정 준수 상황을 보고하는 템플릿을 사용합니다.

조직의 PCI DSS 감사 일정을 잡기 전에 조직의 핵심 구성원이 PCI DSS 감사 절차를 검토하는 절차가 필요합니다. 이러한 절차가 PCI DSS 준수 절차를 계획하는 동안 이루어진다면 더욱 바람직할 것입니다. 감사 중에 QSA가 검토할 사항을 완전히 파악하는 데 도움이 되기 때문입니다.

ASV의 경우에는 조직의 인터넷 접속 환경에 대한 보안 취약점 검사 결과 보고서를 준비해야 합니다. 이 보고서에 대한 지침은 PCI 검사 절차 문서(https://www.pcisecuritystandards.org/pdfs/pci_scanning_procedures_v1-1.pdf)에 포함되어 있습니다. 이 문서에는 ASV가 검사해야 하는 조직의 환경 요소 정의와 함께 ASV 보고서를 읽고 해석하는 데 참고할 수 있는 핵심 정보가 수록되어 있습니다.

판매점이나 서비스 공급업체에서는 각 카드 결제 업체의 규정 준수 보고 요건에 따라 해당 회사에 규정 준수 상태를 알려야 합니다. 다시 말해, Visa/American Express와 관련된 카드 소유자 데이터를 처리하는 서비스 공급업체가 있다면 Visa와 American Express에 준수 보고서를 제출해야 합니다.

카드 결제 업체마다 준수 규칙 및 절차가 약간씩 다를 수 있습니다. 판매점과 서비스 공급업체의 규정 준수를 지원하기 위해 각 회사가 제공하는 지원 프로그램 및 특정 PCI DSS 준수 규정에 대한 자세한 내용은 해당 조직이 처리, 전송, 보관하는 카드 소유자 데이터 관련 카드 결제 업체에 문의하십시오.

PCI DSS 규정 준수

이 단원에서는 PCI DSS 준수를 계획할 때 조직이 고려할 수 있는 Microsoft 기술 솔루션에 대해 자세히 설명합니다. 선택된 솔루션은 조직의 일상적인 작업에 널리 사용되어야 합니다. PCI DSS 준수 계획 단원에 설명된 것과 마찬가지로, 조직의 정책, 절차, 기술 솔루션을 결정할 때는 전 조직의 규정 준수 사항과 함께 PCI DSS 준수가 회사의 모든 부서에 끼칠 영향을 고려해야 합니다.

IT 통제 사항을 기술 솔루션에 매핑할 때 고려해야 할 사항에 대한 자세한 내용은 규정   준수   계획   가이드 (영문)를 참조하십시오.

문서 관리

문서 관리 솔루션은 소프트웨어 및 프로세스를 결합시켜 흩어져 있는 조직의 정보를 관리하는 데 도움을 줍니다. 이 정보는 문서, 이미지, 오디오, 비디오 파일, XML 파일을 비롯한 다양한 디지털 형식으로 존재할 수 있습니다.

PCI DSS 규정 준수 항목

문서 관리 솔루션을 구현하면 두 가지 측면에서 PCI DSS 준수에 도움을 줄 수 있습니다. 첫째, 이러한 솔루션을 사용하여 카드 소유자 데이터가 들어 있는 문서를 관리하면 데이터 액세스, 관리 및 보호와 관련된 PCI DSS 규정을 지키는 데 도움이 될 수 있습니다. 특히 문서 관리 솔루션은 규정 7과 하위 규정 10.2.1을 충족하는 데 사용할 수 있습니다. 둘째, 문서 관리 시스템을 사용하면 3.6, 6.4, 9.2 및 12 조항 등을 준수하는 데 필요한 정책을 관리하고 문서화하여 게시할 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 문서 관리와 관련하여 IT를 통제하기 위해 함께 또는 독립적으로 사용할 수 있는 다양한 기술을 제공합니다. 이러한 통제 사항은 PCI DSS 규정뿐만 아니라 해당되는 기타 규정 요구 사항을 충족할 수 있도록 설계되어야 합니다.

  • Microsoft® Windows® Rights Management Services. Windows RMS(Rights Management Services)는 응용 프로그램이 온/오프라인 상태의 방화벽 내/외부에서 디지털 정보가 무단으로 사용되지 않도록 보호하는 소프트웨어 플랫폼입니다. RMS는 Microsoft Office 및 Windows SharePoint® Services에 포함되어 있는 IRM(정보 권한 관리) 기능을 기반으로 하는 기술입니다. 이러한 기능을 사용하려면 RMS 서버를 사내에 배포하거나 호스트된 서비스를 통해 액세스해야 합니다.

    RMS는 정보의 위치에 상관없이 지속적인 사용 정책을 통해 정보를 보호함으로써 조직의 보안 전략을 강화할 수 있습니다. RMS 기반 응용 프로그램을 통해 얻을 수 있는 기능에는 카드 소유자 정보가 들어 있는 문서에 대한 액세스 관리, 제어, 감사 등이 있습니다. RMS 클라이언트는 Windows Vista™ 운영 체제에 통합되어 있으며, 다른 Windows 버전의 경우에는 무료로 다운로드하여 사용할 수 있습니다.
    자세한 내용은 Windows Rights Management Services(http://www.microsoft.com/rms)를 참조하십시오.

  • Microsoft Office SharePoint Server. SharePoint Server는 공동 작업 및 콘텐츠 관리 서버로서, 조직의 포털 및 문서 관리 요건을 지원하는 단일 통합형 플랫폼입니다. 또한 전사적으로 인트라넷, 엑스트라넷 및 웹 응용 프로그램을 지원할 뿐 아니라, IT 전문가 및 개발자들에게는 서버 관리, 응용 프로그램 확장 및 상호 운용에 필요한 플랫폼과 도구를 제공합니다. SharePoint Server는 카드 소유자 데이터가 들어 있는 문서를 비롯, 정책 및 프로세스를 설명하는 문서의 중앙 저장소로 사용될 수 있습니다. SharePoint Server 2007은 RMS와 통합되므로 SharePoint Server 2007에서 다운로드한 모든 콘텐츠 사본에 액세스 제어 정책을 적용할 수 있습니다. 이 기능을 통해 사이트 관리자는 IRM을 사용하여 문서 라이브러리에서 다운로드한 정보를 보호할 수 있습니다. 사용자가 라이브러리에서 파일을 다운로드하려고 시도하면 Microsoft Windows SharePoint Services에서 지정된 파일에 대한 해당 사용자의 사용 권한을 확인하고 적절한 사용 권한 수준에서 해당 파일에 액세스할 수 있는 라이선스를 발급합니다. Windows SharePoint Services는 해당 파일을 암호화된 권한 관리 파일 형식으로 사용자의 컴퓨터에 다운로드합니다.
    자세한 내용을 보려면 Microsoft SharePoint 제품 및 기술 웹 사이트(http://go.microsoft.com/fwlink/?linkid=12632)를 방문하십시오.

  • Microsoft Exchange Server. 오늘날 대부분의 기업에서 전자 메일은 직원들이 최선의 결과를 얻기 위해 사용해야 하는 업무 관련 커뮤니케이션 도구입니다. 전자 메일에 대한 의존도가 높아지면서 주고받는 메시지 수, 전자 메일을 통해 수행되는 업무 양과 다양성은 물론 업무 자체의 속도까지 증가했습니다. Exchange Server는 PCI DSS 준수 목표를 달성하는 데 도움을 주는 동시에 조직의 정보 교환을 관리하는 풍부한 메시징 플랫폼 역할을 합니다. Exchange Server 2007에는 사용자에게 전송된 전자 메일, 음성 메일 및 팩스를 하나의 받은 편지함에 통합하는 통합 메시징 기능이 포함되어 있습니다. 또한 보존 규칙의 적용, 전송 중인 메시지의 검사/처리, 유연한 저널링, 배포된 모든 사서함에 대한 서식 있는 텍스트 검색 관련 기능도 제공합니다.
    자세한 내용은 Microsoft Exchange Server 웹 사이트(http://www.microsoft.com/exchange/default.mspx)를 참조하십시오.

  • Microsoft Office. Office는 기업용 비즈니스 응용 프로그램 제품군입니다. Microsoft Office의 IRM 기능은 조직이 카드 소유자 데이터와 같은 중요한 정보에 대한 액세스를 제어하도록 도와줍니다.

    특히 조직은 Office IRM 기능을 통해 다음과 같은 이득을 얻을 수 있습니다.

    • 보호된 정보를 수신한 승인된 사용자가 무단으로 정보를 전달, 복사, 수정, 인쇄, 팩스로 전송 또는 잘라내어 붙여넣기하지 못합니다.

    • 보호된 정보는 Windows 화면 인쇄 기능을 통해 복사되지 않습니다.

    • 정보의 위치에 상관없이 동일한 수준의 보호가 제공됩니다. 이것을 지속적 보호라고 합니다.

    • Microsoft Excel® 또는 Microsoft Word와 같은 기타 Office 프로그램으로 만든 전자 메일 첨부 파일에도 동일한 수준의 보호를 제공합니다.

    • 만료되도록 설정된 전자 메일 메시지 또는 문서의 정보를 보호하여 지정한 기간 후에는 해당 정보를 더 이상 볼 수 없도록 합니다.

    • 회사 내/외부에 정보 사용 및 전달을 관리하는 기업 정책을 적용합니다.

    • 자세한 내용은 Microsoft Office 웹 사이트(http://office.microsoft.com/en-us/default.aspx)를 참조하십시오.

위험 평가

위험 평가는 조직이 위험을 식별하고 업무에 따른 우선 순위를 지정하는 프로세스입니다. 일반적으로는 정보 처리 시스템의 자산, 자산에 대한 위협 요인 및 이러한 위협에 대한 시스템의 취약성을 중점으로 파악하는 체계적인 방법을 사용합니다. 그러나 규정 준수의 맥락에서 위험 평가는 사내의 준수 수준 및 준수 부적합성을 평가하는 프로세스라고 할 수 있습니다. PCI DSS 준수 절차를 계획하면서 카드 소유자 데이터에 대한 위험을 식별하고 이러한 위험의 우선 순위를 정하는 것이 중요합니다.

PCI DSS 규정 준수 항목

위험 평가는 PCI DSS 규정 준수 과정에 있어 여러모로 유용합니다. 규정 준수를 위해 업그레이드해야 하는 네트워크 영역을 식별할 수 있을 뿐 아니라, 1차 준수 과정이 적절히 수행된 후에도 준수 상태가 유지되는지 여부를 확인하기 위해 지속적으로 활용할 수 있기 때문입니다. 이러한 과정은 잠재적인 여러 문제점을 해결해 줄 수 있으므로 규정 1, 3, 4, 5, 6, 7, 8, 11을 비롯한 여러 PCI DSS 규정을 준수하는 데 도움이 될 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 위험 평가와 관련하여 IT를 통제하기 위해 함께 또는 독립적으로 사용할 수 있는 다양한 기술을 제공합니다. 이러한 통제 사항은 PCI DSS 규정뿐만 아니라 해당되는 기타 규정 요구 사항을 충족할 수 있도록 설계되어야 합니다.

  • MBSA(Microsoft Baseline Security Analyzer). 조직에서 카드 소유자 데이터에 대한 위험을 평가하는 데 사용할 수 있는 대표적인 도구로 MBSA를 들 수 있습니다. MBSA는 Microsoft Windows 운영 체제, 인터넷 정보 서비스(IIS), SQL Server™, Microsoft Internet Explorer® 및 Microsoft Office를 비롯한 다양한 Microsoft 제품에서 일반적으로 나타나는 보안 구성 오류를 식별하는 편리한 도구로서, 누락된 보안 업데이트, 업데이트 롤업 및 Microsoft Update에 게시된 서비스 팩 검색 작업도 수행합니다. MBSA는 명령 프롬프트나 해당 GUI를 통해 실행할 수 있으며 Microsoft Update 및 Microsoft Windows Server® Update Services와 함께 사용할 수도 있습니다. 시스템을 최신 상태로 유지하는 작업은 카드 소유자 데이터의 보안을 유지하는 데 매우 중요한 요소이므로 MBSA는 조직의 데이터 위험 평가에 유용한 도구가 됩니다.

    MBSA에 대한 자세한 내용은 Microsoft Baseline Security Analyzer(http://www.microsoft.com/technet/security/tools/mbsahome.mspx)를 참조하십시오.

  • Microsoft Systems Management Server. 조직에서 Microsoft Systems Management Server(SMS)를 통해 클라이언트 컴퓨터 및 서버를 관리하고 있다면 카드 소유자 데이터에 대한 위험 평가를 수행하는 데 필요한 도구는 어느 정도 갖춰진 셈입니다. SMS를 사용하면 분산 네트워크를 통해 Windows 운영 체제가 실행되는 컴퓨터의 보안 설정을 원격으로 관리할 수 있습니다. 또한 네트워크의 컴퓨터에 필요한 소프트웨어 업데이트가 설치되어 있는지 검토하고 이러한 컴퓨터의 업데이트 롤아웃 진행 과정을 추적할 수도 있습니다. SMS에는 전체 하드웨어 및 소프트웨어 인벤토리, 네트워크에 있는 컴퓨터의 구성 정보와 상태, 소프트웨어 배포 상태와 배포 오류를 식별하는 보고서 작성 기능이 있습니다. 이러한 SMS 기능은 사내 카드 소유자 데이터에 대한 위험을 평가하는 데 매우 유용하게 사용될 수 있습니다.

    SMS에 대한 자세한 내용은 Microsoft Systems Management Server 홈 페이지(http://www.microsoft.com/smserver/default.mspx)를 참조하십시오.

  • Microsoft System Center Operations Manager Audit Collection. Operations Manager 2007은 Windows 운영 체제에서 보안 로그를 안전하고 효율적으로 추출하고 수집한 후 분석 및 보고 작업을 위해 보관할 수 있는 도구입니다. 추출된 로그는 별도의 Audit Collection 데이터베이스에 저장됩니다. 이 Audit Collection 데이터를 사용하여 보고서를 생성할 수도 있습니다. Audit Collection은 사베인스-옥슬리 감사 지원과 같은 다양한 준수 보고서를 생성하고 침입 감지 및 무단 액세스 시도와 같은 보안 상황을 분석하는 데 사용할 수도 있습니다.

    자세한 내용은 Audit Collection Services(http://technet.microsoft.com/en-us/library/bb381258,aspx)를 참조하십시오.

  • Windows Server Update Services. Windows Server Update Services 서비스 팩 1을 사용하면 Microsoft Update 사이트에 게시된 다양한 최신 Microsoft 제품 업데이트를 배포할 수 있습니다. Windows Server Update Services는 Windows Server의 업데이트 구성 요소로, 시스템을 빠르고 효과적으로 최신 상태로 유지해 줍니다. WSUS는 다음과 같이 구성된 위험 평가 인프라를 제공합니다.

    • Microsoft Update. Microsoft 제품 업데이트를 위해 WSUS 구성 요소가 접속하는 Microsoft 웹 사이트입니다.

    • Windows Server Update Services 서버. 회사 방화벽 내의 Microsoft Windows 2000 Server 서비스 팩 4(SP4) 또는 Windows Server 2003 운영 체제 실행 컴퓨터에 설치되는 서버 구성 요소입니다. 관리자는 Windows Server Update Services 서버의 기능을 사용하여 회사 네트워크 내 Windows 컴퓨터의 Internet Explorer를 통해 웹 기반 도구에 액세스하는 방식으로 업데이트를 관리하고 배포합니다. 또한 Windows Server Update Services 서버를 통해 다른 Windows Server Update Services 서버를 업데이트할 수도 있습니다.

    • 자동   업데이트. Microsoft Windows Vista, Windows Server 2003, Windows XP 및 Windows 2000 서비스 팩 3 운영 체제에 기본적으로 제공되는 클라이언트 컴퓨터 구성 요소입니다. 자동 업데이트를 사용하면 서버 및 클라이언트 컴퓨터 모두 Microsoft Update 또는 Windows Server Update Services 실행 서버에서 업데이트를 받을 수 있습니다.

    이러한 서비스를 사용하면 지정된 호스트에 설치되어 있는 제품에 대한 최신 보안 수정 프로그램을 Microsoft로부터 받아 네트워크의 모든 호스트 환경에 제공할 수 있습니다.

    자세한 내용은 Windows Server Update Services 홈 페이지(http://www.microsoft.com/windowsserversystem/updateservices/default.mspx)를 참조하십시오.

  • 그룹 정책. 그룹 정책은 IT 전문가가 사용자 및 컴퓨터에 정해진 구성을 적용할 수 있도록 지원하는 인프라입니다. 그룹 정책 설정은 Microsoft Active Directory® 디렉터리 서비스 컨테이너인 사이트, 도메인 또는 OU(조직 구성 단위)에 연결된 GPO(그룹 정책 개체)에 포함되어 있습니다. 이러한 그룹 정책을 사용하면 분산 네트워크의 컴퓨터를 중앙에서 관리할 수 있습니다. 그룹 정책을 사용하면 관리자가 하나의 사이트, 도메인, 또는 특정 범위의 조직 구성 단위에서 소프트웨어를 배포할 수 있기 때문에 조직의 IT 환경에 발생한 위험을 파악하는 데 유용합니다.

    그룹 정책 설정을 관리하기 위해서는 Microsoft GPMC(그룹 정책 관리 콘솔)를 사용할 수 있습니다. GPMC는 그룹 정책 관리를 단순화하여 단일 지점에서 그룹 정책의 핵심 측면을 관리할 수 있도록 설계되었습니다. 다음과 같은 GPMC의 기능은 많은 고객들이 필요로 하는 그룹 정책 배포 요구 사항을 해결합니다.

    • 그룹 정책 사용을 보다 간편하게 만드는 UI(사용자 인터페이스)

    • GPO 백업 빛 복원 기능

    • GPO 및 WMI(Windows Management Instrumentation) 필터 가져오기/내보내기 및 복사하여 붙여넣기 기능

    • 그룹 정책 관련 보안을 관리하는 간편한 방법

    • GPO 설정 및 RSoP(정책 결과 집합) 데이터의 HTML 보고서를 생성하는 기능

    • GPMC가 제공하는 GPO 작업(GPO 내의 설정 제외)을 스크립팅하는 기능

    자세한 내용은 Windows Server 2003 그룹 정책(http://technet2,microsoft.com/windowsserver/en/technologies/featured/gp/default.mspx)과 그룹 정책 관리 콘솔 소개(http://www.microsoft.com/windowsserver2003/gpmc/gpmcintro.mspx)(영문)를 참조하십시오.

변경 관리

변경 관리는 조직이 프로젝트 계획, IT 인프라, 소프트웨어 배포 또는 조직의 기타 프로세스나 절차의 변경 사항을 평가할 수 있는 체계적인 프로세스입니다. 변경 관리 시스템은 변경 사항의 정의, 그에 따른 영향 평가, 변경에 필요한 작업 결정 및 변경 정보의 사내 전달과 같은 작업에 도움을 줍니다. 또한 변경 사항을 전사적으로 추적하는 데도 사용할 수 있어 원하는 방식으로 IT 환경에 변화를 줄 수 있습니다.

예를 들어 예전의 데이터를 기반으로 과거에 시도된 비슷한 변경의 성공 또는 실패 사례를 참고하여 앞으로 더 나은 결정을 내릴 수 있는 데이터베이스를 갖출 수 있게 됩니다. 변경 관리는 변경에 의해 영향을 받는 모든 대상에게 해당 사실과 상태를 알려 주는 체계적인 프로세스도 됩니다. 결과적으로 과거에 수행된 작업 및 해당 작업이 주요 리소스의 상태에 영향을 미친 시기를 알려 주는 인벤토리 시스템을 갖추게 되어, 문제 예측 및 해결, 리소스 관리 단순화 과정에서 큰 도움을 얻을 수 있습니다.

PCI DSS 규정 준수 항목

다른 규정 준수 조치와 마찬가지로 변경 관리 역시 PCI DSS 규정 준수에서 중요한 요소입니다. 조직에서 지금까지의 IT 환경 변화 과정을 모른다면 환경의 안전성을 검증하는 것이 어렵게 됩니다. 네트워크, 시스템, 정책 및 절차의 변경 내역을 추적하면 PCI DSS 규정 6과 11을 충족하는 데 도움이 됩니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 변경 관리 솔루션을 설계할 때 고려할 수 있는 여러 가지 기술을 제공합니다.

  • Microsoft Office SharePoint Server. Microsoft Office SharePoint Server는 문서 관리 솔루션에 대한 기술 옵션으로 사용될 뿐만 아니라 조직의 변경 관리 시스템에서 핵심 요소로 작동할 수도 있습니다. 제공되는 버전 추적 기능을 사용하면 시간에 따른 정책 및 프로세스 문서의 변경 내역, 응용 프로그램의 업데이트 및 기타 변경 사항, 승인된 소프트웨어의 변경 내역 등을 모니터링할 수 있습니다.

    자세한 내용은 문서 관리 단원과 Microsoft SharePoint 제품 및 기술 웹 사이트(http://go.microsoft.com/fwlink/?linkid=12632)를 참조하십시오.

  • Microsoft Systems Management Server. SMS를 사용하면 조직의 위험 평가를 관리하고, 해당 관리 기능을 사용하여 조직의 컴퓨터 시스템에서 발생한 변경 사항을 추적할 수 있습니다. 이 프로그램은 보안 설정의 변경 내역과 네트워크의 서버 및 클라이언트 컴퓨터에 설치된 응용 프로그램을 추적합니다. 또한 SMS에서 기본적으로 제공하는 강력한 보고 기능은 조직의 컴퓨터에서 발생한 변경 사항과 함께 해당 내용이 정립된 보안 요건을 만족하는지 여부를 검토해 줍니다.

    SMS에 대한 자세한 내용은 Microsoft Systems Management Server 홈 페이지(http://www.microsoft.com/smserver/default.mspx)를 참조하십시오.

  • Microsoft SMS 2003 Desired Configuration Monitoring 2.0. SMS 2003 DCM(Desired Configuration Monitoring) 기능으로 SMS 작업을 향상시킬 수 있습니다. DCM은 필요하거나 정의된 구성 설정과 실제 구성 설정 간의 구성 관리 감사를 자동으로 수행해 줍니다. 사용자는 이를 통해 필요한 하드웨어, 운영 체제 및 응용 프로그램 구성 설정을 여러 구성 데이터 원본에서 정의할 수 있습니다. 그 후에는 제공된 감사 엔진을 통해 실제 설정과 필요한 설정을 비교한 구성 호환성 보고서를 확인할 수도 있습니다.

    DCM은 갑작스러운 서비스 작동 중단 시간을 줄이고 구성 데이터를 상호 연관시키며 지원 비용을 절감하는 데 도움을 주는 도구입니다. 또한 하드웨어 및 소프트웨어 구성 항목을 정의하기 위해 간편하게 사용할 수 있는 XML 편집 도구와 안내를 제공합니다. 구성 오류를 검색하고 해결하는 데 도움을 주는 자세한 호환성 보고서도 제공됩니다.

  • Microsoft Desktop Optimization Pack for Software Assurance. Microsoft Desktop Optimization Pack for Software Assurance는 일종의 구독 서비스로서, 응용 프로그램 배포 비용을 절감하고 응용 프로그램을 서비스로 전달하며 엔터프라이즈 데스크톱 환경의 관리 및 제어를 향상시키는 역할을 합니다. 이 데스크톱 최적화 팩은 다음을 통해 변경 관리 프로세스 및 롤백을 향상시켜 줍니다.

    • 그룹 정책 관리 향상

    • 작동 중단 시간 감소

    • 승인된 사용자가 필요할 때 응용 프로그램에 액세스하도록 허용

    Microsoft Desktop Optimization Pack은 데스크톱에 Software Assurance가 적용되는 고객만 사용할 수 있습니다. 자세한 내용은 Windows 데스크톱 최적화(http://www.microsoft.com/windows/products/windowsvista/buyorupgrade/optimizeddesktop.mspx)(영문)를 참조하십시오.

네트워크 보안

네트워크 보안 솔루션은 방화벽, 서버, 클라이언트, 라우터, 스위치 및 액세스 지점을 비롯하여 조직에서 사용되는 네트워크의 모든 측면에서 보안 문제를 해결하도록 설계된 광범위한 솔루션 범주로 구성됩니다. 조직 네트워크의 보안을 계획 및 모니터링하는 일은 PCI DSS 규정을 준수하는 핵심 요소입니다. 네트워크 보안 문제를 해결하는 데 사용할 수 있는 다양한 솔루션이 있지만 조직에는 보안 네트워크의 여러 요소가 이미 갖추어져 있을 가능성이 높습니다. 새로 시작하는 것보다는 이미 구현한 네트워크 보안 솔루션에서 구축하는 것이 좀 더 효율적이고 비용 효과적일 수 있습니다.

이렇듯 조직이 사용하는 기술에 변화를 주거나 아직 네트워크 보안 전략에 포함시키지 않은 새 솔루션을 구현할 수도 있습니다. Microsoft는 조직의 요구를 충족하는 네트워크 보안 솔루션을 구현하기 위한 몇 가지 기술 솔루션과 지침을 제공합니다.

PCI DSS 규정 준수 항목

카드 결제 산업 데이터 보안 표준은 규정 준수를 위해 조직 전반에 걸쳐 보안 네트워크를 설정해야 한다는 점을 명시하고 있습니다. 정책 1은 조직이 규정 준수를 위해 보안 네트워크를 구축 및 유지 관리해야 함을 명시하고 있습니다. 규정 1은 조직이 카드 소유자 데이터를 보호하기 위해 방화벽 구성을 설치 및 유지 관리해야 함을 명시하며, 규정 2는 조직이 시스템 암호 및 기타 보안 매개 변수에 대한 공급업체 제공 기본 설정을 변경해야 함을 명시합니다. 네트워크 보안 솔루션을 사용하면, 그 밖에도 네트워크를 통한 카드 소유자의 데이터 전송을 암호화하고 네트워크 액세스를 추적 및 모니터링할 것을 의무화하는 규정 4와 10도 충족할 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft에서 앞의 두 가지 PCI DSS 규정을 준수하기 위해 제공하는 기술은 다음과 같습니다.

  • Microsoft Windows 방화벽. Windows XP 서비스 팩 2(SP2)에는 ICF(인터넷 연결 방화벽)를 대신하는 Windows 방화벽이 포함되어 있습니다. Windows 방화벽은 상태 저장 호스트 기반 방화벽으로서, 컴퓨터의 요청에 의한 응답으로 전송된 트래픽(요청된 트래픽) 또는 허용하도록 지정한 요청하지 않은 트래픽(예외 트래픽) 중 어디에도 해당되지 않는 요청하지 않은 수신 트래픽을 삭제합니다. Windows 방화벽은 네트워크의 컴퓨터를 공격하기 위해 요청되지 않은 수신 트래픽을 사용하는 악의적인 사용자 및 프로그램을 차단하는 역할을 합니다. 이러한 기능은 Windows Vista 및 Windows Server “Longhorn”에서 제공되는 고급 보안이 포함된 Windows 방화벽에서 더욱 향상되었습니다.

    고급 보안이 포함된 Windows 방화벽을 사용하면 MMC(Microsoft Management Control) 스냅인을 통해 구성한 설정에 따라 양 방향의 연결을 차단할 수 있습니다. 이 스냅인에는 Windows 방화벽을 로컬로 구성하기 위한 인터페이스뿐만 아니라 원격 컴퓨터에서 그룹 정책을 사용하여 Windows 방화벽을 구성하기 위한 인터페이스도 제공됩니다. 이제는 방화벽 기능에 IPSec(인터넷 프로토콜 보안) 보호 설정이 통합되어 두 보호 메커니즘 간의 충돌 가능성이 낮아졌습니다. 고급 보안이 포함된 Windows 방화벽 환경에서는 컴퓨터가 도메인에 가입되어 있거나 개인 또는 공용 네트워크에 연결되어 있을 때 별도의 프로필을 사용할 수 있습니다. 또한 서버 및 도메인 격리 정책을 적용하기 위한 규칙을 만들 수도 있습니다. 고급 보안이 포함된 Windows 방화벽은 Microsoft Active Directory 사용자 및 그룹, 원본 및 대상 IP(인터넷 프로토콜) 주소, IP 포트 번호, ICMP 설정, IPsec 설정, 특정 유형의 인터페이스, 서비스 등을 비롯하여 보다 세밀한 규칙을 지원합니다.

    자세한 내용은 Windows 방화벽(http://www.microsoft.com/technet/network/wf/default.mspx)을 참조하십시오.

  • Microsoft Internet Security and Acceleration Server. ISA(Microsoft Internet Security and Acceleration) Server는 여러 방법으로 네트워크를 보호합니다. 첫째, ISA Server를 사용하면 인터넷을 통해 회사 응용 프로그램에 원격으로 액세스할 수 있습니다. 이를 위해 수신 사용자 요청을 사전 인증하고 응용 계층의 모든 트래픽(암호화된 트래픽 포함)을 검사하며 자동 게시 도구를 제공하도록 ISA Server를 구성할 수 있습니다. 둘째, 조직에서 운영하는 지사가 있는 경우, ISA Server를 사용하면 HTTP 압축, 콘텐츠 캐싱 및 VPN(가상 사설망) 기능을 통해 네트워크를 쉽고 안전하게 확장할 수 있습니다. 셋째, ISA Server를 사용하면 내외부의 인터넷 기반 위협으로부터 네트워크를 보호할 수 있습니다. ISA Server는 프록시 방화벽 아키텍처, 콘텐츠 검사 기능, 세밀한 정책 설정, 포괄적인 경고 및 모니터링 기능을 통해 이러한 역할을 제공합니다.

    자세한 내용은 Microsoft Internet Security and Acceleration Server(http://www.microsoft.com/isaserver/default.mspx)를 참조하십시오.

  • IPSec(인터넷 프로토콜 보안) 및 Active Directory 그룹 정책을 통한 서버 및 도메인 격리. 서버 및 도메인을 격리하면 종단 간 보호 계층이 형성되어 네트워크 리소스에 대한 악성 공격 및 무단 액세스의 위험을 크게 줄일 수 있습니다. Windows IPsec 및 Active Directory 그룹 정책에 기반을 둔 이 솔루션을 통해 보다 안전하고 격리된 논리 네트워크로 Windows 환경을 동적 분할할 수 있습니다. 네트워크를 격리할 때는 다음과 같은 다양한 방법을 상황에 맞게 사용할 수 있습니다. 관리되는 전체 도메인을 논리적으로 격리하거나 특정 서버, 중요한 데이터 및 클라이언트로 구성된 보다 안전한 가상 네트워크를 만들어 인증 및 허가된 사용자로만 액세스를 제한할 수 있습니다. 또는 특정 서버나 네트워크에서 암호화를 사용하여 모든 데이터를 보호하도록 요구하는 방법도 있습니다. 특정 네트워크 호스트나 네트워크 서브넷 간에 교환되는 트래픽에 대해 데이터 암호화를 요구하면 네트워크 통과 시 데이터 암호화에 대한 비즈니스 파트너 및 규정 요구 사항을 만족할 수 있습니다.

    자세한 내용은 Microsoft TechNet 사이트에서 서버 및 도메인 격리 홈 페이지(http://www.microsoft.com/technet/network/sdiso/default.mspx)를 참조하십시오.

  • Windows Server 2003 보안 구성 마법사. 보안 구성 마법사는 Windows Server 2003 서비스 팩 1 실행 서버의 공격 영역을 줄임으로써 네트워크를 보호할 수 있습니다. 보안 구성 마법사는 서버 역할에 필요한 최소 기능을 파악하고 필요하지 않은 기능은 사용하지 않도록 설정합니다. 특히 보안 구성 마법사에는 다음과 같은 기능이 있습니다.

    • 불필요한 서비스를 사용하지 않도록 설정합니다.

    • 사용되지 않는 포트를 차단합니다.

    • 열려 있는 포트에 주소 추가 또는 보안 제한을 허용합니다.

    • 가능한 경우 불필요한 IIS 웹 확장을 금지합니다.

    • SMB(서버 메시지 블록), LanMan 및 LDAP(Lightweight Directory Access Protocol) 내부로 프로토콜 노출을 줄입니다.

    • 높은 신호 대 잡음 감사 정책을 정의합니다.

    보안 구성 마법사는 IT 전문가가 보안 정책 작성, 편집, 적용, 롤백 작업을 선택된 서버 역할에 따라 수행하도록 안내합니다. 이 마법사에서 만들어지는 보안 정책은 경우에 따라 서비스, 네트워크 보안, 특정 레지스트리 값, 감사 정책 및 IIS를 구성하는 XML 파일의 형식입니다.

    자세한 내용은 Windows Server 2003용 보안 구성 마법사(http://www.microsoft.com/windowsserver2003/technologies/security/configwiz/defaul.mspx)를 참조하십시오.

  • 서버 인증을 통한 원격 데스크톱 연결. 원격 데스크톱 연결은 공유 클라이언트 컴퓨터와 서버에 액세스할 수 있도록 지원하는 강력한 도구로서, 비용 효과적으로 공유 환경 및 테스트 컴퓨터를 구축하는 방법이라고 할 수 있습니다. 또한 이러한 컴퓨터를 여러 유형의 프로젝트에 대한 중앙 액세스 지점으로 사용한 후, 네트워크 외부의 사용자 액세스를 허용하여 네트워크 보안에 대한 위험을 차단할 수 있습니다. IT 전문가는 원격 데스크톱 연결 6.0 클라이언트 업데이트를 통해 서버 인증을 구성할 수도 있습니다. 서버 인증을 사용하면 사용자들이 의도한 것과는 다른 컴퓨터 또는 서버에 연결되어 기밀 정보가 노출되는 일을 방지할 수 있습니다. Microsoft는 이 기능을 Windows Vista 및 Windows Server “Longhorn”에 도입했습니다. 원격 데스크톱 연결 6.0 클라이언트는 Windows Server 2003 서비스 팩 1 또는 Windows XP 서비스 팩 2(SP2) 실행 컴퓨터에서 사용할 수 있습니다. 이전처럼 클라이언트를 사용하여 레거시 터미널 서버나 원격 데스크톱에 연결할 수도 있지만 서버 인증은 원격 컴퓨터에서 Windows Vista 또는 Windows Server “Longhorn”이 실행될 때만 수행됩니다.

    자세한 내용은 Microsoft 다운로드 센터에서 "원격 데스크톱 연결 6.0 클라이언트 업데이트를 사용할 수 있다"(http://support.microsoft.com/kb/925876)를 참조하십시오.

  • Wi-Fi Protected Access 2. 조직에서 무선 네트워크를 사용할 때는 WPA2(Wi-Fi Protected Access 2) 제품 인증을 지원하는 무선 라우터, 액세스 지점 및 기타 장치로의 업그레이드를 고려해야 합니다. WPA2는 Wi-Fi Alliance에서 제공하는 제품 인증으로, 해당 무선 장비의 IEEE 802.11i 표준 호환성을 인증합니다. WPA2 인증의 목표는 WPA 지원 제품에 아직 포함되지 않은 IEEE 802.11i 표준의 추가 필수 보안 기능을 지원하는 것입니다. 예를 들어 WPA2는 TKIP 및 AES 암호화에 대한 지원을 모두 필요로 합니다. WPA2는 다음 두 모드로 사용할 수 있습니다.

    • WPA2-Enterprise는 802.1X 인증을 사용하며 중대 규모 인프라 모드 네트워크용으로 설계되었습니다.

    • WPA2-Personal은 인증에 PSK(미리 공유한 키)를 사용하며 소호 인프라 모드 네트워크용으로 설계되었습니다.

    WPA2는 Windows XP 서비스 팩 2, Windows Vista 및 Windows Server “Longhorn”에서 지원됩니다. 자세한 내용은 무선 LAN 기술과 Microsoft Windows(http://www.microsoft.com/technet/prodtechnol/winxppro/evaluate/wrlsxp.mspx) 및 WPA2(Wi-Fi Protected Access 2) 개요(http://www.microsoft.com/technet/community/columns/cableguy/cg0505,mspx)를 참조하십시오.

  • 네트워크 액세스 보호. NAP(네트워크 액세스 보호)는 Windows Server “Longhorn” 및 Windows Vista용 플랫폼입니다. 이 플랫폼에서 제공되는 정책 적용 구성 요소는 네트워크에 연결되어 있거나 네트워크에서 통신 중인 컴퓨터가 관리자에 의해 정의된 시스템 상태 요건을 만족하도록 도움을 줍니다. 조직에서는 정책 유효성 검사 및 네트워크 액세스 제한 구성 요소를 함께 사용하여 네트워크 액세스나 통신을 제어할 수 있습니다. 또한 요구 사항을 만족하지 않는 컴퓨터의 경우, 액세스할 수 있는 네트워크를 일시적으로 제한할 수 있습니다. 이렇게 제한된 네트워크에는 선택한 구성에 따라 제한 없는 네트워크 액세스 및 정상적인 통신 상태 요건을 충족하도록 컴퓨터를 업데이트할 수 있는 리소스를 포함시킬 수도 있습니다. NAP에는 개발자 및 공급업체가 상태 정책 유효성 검사, 네트워크 액세스 제한 및 지속적인 상태 준수를 위한 완전한 솔루션을 만들 수 있도록 지원하는 API(응용 프로그래밍 인터페이스)가 포함되어 있습니다. NAP는 IPsec, IEEE 802,1X 인증 네트워크 연결, VPN 및 DHCP(Dynamic Host Configuration Protocol)에 대해 제한된 액세스 적용 구성 요소를 제공합니다. 이러한 기술은 함께 또는 별도로 사용할 수 있습니다. NAP는 이러한 기능을 통해 네트워크의 상태 및 보안을 보장할 수 있는 강력한 도구가 됩니다.

    자세한 내용은 네트워크 액세스 보호(http://www.microsoft.com/technet/network/nap/default.mspx)를 참조하십시오.

  • Microsoft Virtual Server. Microsoft Virtual Server 2005 R2는 대부분의 주요 x86 운영 체제를 게스트 환경에서 실행하는 가상화 플랫폼입니다. Microsoft에서는 이 플랫폼을 Windows Server 운영 체제 및 Windows Server System 응용 프로그램을 위한 호스트로 지원합니다. 이 플랫폼은 기존의 다양한 Microsoft 및 타사 관리 도구와 통합되므로 관리자들은 기존의 실제 서버 관리 도구로도 Virtual Server 2005 R2 환경을 원활하게 관리할 수 있습니다. Microsoft Virtual Server를 사용하면 한 대의 컴퓨터에서 여러 운영 체제를 실행할 수 있기 때문에 서버당 주요 기능을 하나만 실행하도록 요구하는 PCI DSS 규정 2.2.1을 충족할 수 있습니다. 예를 들어 Virtual Server를 사용하면 동일한 컴퓨터에 가상 웹 서버, 가상 데이터베이스 서버 및 가상 파일 서버를 모두 배포할 수 있습니다.

    Microsoft Virtual Server는 Microsoft에서 무료로 다운로드할 수 있습니다. 자세한 내용은 Microsoft Virtual Server(http://www.microsoft.com/windowsserversystem/virtualserver/default.mspx)를 참조하십시오.

호스트 제어

서버 및 워크스테이션의 운영 체제를 제어하는 호스트 제어 솔루션에는, 각 호스트에 설치된 모든 운영 체제 수준에서 최선의 보안 방식을 구현하고 최신 업데이트 및 핫픽스를 유지 관리하며 일상적인 작업에 보안을 적용하는 기능이 포함되어 있습니다.

PCI DSS 규정 준수 항목

호스트 제어 솔루션은 운영 체제를 최신 상태로 유지하고 안전하게 구성하여 PCI DSS 규정을 지키는 데 도움을 줍니다. 특히 PCI DSS 규정 6 및 11을 준수하는 데 도움이 됩니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 호스트 제어 솔루션을 구축하기 위해 함께 또는 독립적으로 사용할 수 있는 다양한 기술을 제공합니다. 다른 기술 솔루션과 마찬가지로, 이러한 솔루션은 PCI DSS 규정뿐만 아니라 해당되는 기타 규정 요구 사항을 충족할 수 있도록 설계되어야 합니다.

  • MBSA(Microsoft Baseline Security Analyzer). 조직에서 카드 소유자 데이터에 대한 위험을 평가하는 데 사용할 수 있는 대표적인 도구로 MBSA를 들 수 있습니다. MBSA는 Windows 운영 체제, 인터넷 정보 서비스, SQL Server, Internet Explorer 및 Microsoft Office를 비롯한 다양한 Microsoft 제품에서 일반적으로 나타나는 보안 구성 오류를 식별하는 편리한 도구로서, 누락된 보안 업데이트, 업데이트 롤업 및 Microsoft Update에 게시된 서비스 팩 검색 작업도 수행합니다. MBSA는 명령 프롬프트나 해당 GUI를 통해 실행할 수 있으며 Microsoft Update 및 Microsoft Windows Server Update Services와 함께 사용할 수도 있습니다. 시스템을 최신 상태로 유지하는 작업은 카드 소유자 데이터의 보안을 유지하는 데 매우 중요한 요소이므로 MBSA는 조직의 데이터 위험 평가에 유용한 도구가 됩니다.

    자세한 내용은 Microsoft Baseline Security Analyzer(http://www.microsoft.com/technet/security/tools/mbsahome.mspx)를 참조하십시오.

  • Microsoft Windows Server Update Services. Microsoft WSUS(Windows Server Update Services) 서비스 팩 1을 사용하면 Microsoft Update 사이트에 게시된 다양한 최신 Microsoft 제품 업데이트를 배포할 수 있습니다. WSUS는 Windows Server의 업데이트 구성 요소로, 시스템을 빠르고 효과적으로 최신 상태로 유지해 줍니다. WSUS는 다음과 같이 구성된 관리 인프라를 제공합니다.

    • Microsoft Update. Microsoft 제품 업데이트를 위해 WSUS 구성 요소가 접속하는 Microsoft 웹 사이트입니다.

    • Windows Server Update Services 서버. 회사 방화벽 내의 Microsoft Windows 2000 Server 서비스 팩 4(SP4) 또는 Windows Server 2003 운영 체제 실행 컴퓨터에 설치되는 서버 구성 요소입니다. 관리자는 WSUS 서버의 기능을 사용하여 회사 네트워크 내 Windows 컴퓨터의 Internet Explorer를 통해 웹 기반 도구에 액세스하는 방식으로 업데이트를 관리하고 배포합니다. 또한 WSUS 서버를 통해 다른 WSUS 서버를 업데이트할 수도 있습니다.

    • 자동   업데이트. Windows Vista, Windows Server 2003, Windows XP 및 Windows 2000 SP 3 운영 체제에 기본적으로 제공되는 클라이언트 컴퓨터 구성 요소입니다. 자동 업데이트를 사용하면 서버 및 클라이언트 컴퓨터 모두 Microsoft Update 또는 WSUS 실행 서버에서 업데이트를 받을 수 있습니다.

    이러한 서비스를 통해 특정 호스트에 설치되어 있는 제품에 대한 최신 보안 수정 프로그램을 Microsoft로부터 받아 네트워크의 모든 호스트 환경에 제공할 수 있습니다.

    자세한 내용은 Windows Server Update Services 홈 페이지(http://www.microsoft.com/windowsserversystem/updateservices/default.mspx)를 참조하십시오.

  • Microsoft Systems Management Server. 조직에서 SMS를 통해 클라이언트 컴퓨터 및 서버를 관리하고 있다면 카드 소유자 데이터에 대한 위험 평가를 수행하는 데 필요한 도구는 어느 정도 갖춰진 셈입니다. SMS를 사용하면 분산 네트워크를 통해 Windows 운영 체제가 실행되는 컴퓨터의 보안 설정을 원격으로 관리할 수 있습니다. 또한 네트워크의 컴퓨터에 필요한 소프트웨어 업데이트가 설치되어 있는지 검토하고 이러한 컴퓨터의 업데이트 롤아웃 진행 과정을 추적할 수도 있습니다. SMS에는 전체 하드웨어 및 소프트웨어 인벤토리, 네트워크에 있는 컴퓨터의 구성 정보와 상태, 소프트웨어 배포 상태와 배포 오류를 식별하는 보고서 작성 기능이 있습니다. 이러한 SMS 기능은 사내 카드 소유자 데이터에 대한 위험을 평가하는 데 매우 유용하게 사용될 수 있습니다.

    SMS에 대한 자세한 내용은 Microsoft Systems Management Server 홈 페이지(http://www.microsoft.com/smserver/default.mspx)를 참조하십시오.

  • Microsoft Desktop Optimization Pack for Software Assurance. Microsoft Desktop Optimization Pack for Software Assurance는 일종의 구독 서비스로서, 응용 프로그램 배포 비용을 절감하고 응용 프로그램을 서비스로 전달하며 엔터프라이즈 데스크톱 환경의 관리 및 제어를 향상시키는 역할을 합니다. 데스크톱 최적화 팩은 다음을 수행할 수 있는 효과적인 호스트 제어 솔루션입니다.

    • 계획 및 예측 가능한 배포부터 소프트웨어의 사용, 유지 관리 및 마이그레이션에 이르는 응용 프로그램 관리 주기를 합리화 및 가속화합니다.

    • 조직의 소프트웨어 자산 관리를 개선합니다.

    • 데스크톱 배포 및 마이그레이션을 가속화하고 단순화합니다.

    Microsoft Desktop Optimization Pack은 데스크톱에 Software Assurance가 적용되는 고객만 사용할 수 있습니다. 자세한 내용은 Windows 데스크톱 최적화(http://www.microsoft.com/windows/products/windowsvista/buyorupgrade/optimizeddesktop.mspx)(영문)를 참조하십시오.

다양한 Microsoft 제품에 대한 특정 호스트 보안 지침 및 절차에 대한 링크는 규정 준수 계획 가이드의 호스트 제어 단원(영문)을 참조하십시오.

악성 소프트웨어 방지

악성 소프트웨어 방지 솔루션은 네트워크에서 카드 소유자의 데이터를 안전하게 유지하는 데 있어 핵심적인 요소입니다. 이러한 솔루션은 스팸 메일 수신과 바이러스 및 스파이웨어에 의한 네트워크 시스템 감염을 방지하여 네트워크의 시스템 가용성을 최적화하고 의도하지 않게 중요한 데이터가 허가되지 않은 대상에게 노출되는 일을 막습니다.

PCI DSS 규정 준수 항목

선택한 악성 소프트웨어 방지 솔루션은 PCI DSS 규정 5 및 6을 충족하는 데 도움이 될 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 악성 소프트웨어 방지를 위해 함께 또는 독립적으로 사용할 수 있는 다양한 기술을 제공합니다. 이러한 기술은 PCI DSS 준수 노력뿐만 아니라 조직의 광범위한 규정 요건의 맥락에서 고려해야 합니다.

  • Microsoft Forefront ™. Forefront는 클라이언트 운영 체제, 응용 프로그램 서버 및 네트워크 에지를 보호하는 기간 업무 보안 제품군입니다. 기존 인프라에서 Forefront를 사용하면 조직 내외부에서 발생한 맬웨어 및 기타 악의적인 공격으로부터 서버 및 클라이언트 컴퓨터를 보호할 수 있습니다.

    특히 Forefront Client Security는 악성 소프트웨어로부터 조직의 클라이언트를 보호해 줍니다. 이러한 Forefront Client Security 솔루션은 두 부분으로 구성됩니다. 첫 번째 부분은 기업 데스크톱, 랩톱 및 서버 운영 체제에 설치되는 보안 에이전트로서 스파이웨어, 바이러스, 루트킷과 같은 위협으로부터 실시간으로 보호하고 예약된 시간에 검사를 수행해 줍니다. 두 번째 부분은 중앙 관리 서버로서, 사전 구성 또는 사용자 지정된 맬웨어 보호 에이전트를 관리자가 쉽게 관리 및 업데이트하고 환경 보안 상태에 대한 보고서 및 경고를 생성하도록 지원합니다.

    자세한 내용은 Microsoft Forefront(http://www.microsoft.com/forefront/default.mspx)를 참조하십시오.

  • 악성 소프트웨어 제거 도구. Microsoft Windows 악성 소프트웨어 제거 도구는 Windows XP, Windows 2000, Windows Server 2003을 실행하는 컴퓨터가 널리 유포된 악성 소프트웨어에 감염되지 않았는지 검색하고, 감염된 경우 제거하도록 도와줍니다. 검색 및 제거 프로세스가 완료되면 발견 및 제거된 악의적인 소프트웨어(있는 경우)의 결과를 보고서로 표시합니다. Microsoft는 이 도구의 업데이트 버전을 매월 둘째 화요일에 정기적으로 공개하나, 보안 문제에 대응하기 위해 필요한 경우에는 그 외의 날짜에도 추가 공개할 수 있습니다.

    자세한 내용은 악성 소프트웨어 제거 도구(http://www.microsoft.com/security/malwareremove/default.mspx)를 참조하십시오.

    참고   Windows Defender 및 악성 소프트웨어 제거 도구 역시 악성 프로그램이 루트킷을 사용하는지 여부를 검색하는 데 도움을 줍니다. 루트킷은 악성 소프트웨어 작성자가 바이러스 백신 및 시스템 관리 유틸리티, 스파이웨어 차단 프로그램이 인식하지 못하도록 자신의 존재를 숨기기 위해 사용하는 메커니즘입니다. 루트킷 및 루트킷 검색 방법에 대한 자세한 내용은 http://www.microsoft.com/technet/sysinternals/utilities/RootkitRevealer.mspx(영문)를 참조하십시오.  

  • Microsoft ISA Server를 사용한 타사 필터. ISA Server는 네트워크 보안 솔루션을 제공할 뿐만 아니라 맬웨어 공격으로부터 조직을 보호하는 데 도움을 줍니다. 맬웨어가 회사 네트워크에 도달하기 전에 이를 제거하는 사용자 지정 또는 타사 필터를 사용하여 이 작업을 수행할 수 있습니다.

    자세한 내용은 Microsoft Internet Security and Acceleration Server(http://www.microsoft.com/isaserver/default.mspx)를 참조하십시오.

응용 프로그램 보안

PCI DSS 규정을 만족하기 위해서는 두 가지 측면에서 응용 프로그램 보안 솔루션을 고려해야 합니다. 첫째, 사내 개발자가 만든 새 응용 프로그램이 보안 개발 방침을 준수하도록 의무화해야 합니다. 둘째, Microsoft 또는 타 공급업체에서 구입한 소프트웨어 응용 프로그램에 포함된 보안 지침을 사용해야 합니다.

PCI DSS 규정 준수 항목

웹 또는 Windows 기반의 보안 응용 프로그램을 개발하고 유지 관리하는 것은 PCI DSS 준수에 있어 중요한 단계입니다. 특히 이러한 기술 솔루션은 규정 6을 만족하는 데 도움이 됩니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 보안 응용 프로그램 개발을 위한 특정 지침과 도구를 제공합니다. 또한 주요 서버 제품을 안전하게 사용하기 위한 특정 지침도 제공합니다.

  • Microsoft Visual Studio® 2005. Visual Studio 2005에는 개발자가 개발 과정에서 코드의 보안 위반 여부를 확인할 수 있는 다양한 도구가 포함되어 있습니다.

    • FxCop는 관리 코드에 보안 오류 등의 결함이 있는지 확인합니다.

    • PREfast는 C 및 C++ 코드에 대한 정적 분석 도구입니다. 이 도구는 개발자가 다양한 보안 문제를 찾도록 도움을 줄 수 있습니다.

    • SAL(Standard Annotation Language)은 C 또는 C++ 코드 컴파일러가 잡아내지 못한 보안 버그를 찾는 데 도움을 줄 수 있습니다.

    • C 또는 C++로 작성한 비관리 코드를 컴파일하는 경우, 개발자는 항상 /GS 스택 오버런 검색 기능을 사용하여 컴파일해야 하며 코드를 /SafeESH 옵션에 연결해야 합니다.

    • RPC 개발자는 MIDL /robust 플래그를 지정하여 코드를 컴파일해야 합니다.

    보안 개발 수명 주기에서는 알려진 보안 문제 없이 코드를 실행하는 FxCop, PREfast 및 GS C++ 컴파일러 옵션과 같은 도구 사용을 권장합니다.

    자세한 내용은 Visual Studio 홈 페이지(http://msdn2,microsoft.com/en-us/vstudio/default.aspx)를 참조하십시오.

  • Microsoft IAG(Intelligent Application Gateway) 2007. Microsoft Forefront 네트워크 에지 보안의 일부인 IAG는 광범위한 기간 업무 응용 프로그램에 대해 액세스 제어, 권한 부여 및 콘텐츠 검사를 허용하는 SSL(Secure Socket Layer) VPN, 웹 응용 프로그램 방화벽 및 끝점 보안 관리를 제공합니다. 이러한 기술을 함께 사용하여 모바일 및 원격 작업자들은 키오스크, 데스크톱 컴퓨터 및 모바일 장치를 비롯한 광범위한 장치 및 위치에서 쉽고 유연하게 보안 액세스를 수행할 수 있습니다. 또한 IT 관리자들은 IAG를 사용하여 장치, 사용자, 응용 프로그램 또는 기타 비즈니스 기준에 따라 사용자 지정된 원격 액세스 정책을 통해 응용 프로그램 및 정보 사용 지침을 준수할 수 있습니다. 주요 이점에는 다음이 포함됩니다.

    • SSL VPN 기반 액세스, 통합 응용 프로그램 보호 및 끝점 보안 관리의 적절한 결합

    • 악성 트래픽의 유입을 막고 중요한 정보는 허용하는 강력한 웹 응용 프로그램 방화벽

    • 종합적이고 간편한 플랫폼으로 보안 액세스 관리와 비즈니스 자산 보호 업무 단순화

    • 핵심적인 Microsoft 응용 프로그램 인프라, 타사 기업 시스템 및 사용자 지정 사내 도구와의 상호 운용성

    자세한 내용은 Intelligent Application Gateway 2007 제품 개요(http://www.microsoft.com/forefront/edgesecurity/iag/overview.mspx)(영문)를 참조하십시오.

지침

  • 보안 개발 수명 주기. 조직이 카드 소유자 데이터를 처리하는 자체 솔루션을 개발하기로 결정한 경우 개발자들은 Microsoft에서 개발한 보안 개발 수명 주기를 사용해야 합니다. 이 보안 개발 수명 주기는 카드 소유자 데이터 같은 중요 정보를 처리 및 저장하는 조직에서 보안 웹 및 데스크톱 응용 프로그램을 개발하는 데 사용할 수 있는 포괄적인 접근 방법입니다. 보안 개발 수명 주기는 보안 코딩 기술을 사용하도록 요구하며, 보안 응용 프로그램의 계획 단계부터 개발이 완료된 후에 응용 프로그램을 안전하게 테스트 및 배포하는 과정까지 다루고 있습니다.

    자세한 내용은 Microsoft의 보안 개발 수명 주기 살펴보기(http://msdn.microsoft.com/msdnmag/issues/05/11/SDL/)를 참조하십시오.

  • 제품   보안   지침   준수. Microsoft에서는 다양한 소프트웨어 제품에 대한 보안 지침을 제공하고 있습니다. 중견 기업에게는 Exchange Server, Systems Management Server 및 SQL Server에 대한 보안 지침이 특히 유용할 것입니다. 이러한 제품에 대한 보안 지침을 보려면 규정   준수   계획   가이드 의 응용 프로그램 보안 단원(영문)을 참조하십시오.

메시징 및 공동 작업

PCI DSS 규정을 만족하려면 조직에서 사용하는 메시징 및 공동 작업 소프트웨어를 안전하게 구성 및 설정해야 합니다. 메시징 및 공동 작업 응용 프로그램은 카드 결제 산업에서 필수적인 도구가 되었기 때문에 카드 소유자 데이터를 포함할 수 있는 모든 문서나 전자 메일 메시지의 보안을 유지하기 위해 최선의 노력을 기울여야 합니다.

PCI DSS 규정 준수 항목

메시징 보안 위반 방지를 위해 사용할 수 있는 일반적인 방법으로는 메시징 게이트웨이, 보안 메시징 서버 및 메시징 콘텐츠 필터링이 있습니다. 메시징 게이트웨이와 메시징 콘텐츠 필터링은 메시지를 특수 소프트웨어 응용 프로그램으로 라우팅합니다. 이러한 응용 프로그램은 솔루션 설계 방식에 따라 다양한 방법으로 특정 단어 문자열, 숫자 문자열, 단어 패턴 또는 기타 항목을 격리할 수 있습니다. 또한 메시지의 의심스러운 정보가 확인되거나 솔루션이 해당 메시지를 삭제 및 제거할 때까지 해당 키워드나 문자열이 포함된 메시지를 격리할 수 있습니다. 위 방법은 공동 작업 환경에서 전자 메일 메시지나 문서를 통해 카드 소유자 데이터를 전송할 때 보안을 유지하기 위해 사용될 수 있습니다. 이러한 모든 기술과 솔루션은 PCI DSS 규정 4를 충족하는 데 도움을 줄 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 메시징 및 공동 작업 소프트웨어의 보안을 유지하는 데 도움이 되는 다양한 솔루션을 제공합니다. 이러한 각 솔루션은 기업의 다양한 측면을 아우르는 해결책을 제시합니다. 작업이 끝난 후에는 보안 취약점이 최대한 해결될 수 있도록 이러한 솔루션을 체계적으로 배포해야 합니다.

  • Microsoft Exchange Server. Exchange를 사용하면 문서 관리와 마찬가지로 전자 메일 메시지에 포함된 카드 소유자 데이터의 보안을 유지하면서 조직의 메시징 요구에 맞는 강력한 솔루션을 정의할 수 있습니다. Exchange Server 2007에는 사용자에게 전송된 전자 메일, 음성 메일 및 팩스를 하나의 받은 편지함에 통합하는 통합 메시징 기능이 포함되어 있습니다. 또한 보존 규칙의 적용, 전송 중인 메시지의 검사/처리, 유연한 저널링, 배포된 모든 사서함에 대한 서식 있는 텍스트 검색 관련 기능도 제공합니다.
    자세한 내용은 Microsoft Exchange Server 웹 사이트(http://www.microsoft.com/exchange/default.mspx)를 참조하십시오.

  • Exchange Server 용 Microsoft Forefront Security. Exchange Server용 Microsoft Forefront Security는 계층형 방어, Exchange Server 성능과 가용성 최적화 및 단순화된 관리 제어 기반의 접근 방식을 통해 전자 메일 인프라를 감염 및 작동 중단으로부터 보호합니다.

    • 포괄적인   보호. Exchange Server용 Microsoft Forefront Security에는 업계 최고의 보안 업체에서 제공하는 여러 검사 엔진이 단일 솔루션으로 통합되어 있어 바이러스, 웜 및 스팸으로부터 기업의 Exchange 메시징 환경을 보호해 줍니다.

    • 최적화된   성능. Exchange Server용 Forefront Security를 사용하면 Exchange Server와의 확실한 통합, 혁신적인 검사 및 성능 컨트롤을 통해 메시징 환경을 보호하면서 작동 시간을 유지 관리하고 서버 성능을 최적화할 수 있습니다.

    • 단순화된   관리. 또한 Exchange Server용 Forefront Security를 사용하면 관리자가 서버와 엔터프라이즈 수준에서 자동화된 검사 엔진 시그너처 업데이트 및 보고를 통해 구성과 운영을 손쉽게 관리할 수 있습니다.

    자세한 내용은 Microsoft Forefront(http://www.microsoft.com/forefront/default.mspx)를 참조하십시오.

  • Microsoft Exchange Hosted Services. 메시징 보안 및 관리를 위한 Microsoft Exchange Hosted Services는 전자 메일에서 생성된 맬웨어 차단, 규정 준수를 위한 보존 요구 사항 만족, 기밀 유지를 위한 데이터 암호화, 긴급 상황 도중 및 이후 전자 메일에 대한 액세스 유지와 같은 과정에 도움을 주는 네 가지 고유 서비스로 구성되어 있습니다. 이러한 서비스는 “서비스로서의 소프트웨어” 모델을 통해 인터넷을 통해 배포됩니다. 이 모델은 추가 자본 투자를 최소화하고 IT 리소스를 다른 가치 창조 사업에 전념하도록 하며 회사 방화벽에 도달하기 전에 메시징 위험을 완화하는 데 도움이 됩니다.

    자세한 내용은 Microsoft Exchange Hosted Services(http://www.microsoft.com/exchange/services/default.mspx)를 참조하십시오.

  • Microsoft Office IRM( 정보   권한   관리 ). Office는 기업용 비즈니스 응용 프로그램 제품군입니다. Microsoft Office의 IRM 기능은 조직이 카드 소유자 데이터와 같은 중요한 정보에 대한 액세스를 제어하도록 지원해 줍니다.

    특히 조직은 Office IRM 기능을 통해 다음과 같은 이득을 얻을 수 있습니다.

    • 보호된 정보를 수신한 승인된 사용자가 무단으로 정보를 전달, 복사, 수정, 인쇄, 팩스로 전송 또는 잘라내어 붙여넣기하지 못합니다.

    • 보호된 정보는 Microsoft Windows 화면 인쇄 기능을 통해 복사되지 않습니다.

    • 정보의 위치에 상관없이 동일한 수준의 보호가 제공됩니다. 이것을 “지속적 보호”라고 합니다.

    • Excel 또는 Word와 같은 기타 Office 프로그램으로 만든 전자 메일 첨부 파일에도 동일한 수준의 보호를 제공합니다.

    • 만료되도록 설정된 전자 메일 메시지 또는 문서의 정보를 보호하여 지정한 기간 후에는 해당 정보를 더 이상 볼 수 없도록 합니다.

    • 회사 내/외부에 정보 사용 및 전달을 관리하는 기업 정책을 적용합니다.

    Office IRM은 Microsoft Windows Rights Management Services 플랫폼에 구축됩니다. 이 기능을 Office에서 사용하려면 RMS 서버 라이선스를 구입해야 합니다.

    자세한 내용은 Microsoft Office 웹 사이트(http://office.microsoft.com/en-us/default.aspx)를 참조하십시오.

  • Microsoft Windows SharePoint Services IRM( 정보   권한   관리 ). SharePoint Services IRM은 문서 관리 솔루션과 마찬가지로 공동 작업 솔루션이 PCI DSS 규정을 충족하도록 도움을 줍니다. 이 기술을 사용하면 특정 네트워크 위치가 아닌 콘텐츠에 연결된 지속형 액세스 제어 모음을 만들 수 있습니다. 이를 통해 직접 제어 범위를 벗어난 파일에 대한 액세스도 제어할 수 있습니다. IRM은 문서 라이브러리에서 목록 항목의 첨부 파일로 저장되는 파일에도 사용됩니다. 사이트 관리자는 IRM을 사용하여 문서 라이브러리에서 다운로드하는 파일을 보호할 수 있습니다. 사용자가 라이브러리에서 파일을 다운로드하려고 시도하면 Windows SharePoint Services에서 지정된 파일에 대한 해당 사용자의 사용 권한을 확인하고 적절한 사용 권한 수준에서 해당 파일에 액세스할 수 있는 라이선스를 발급합니다. Windows SharePoint Services는 해당 파일을 암호화된 권한 관리 파일 형식으로 사용자의 컴퓨터에 다운로드합니다.

    Office IRM은 Microsoft Windows Rights Management Services 플랫폼에 구축됩니다. 이 기능을 Office에서 사용하려면 RMS 서버 라이선스를 구입해야 합니다.

    자세한 내용을 보려면 Microsoft SharePoint 제품 및 기술 웹 사이트(http://go.microsoft.com/fwlink/?linkid=12632)를 방문하십시오.

데이터 분류 및 보호

데이터 분류 및 보호 솔루션은 PCI DSS 규정을 충족하고 카드 소유자 데이터의 보안을 유지하는 데 있어 핵심적인 요소입니다. 이러한 솔루션은 시스템에 있거나 전송 중인 카드 소유자 데이터에 보안 분류 수준을 적용하는 과정을 처리합니다. 또한 저장소에 있거나 전송 중인 데이터의 기밀성 및 무결성을 보호하는 역할도 수행합니다. 암호화 솔루션은 조직이 가장 일반적으로 사용하는 데이터 보호 방법입니다.

PCI DSS 규정 준수 항목

데이터 분류 및 보호 솔루션은 데이터베이스에 저장되는 경우, 서버 간에 전송되는 경우, 카드 결제 시 네트워크로 전송되는 경우에 대해 카드 소유자 정보를 보호함으로써 PCI DSS 규정을 충족하도록 지원합니다. 이러한 솔루션을 사용하여 PCI DSS 규정 3과 7을 충족할 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 네트워크를 통해 전송되는 경우, 직원 컴퓨터에 문서로 저장되는 경우, 데이터베이스에 저장되는 경우에 대해 카드 소유자 데이터를 분류 및 보호할 수 있는 다양한 기술을 제공합니다. 해당 기술은 다음과 같습니다.

  • BitLocker™ 드라이브 암호화. BitLocker 드라이브 암호화는 드라이브 암호화 및 초기 시작 구성 요소에 대한 무결성 검사를 제공하여 카드 소유자 데이터를 보호하는 데 도움을 줍니다. 드라이브 암호화를 사용하면 컴퓨터를 분실하거나 도난 당한 경우 권한이 없는 사용자가 Windows 파일 및 시스템 보호를 무력화하는 것을 방지할 수 있습니다. 이러한 보호 수준은 전체 Windows 볼륨을 암호화하는 방법으로 얻을 수 있습니다. BitLocker를 사용하면 스왑 및 최대 절전 모드 파일을 비롯한 모든 사용자 파일과 시스템 파일이 암호화됩니다. 초기 시작 구성 요소를 확인하는 무결성 검사에서는 해당 구성 요소가 훼손되지 않고 암호화된 드라이브가 원래 컴퓨터에 있는 경우에만 데이터 암호 해독을 수행합니다. BitLocker는 Windows Vista Enterprise/Ultimate와 Windows Server “Longhorn”에서 사용할 수 있습니다.

    자세한 내용은 BitLocker 드라이브 암호화: 개요(http://technet.microsoft.com/en-us/windowsvista/aa906018,aspx)(영문)를 참조하십시오.

  • Windows EFS( 암호화   파일   시스템 ). EFS(암호화 파일 시스템)는 암호화된 파일을 NTFS 파일 시스템 볼륨에 저장할 때 사용하는 핵심적인 파일 암호화 기술입니다. 파일이나 폴더를 암호화한 후에도 다른 파일 및 폴더와 마찬가지로 작업할 수 있습니다.

    파일을 암호화한 사용자에게는 암호화가 장애가 되지 않습니다. 파일을 암호화한 사용자는 암호화된 파일을 해독하지 않고도 사용할 수 있으므로 평소와 같이 파일을 열고 변경할 수 있습니다.

    EFS는 파일 및 폴더에 사용 권한을 적용하는 방식과 비슷합니다. 두 가지 방법 모두 데이터 액세스를 제한하는 데 사용할 수 있습니다. 그러나 암호화된 파일이나 폴더에 무단으로 실제 액세스를 시도하는 침입자는 파일이나 폴더를 읽지 못합니다. 침입자가 암호화된 파일이나 폴더를 열거나 복사하려고 하면 액세스 거부 메시지가 표시됩니다. 파일 및 폴더에 대한 사용 권한으로는 이러한 허가되지 않은 실제 공격을 차단하지 못합니다.

    자세한 내용은 암호화 파일 시스템 개요(http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/encrypt_overview.mspx?mfr=true) 또는 암호화 파일 시스템(http://www.microsoft.com/windows/products/windowsvista/features/details/encryptingfilesystem.mspx)을 참조하십시오.

  • Microsoft Windows Rights Management Services. Microsoft Windows RMS(Rights Management Services)는 응용 프로그램이 온/오프라인 상태의 방화벽 내/외부에서 카드 소유자 데이터가 무단으로 사용되지 않도록 보호하는 소프트웨어 플랫폼입니다.

    RMS는 정보의 위치에 상관없이 지속적인 사용 정책을 통해 정보를 보호함으로써 조직의 보안 전략을 강화합니다. RMS 기반 응용 프로그램을 통해 얻을 수 있는 기능에는 카드 소유자 정보가 들어 있는 문서에 대한 액세스 관리, 제어, 감사 등이 있습니다. RMS 클라이언트는 Windows Vista 운영 체제에 통합되어 있으며, 다른 Windows 버전의 경우에는 무료로 다운로드하여 사용할 수 있습니다.
    자세한 내용은 Windows Rights Management Services(http://www.microsoft.com/rms)를 참조하십시오.

  • Microsoft SQL Server 암호화. 카드 소유자 데이터를 SQL Server에 저장하면 SQL Server에서는 계층형 암호화 및 키 관리 인프라를 사용하여 데이터를 암호화합니다. 각 계층은 인증서, 비대칭 키 및 대칭 키 조합을 사용하여 바로 아래에 있는 계층을 암호화합니다. SQL Server 자체에 대한 마스터 키와 해당 SQL Server 인스턴스 내의 각 데이터베이스에 대한 별도의 키가 있습니다. 이를 통해 조직의 카드 소유자 데이터 저장소에 대한 보안이 유지됩니다.

    자세한 내용은 Microsoft SQL Server(http://www.microsoft.com/sql/default.mspx)를 참조하십시오.

ID 관리

ID 관리는 PCI DSS 준수에 있어 또 하나의 중요한 요소입니다. ID 관리 솔루션을 사용하면 카드 소유자 데이터를 액세스, 처리, 전송할 수 있는 담당자를 제한할 수 있습니다. 조직에서는 이러한 ID 관리 솔루션을 사용하여 직원, 클라이언트 및 파트너에 대한 디지털 ID 및 사용 권한을 관리할 수 있습니다.

PCI DSS 규정 준수 항목

ID 관리 솔루션을 사용하면 컴퓨터 액세스 권한이 있는 조직의 각 사용자에게 고유한 ID를 할당하여 PCI DSS 규정 8을 충족할 수 있습니다. 또한 PCI DSS 규정 7의 원칙에 따라 해당 고유 ID를 기반으로 카드 소유자 데이터에 대한 액세스를 제한할 수도 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 조직의 ID 관리 요구를 충족하는 데 도움이 되는 다양한 기술을 제공합니다.

  • Microsoft Active Directory. Active Directory는 네트워크 내외부에서 카드 소유자 데이터에 액세스할 수 있는 사용자 제어를 위한 여러 기술을 지원합니다. 첫째, Active Directory는 기본 Windows 인증 기술 중 하나인 Kerberos 인증을 지원합니다. Kerberos는 업계 표준의 보안 사용자 인증을 제공하여 상호 운용성을 구현합니다. Active Directory 도메인 컨트롤러는 Kerberos 서비스 지원을 위해 사용자 계정과 로그인 정보를 유지합니다. 둘째, Active Directory는 스마트 카드 인증을 지원합니다. 카드 소유자 데이터를 포함하는 시스템의 원격 사용자 또는 관리자에게 스마트 카드와 PIN을 사용하여 네트워크에 액세스하도록 요구할 수 있습니다. 셋째, Active Directory는 여러 대의 컴퓨터를 사용해야 하는 사용자들이 각 컴퓨터에서 동일한 자격 증명을 사용할 수 있도록 자격 증명 로밍 서비스를 지원합니다. 넷째, Active Directory에서는 조직에서 사용자 인증에 사용하는 자격 증명 공급자를 사용자 지정할 수 있습니다. 이러한 기능을 통해 카드 소유자 데이터에 대한 Active Directory 계정의 액세스 허용 방식과 해당 데이터 액세스 권한을 제공할 계정을 세밀하게 제어할 수 있습니다.

    자세한 내용은 Windows Server 2003 Active Directory 기술 센터(http://www.microsoft.com/windowsserver2003/technologies/directory/activedirectory/default.mspx)를 참조하십시오.

  • Microsoft ADFS(Active Directory Federation Services). ADFS(Active Directory Federation Services)를 사용하면 Active Directory 포리스트의 전형적인 범위 외로 확장되는 ID 관리 솔루션을 만들 수 있습니다. 조직은 ADFS를 통해 기존 Active Directory 인프라를 확장하여 트러스트된 파트너가 인터넷을 통해 제공하는 리소스에 대한 액세스를 부여할 수 있습니다. 이러한 트러스트된 파트너에는 외부의 타사, 동일한 조직의 다른 부서나 자회사가 포함될 수 있습니다.

    ADFS는 Active Directory와 긴밀하게 통합되어 있습니다. ADFS는 Active Directory에서 사용자 특성을 검색하고 Active Directory에 대해 사용자를 인증하며 Windows 통합 인증을 사용합니다. ADFS는 Windows Server 2003 R2 및 Windows Server “Longhorn” 운영 체제에서 사용할 수 있습니다.

    자세한 내용은 ADFS(Active Directory Federation Services) 개요(http://www.microsoft.com/WindowsServer2003/R2/Identity_Management/ADFSwhitepaper.mspx)를 참조하십시오.

  • Microsoft Identity Lifecycle Manager. Microsoft ILM(Identity Lifecycle Manager)은 별도의 데이터 리포지토리에서 ID 레코드를 찾아 일치시키고 관리하는 프로세스를 단순화하며 조직을 떠난 직원의 활성 레코드와 같은 예외 정보를 방지합니다. ILM은 조직에 ID를 제어 및 추적하고 규정 준수의 관리에 도움이 되는 데이터에 액세스할 수 있는 정책 프레임워크를 제공합니다. 또한 최종 사용자를 위한 자체 지원 도구를 제공하므로 IT 부서는 여러 작업을 최종 사용자에게 안전하게 위임하여 효율성을 향상시킬 수 있습니다. ILM의 또 다른 핵심 기능은 Windows Server 2003 운영 체제 및 Active Directory에 통합되어 Windows Server 2003 인증 기관에 대한 스마트 카드 및 디지털 인증서의 종단 간 수명 주기를 관리하기 위한 턴키 솔루션을 제공하는 Windows 기반 인증서 관리 솔루션이 포함되어 있다는 것입니다.

    조직은 ILM을 통해 다음과 같은 이득을 얻을 수 있습니다.

    • 여러 이기종 디렉터리 및 디렉터리 외의 ID 저장소 간에 ID 정보를 동기화합니다. 이를 통해 전사적으로 해당 데이터의 무결성과 소유권을 유지 관리하는 동시에 다른 플랫폼 간 ID 정보 업데이트 과정을 자동화할 수 있습니다.

    • 시스템 및 플랫폼에서 배포, 전자 메일 계정 및 보안 그룹과 같은 사용자 계정과 ID 정보를 제공 및 삭제합니다. 인사 관리 시스템과 같은 권한이 부여된 저장소의 이벤트 또는 변경 사항을 기반으로 직원의 새 계정을 신속하게 만들 수 있습니다. 또한 직원이 사임하는 경우, 같은 시스템에서 해당 직원을 즉시 삭제합니다.

    • 인증서 및 스마트 카드를 관리합니다. ILM에는 조직이 디지털 인증서 및 스마트 카드의 수명 주기를 쉽게 관리할 수 있도록 워크플로 및 정책 기반 솔루션을 포함하고 있습니다. ILM은 Active Directory 서비스 및 Active Directory 인증서 서비스를 활용하여 디지털 인증서와 스마트 카드를 제공하며, 자동화된 워크플로를 통해 인증서 기반 자격 증명의 전체 수명 주기를 관리할 수 있습니다. 조직에서 ILM을 사용하면 인증서 기반 인프라를 효율적으로 배포, 관리, 유지할 수 있어 디지털 인증서 및 스마트 카드와 관련된 비용 절감 효과를 볼 수 있습니다. 또한 강력한 다단계 인증 기술을 통해 보안을 강화하는 한편 디지털 인증서와 스마트 카드의 제공, 구성, 관리 과정을 능률화합니다.

    자세한 내용은 Microsoft Identity Lifecycle Manager 홈 페이지(http://www.microsoft.com/windowsserver/ilm2007/default.mspx)(영문)를 참조하십시오.

  • Microsoft SQL Server. SQL Server와 다른 기술을 함께 사용하여 ID 관리 솔루션을 만들 수 있습니다. SQL Server 데이터베이스를 사용하면 사용자 및 암호 정보를 저장하고 인증서를 사용자 계정 및 기타 솔루션에 매핑할 수 있습니다. 사용자 SQL Server를 Microsoft ILM, Active Directory, 그룹 정책 및 ACL과 함께 사용하여 다른 데이터베이스, 문서 또는 디렉터리에 저장되어 있는 카드 소유자 데이터에 대한 사용자의 액세스를 제한할 수도 있습니다.

    자세한 내용은 Microsoft SQL Server(http://www.microsoft.com/sql/default.mspx)를 참조하십시오.

운영 체제 지원 기능

  • PKI(공개 키 인프라). PKI(공개 키 인프라)는 공개 키 암호화를 사용하여 전자 거래에 관련된 각 당사자의 유효성을 확인 및 인증하는 디지털 인증서, CA(인증 기관) 및 기타 등록 기관으로 구성된 시스템입니다. 이 인프라를 통해 조직은 인터넷, 엑스트라넷, 인트라넷, 응용 프로그램을 넘나들며 강력한 보안 기능으로 카드 소유자 데이터를 보호하고 교환할 수 있습니다.

    PKI는 Windows Server 2000, Windows XP Professional, Windows Server 2003, Windows Vista 및 Windows Server “Longhorn”에서 지원됩니다.

    자세한 내용은 Windows Server 2003용 공개 키 인프라(http://www.microsoft.com/windowsserver2003/technologies/pki/default.mspx)를 참조하십시오.

인증, 권한 부여 및 액세스 제어

인증은 사용자를 식별하는 프로세스입니다. IT 환경의 인증은 일반적으로 사용자 이름과 암호로 이루어지지만, 스마트 카드, 망막 검색, 음성 인식 또는 지문과 같은 추가적인 신원 입증 방법이 포함될 수도 있습니다. 권한 부여는 주로 인증된 ID에게 요청된 리소스에 대한 액세스가 허용되는지 여부를 결정하는 작업입니다. 클라이언트의 네트워크 주소, 시간 또는 사용 브라우저와 같은 다양한 기준을 기반으로 액세스를 허용하거나 거부하도록 선택할 수 있습니다.

인증, 권한 부여 및 액세스 제어 전략을 계획할 때는 사용자 계정에 네트워크의 모든 리소스에 대한 사용 권한을 부여하는 전략도 개발해야 합니다. 자세한 내용은 Windows XP 에서   사용자   계정에   최소   권한의   원칙   적용 을 참조하십시오.

PCI DSS 규정 준수 항목

데이터 분류와 보호 및 ID 관리 솔루션과 함께 인증, 권한 부여 및 액세스 제어 솔루션을 구축하는 것은 카드 소유자 데이터 보안 전략에서 핵심적인 부분입니다. 이러한 맥락에서 인증, 권한 부여 및 액세스 제어 솔루션은 조직이 PCI DSS 규정 6, 7, 8을 충족하도록 도와줄 수 있습니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 인증, 권한 부여 및 액세스 제어 전략을 완전한 PDI DSS 준수 솔루션에 통합하는 데 도움을 주는 여러 가지 기술을 제공합니다.

  • Microsoft Active Directory. Microsoft Windows 2000 Server, Windows Server 2003 및 Windows Server “Longhorn”의 여러 Active Directory 서비스는 인증, 권한 부여 및 액세스 제어를 중점적으로 처리합니다. 예를 들어 Active Directory는 기본 Windows 인증 기술 중 하나인 Kerberos 인증을 지원합니다. Kerberos는 업계 표준의 보안 사용자 인증을 제공하여 상호 운용성을 구현합니다. Active Directory 도메인 컨트롤러는 Kerberos 서비스 지원을 위해 사용자 계정과 로그인 정보를 유지합니다. 또한 Active Directory는 스마트 카드 인증을 지원합니다. 카드 소유자 데이터를 포함하는 시스템의 원격 사용자 또는 관리자에게 스마트 카드와 PIN을 사용하여 네트워크에 액세스하도록 요구할 수 있습니다. Active Directory는 여러 대의 컴퓨터를 사용해야 하는 사용자들이 각 컴퓨터에서 동일한 자격 증명을 사용할 수 있도록 자격 증명 로밍 서비스를 지원합니다. Active Directory를 사용하면 조직에서 사용자 인증에 사용하는 자격 증명 공급자를 사용자 지정할 수도 있습니다. 뿐만 아니라 사내에서 관리 작업을 위임하는 기능도 지원합니다. 이러한 기능을 통해 카드 소유자 데이터에 대한 Active Directory 계정의 액세스 허용 방식과 해당 데이터 액세스 권한을 제공할 계정을 세밀하게 제어할 수 있습니다.

    자세한 내용은 Windows Server 2003 Active Directory 기술 센터(http://www.microsoft.com/windowsserver2003/technologies/directory/activedirectory/default.mspx)를 참조하십시오.

  • Microsoft IAS(Internet Authentication Service). IAS(Internet Authentication Service)는 Microsoft에서 구현한 RADIUS(Remote Authentication Dial-in User Service) 서버 및 프록시입니다. RADIUS 서버로 작동할 경우 IAS는 무선 및 VPN 연결을 비롯한 여러 종류의 네트워크 액세스에 대해 중앙 연결 인증, 권한 부여 및 계정 업무를 수행합니다. RADIUS 프록시로서는 다른 RADIUS 서버에 인증 및 계정 메시지를 전달합니다. 이를 통해 IAS는 조직의 네트워크에 연결하기 전에 원격 연결을 위한 인증 단계를 수행합니다. 사용자가 원격으로 연결하기 위해 제공한 자격 증명을 사용하여 네트워크에서 해당 사용자가 작업을 완료하는 데 필요한 리소스에 대한 액세스 권한만 부여할 수 있습니다.

    자세한 내용은 Internet Authentication Service(http://www.microsoft.com/technet/network/ias/default.mspx)를 참조하십시오.

운영 체제 지원 기능

  • 액세스 제어 목록을 사용한 리소스 사용 권한 부여. ACL(액세스 제어 목록)은 Microsoft Windows NT 이상에서 파일과 폴더 같은 리소스를 보호하는 데 사용되는 메커니즘입니다. ACL에는 보안 주체(일반적으로 사용자 계정 또는 계정 그룹)를 리소스 사용 관리 규칙과 연결하는 여러 ACE(액세스 제어 항목)가 포함되어 있습니다. ACL 및 ACE를 사용하면 사용자 계정과 연결할 수 있는 권한을 기준으로 리소스에 대한 권한을 허용하거나 거부할 수 있습니다. 예를 들어, ACE를 만들어 파일의 ACL에 적용하면 관리자를 제외한 다른 사람이 파일을 읽지 못하게 할 수 있습니다. 보다 광범위한 ID 관리 솔루션 내에서 이 기술을 사용해야 하지만 업무상 필요한 개인에게만 카드 소유자 데이터에 대한 액세스 권한을 허용할 수 있는 좋은 방법입니다.

    자세한 내용은 ACL 기술 개요(http://msdn2,microsoft.com/en-us/library/ms229742,aspx)를 참조하십시오.

  • Microsoft Windows Vista 및 Windows Server “Longhorn” 의 Windows 방화벽. 앞에서 설명한 것처럼 Windows Vista 및 Windows Server “Longhorn”의 Windows 방화벽은 시스템 및 네트워크를 악의적인 공격으로부터 보호해 줍니다. 이는 컴퓨터나 도메인의 리소스에 액세스할 수 있는 사용자, 컴퓨터 및 그룹을 제어하는 데도 유용합니다. 고급 보안이 포함된 Windows 방화벽을 사용하면 Active Directory 사용자, 컴퓨터 또는 그룹별로 연결을 필터링하는 규칙을 만들 수 있습니다. 이러한 유형의 규칙을 만들려면 Kerberos 버전 5와 같은 Active Directory 계정 정보를 전달하는 자격 증명을 사용하여 IPsec 연결을 보호해야 합니다.

    자세한 내용은 Windows 방화벽(http://www.microsoft.com/technet/network/wf/default.mspx)을 참조하십시오.

인증, 권한 부여 및 액세스 제어에 대한 개념 정보 및 계획 가이드에 대한 링크를 확인하려면 규정 준수 계획 가이드의 인증, 권한 부여 및 액세스 제어 단원(영문)을 참조하십시오.

보안 취약점 식별

보안 취약점 식별 솔루션은 조직이 정보 시스템의 보안 취약점을 테스트하기 위해 사용할 수 있는 도구가 됩니다. IT 담당자가 IT 환경의 보안 취약점을 효과적으로 해결하려면 먼저 잘 알아야 하고, 보안 취약점을 식별한 후에는 사용자 오류로 인해 실수로 손실된 데이터를 복원할 수 있어야 합니다.

PCI DSS 규정 준수 항목

보안 취약점 솔루션은 조직이 PCI DSS 규정 11을 충족할 수 있도록 하며 보안 시스템 및 절차를 정기적으로 테스트하는 기능을 제공합니다.

이러한 각 요구 사항의 전문을 보려면 카드   결제   산업   데이터   보안   표준,   버전 1.1 (영문)을 참조하십시오.

제공 기술

Microsoft는 PCI DSS 규정을 준수하기 위해 보안 취약점 식별 솔루션을 설계할 수 있는 솔루션을 제공합니다.

  • MBSA(Microsoft Baseline Security Analyzer). MBSA는 위험 평가와 마찬가지로 다양한 카드 소유자 데이터 보호 제어 시스템을 설계하는 경우 카드 소유자 데이터의 보안을 침해할 수 있는 보안 취약점을 주기적으로 검토하는 데 도움이 됩니다. MBSA는 Windows 운영 체제, 인터넷 정보 서비스, SQL Server, Internet Explorer 및 Microsoft Office를 비롯한 여러 Microsoft 제품에서 일반적인 보안 구성 오류를 찾아 주는 도구로서, 누락된 보안 업데이트, 업데이트 롤업 및 Microsoft Update에 게시된 서비스 팩 검색 작업도 수행합니다. MBSA는 명령 프롬프트나 해당 GUI를 통해 실행할 수 있으며 Microsoft Update 및 Microsoft Windows Server Update Services와 함께 사용할 수도 있습니다. 시스템을 최신 상태로 유지하는 작업은 카드 소유자 데이터의 보안을 유지하는 데 매우 중요한 요소이므로 MBSA는 설치된 제품에서 지속적으로 카드 소유자 데이터에 대한 보안 취약점을 검사하는 데 유용한 도구가 됩니다.

    자세한 내용은 Microsoft Baseline Security Analyzer(http://www.microsoft.com/technet/security/tools/mbsahome.mspx)를 참조하십시오.

모니터링, 감사 및 보고

모니터링 및 보고 솔루션은 시스템에 대한 인증 및 액세스로 인해 생성된 로그를 수집 및 감사합니다. 이러한 PCI DSS를 기반으로 특정 정보를 수집하거나 운영 체제 또는 소프트웨어 패키지에 기본 제공된 기존 로그를 사용하도록 이러한 솔루션을 설계할 수 있습니다.

모니터링 및 보고 작업에는 조직에서 기록된 모든 데이터의 수집, 분석 및 상호 연관 분석 작업이 뒤따릅니다. 이러한 하위 작업은 대시보드 유형의 솔루션을 통해 진행되기도 합니다. 대시보드 유형의 솔루션에서는 조직 전체에서 수집된 다양한 정보를 간편하게 분석할 수 있습니다. IT 관리 부서에서는 이러한 유형의 솔루션을 통해 이벤트 간 상호 연관을 보다 잘 파악할 수 있습니다.

PCI DSS 규정 준수 항목

모니터링, 감사 및 보고 솔루션은 네트워크 리소스 및 카드 소유자 데이터에 대한 모든 액세스 추적 및 모니터링 기능을 통해 PCI DSS 규정 10을 충족하도록 지원합니다.

제공 기술

Microsoft는 네트워크 액세스 및 카드 소유자 데이터에 대한 액세스를 모니터링할 수 있는 다양한 기술을 제공합니다.

  • Microsoft System Center Operations Manager Audit Collection. Operations Manager 2007은 Windows 운영 체제에서 보안 로그를 안전하고 효율적으로 추출하고 수집한 후 분석 및 보고 작업을 위해 보관할 수 있는 도구입니다. 추출된 로그는 별도의 Audit Collection 데이터베이스에 저장됩니다. 이 Audit Collection 데이터를 사용하여 보고서를 생성할 수도 있습니다. Audit Collection은 사베인스-옥슬리 감사 지원과 같은 다양한 준수 보고서를 생성하고 침입 감지 및 무단 액세스 시도와 같은 보안 상황을 분석하는 데 사용할 수도 있습니다.

    자세한 내용은 Audit Collection Services(http://technet.microsoft.com/en-us/library/bb381258,aspx)를 참조하십시오.

  • Microsoft Windows Vista 이벤트 로깅 인프라. Windows 이벤트 로깅 인프라의 향상으로 Windows Vista 데스크톱의 관리 및 모니터링 및 문제 해결을 위한 보다 유용한 정보 제공 기능이 개선되었습니다. 엄격한 표준이 적용되어 이벤트가 의미, 작동, 문서화 측면에서 더욱 향상되었습니다. 이전 버전의 Windows에서는 텍스트 파일로 로깅 정보를 저장했던 많은 구성 요소가 이제는 이벤트 로그에 이벤트를 추가합니다. 관리자는 이벤트 전달 기능을 통해 네트워크의 모든 위치에 있는 컴퓨터의 이벤트를 중앙에서 관리할 수 있으며 문제를 사전에 보다 쉽게 파악하고 여러 컴퓨터에 영향을 미치는 문제점 간 상호 연관 관계를 알 수 있습니다. 마지막으로 이벤트 뷰어가 사용자들이 사용자 지정 보기를 만들고 이벤트와 작업을 쉽게 연결하며 다른 컴퓨터의 로그를 원격으로 볼 수 있도록 완전히 새로워졌습니다. 따라서 관리자들은 사용자의 문제점 해결에 이벤트 로그를 보다 유용하게 사용할 수 있습니다.

    자세한 내용은 Windows Vista 관리 기능(http://technet.microsoft.com/en-us/windowsvista/aa905069,aspx)을 참조하십시오.

  • Microsoft SQL Server. SQL Server Reporting Services는 전통적인 종이 기반 보고서와 대화식 웹 기반 보고서를 모두 만들고 관리하고 배포할 수 있는 포괄적인 서버 기반 솔루션입니다. Microsoft 비즈니스 인텔리전스 프레임워크의 통합 부분인 Reporting Services는 SQL Server와 Microsoft Windows Server의 데이터 관리 기능을 친숙하고 강력한 Microsoft Office System 응용 프로그램과 결합하여 일상 업무를 지원하고 의사 결정을 제어하는 실시간 정보를 제공합니다. 이러한 서비스를 사용하여 카드 소유자 데이터를 분석하고 변경 내용을 추적하는 보고서를 생성할 수 있습니다. 또한 Reporting Services를 사용하면 네트워크 사용 패턴 및 정보 흐름을 보다 쉽게 모니터링할 수 있습니다.

    자세한 내용은 Microsoft SQL Server(http://www.microsoft.com/sql/default.mspx)를 참조하십시오.

운영 체제 지원 기능

  • NTFS 시스템 액세스 제어 목록. 조직에서는 파일이나 디렉터리에 대해 NTFS SACL(시스템 액세스 제어 목록)을 사용하여 시스템의 파일 또는 폴더의 변경 내용을 쉽게 추적할 수 있습니다. 파일이나 폴더에 대해 SACL을 설정하면 SACL은 사용자가 해당 파일이나 폴더에 대해 작업을 수행할 때마다 작업 및 해당 작업 수행자를 기록하도록 Windows 운영 체제에 지시합니다. FAT 파일 시스템으로 포맷된 시스템에서는 SACL을 설정할 수 없으므로 조직은 사용자 데이터 및 카드 소유자 데이터를 저장하는 모든 볼륨에서 NTFS 파일 시스템 포맷을 사용해야 합니다.

    자세한 내용은 사용자 데이터 및 설정 관리(http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/xpusrdat.mspx)를 참조하십시오.

PCI DSS 기술 솔루션 관리

관리 제품을 사용하는 것 자체는 조직이 특정 PCI DSS 규정을 준수하는 데 도움이 되지 않지만 규정 준수를 위해 구현한 IT 통제 사항을 추적하는 데는 도움이 될 수 있습니다. IT 통제 프레임워크를 만들 때는 중앙에서 통제할 수 있는 관리자를 최소화는 것이 중요합니다.

제공 기술

Microsoft는 PCI DSS 및 기타 규정 요구 사항을 충족하기 위해 구현한 IT 통제 프레임워크를 관리하는 두 가지 기본 도구를 제공합니다.

  • Microsoft Forefront. Microsoft Forefront는 클라이언트 운영 체제, 응용 프로그램 서버 및 네트워크 에지를 보호하는 기간 업무 보안 제품군입니다. 기존 인프라에서 Forefront를 사용하면 Exchange, SharePoint 및 인스턴트 메시징과 같은 응용 프로그램 서버와 쉽게 통합하여 맬웨어 및 기타 악의적인 공격으로부터 서버 및 클라이언트 컴퓨터를 보호할 수 있습니다. 또한 Forefront는 기본적으로 Active Directory와 통합되며 ISA Server를 통해 Active Directory와 함께 작동되므로 RADIUS, DHCP 및 스마트 카드 지원을 제공합니다. 뿐만 아니라 중앙 위치에서 정책 제어 조치를 설정하고 보고를 받을 수 있는 중앙 관리 도구도 제공됩니다.

    자세한 내용은 Microsoft Forefront(http://www.microsoft.com/forefront/default.mspx)를 참조하십시오.

  • Microsoft System Center. Microsoft의 System Center는 시스템 관리 자동화를 위해 조직에 필요한 도구를 제공하는 관리 제품군입니다. System Center에는 가장 일반적인 관리 작업을 자동화하는 기술이 포함되어 있으며 컴퓨팅 환경에서 IT 전문가들이 문제점을 검색, 진단 및 수정하는 데 도움을 주는 도구도 포함되어 있습니다. 특히 System Center는 다음 기능을 수행하는 제품을 제공합니다.

    • 분산 환경에서 하드웨어 및 소프트웨어를 모니터링하여 문제를 검색한 후, 수정을 위한 도구 제공

    • 소프트웨어 설치, 업데이트 및 패치 프로세스 자동화

    • 시스템 관리를 위한 표준 프로세스 구현

    • Windows 파일 서버 데이터의 백업 및 복원 처리

    • 중소 조직의 모니터링 및 구성 요구 사항 해결

    • 가상 컴퓨터 관리. 하드웨어 작동 속도가 빨라지면 각 컴퓨터에서 더 많은 응용 프로그램을 실행할 수 있으므로 조직은 가상화를 점점 더 폭넓게 사용하여 응용 프로그램을 격리시키고 있습니다.

    • 필요한 리소스를 예측하는 도구를 제공하여 설치 규모를 적절히 조정.

    자세한 내용은 Microsoft System Center(http://www.microsoft.com/systemcenter/default.aspx)를 참조하십시오.

요약

이 단원에서는 조직이 PCI DSS 규정을 준수하고 유지 관리하는 데 도움을 주기 위해 사용할 수 있는 기술 솔루션에 대해 설명합니다. 또한 이러한 솔루션이 중요한 이유를 설명하고 조직의 규정 준수에 도움을 줄 수 있는 Microsoft 지침 및 기술에 대한 링크도 제공합니다.

이러한 솔루션을 구현하면 IT 환경에 대한 보안 및 규정 준수 표준이 확립될 수 있으며 조직의 비즈니스 프로세스에도 긍정적인 영향을 줄 수 있습니다. 확인된 솔루션을 구현하기 전에 법률 고문 및 감사 담당자와 협의하여 고유한 PCI DSS 준수 요구에 대한 법적 권고를 받는 것이 좋으며 이러한 솔루션이 단지 규정 준수 차원이 아닌 전체 조직에 어떤 영향을 미칠지 신중히 고려해야 합니다. Microsoft는 PCI DSS 및 기타 규정 준수에 대한 깊이 있는 연구 자료와 솔루션을 더 많이 제공하기 위해 최선을 다하고 있으나, 워낙 중요하고 복잡한 사안이므로 보다 다양한 공개 정보를 찾아보는 것이 좋습니다.

부록

이 단원에는 Microsoft의 기술 솔루션 및 이러한 솔루션이 PCI DSS 규정에 얼마나 적합한지에 관련된 고객의 일반적인 질문이 포함되어 있습니다. 또한 조직이 이러한 요구 사항을 충족하는 데 도움을 주는 기술 솔루션에 대한 맵도 제공됩니다.

자주 제기되는 질문 사항(FAQ)

Q: 조직이   굳이   카드   결제   산업   데이터   보안   표준을   준수해야   할   필요가   있습니까 ? 불필요하고   비용이   많이   들진 않을까요?

A: 조직이 PCI DSS를 준수하기 위해 노력해야 하는 이유에는 세 가지가 있습니다. 첫째, Visa와 같은 카드 회사는 PCI 준수에 따른 재정적 보상과 불이행에 대한 벌금을 적용할 것을 약속하고 있습니다. 둘째, 규정을 준수할 경우 데이터 손실이 발생해도 책임 부담이 경감될 수 있습니다. 셋째, 시스템을 철저히 분석하고 적절히 설계한다면, 이 표준 프로세스는 실질적으로 고객의 데이터를 보다 잘 추적하는 데 도움이 될 수 있으며 결과적으로는 고객 서비스와 만족도를 높이는 데 기여할 수 있습니다.

Q: Microsoft 가   자체   기술을 PCI DSS 준수   솔루션으로   지나치게   강조하는   것은   아닙니까 ?

A: 조직마다 처해 있는 상황이 다르므로 이 가이드는 최대한 복합적인 내용을 다루려고 했습니다. Microsoft에서는 특정 업계를 위한 심도 있는 지침을 개발할 수도 있습니다. Microsoft 영업 사원에게 문의하여 해당 지침이 있는지 확인해 보십시오. 위에서 설명한 것처럼 이러한 문제를 단순히 규정 준수 프로젝트가 아니라 고객 정보의 추적 및 관리를 향상시킬 수 있는 측면에서 바라본다면 더 나은 비즈니스 결과를 얻을 수 있을 것입니다.

Q: 본   가이드에서는 PCI DSS 규정   준수에   도움이   되는   많은   기술에   대해   설명하고   있지만   알맞은   솔루션을   찾아보기   힘듭니다 . 그   이유는   무엇입니까 ?

A: 각 상황이 고유하므로 모든 상황에 맞는 단일 솔루션을 찾기란 불가능한 일입니다. Microsoft는 요약에서 언급하고 있는 것처럼 앞으로 보다 자세한 정보를 제공할 것입니다.

Q: 조직이 PCI DSS 인증을   받는   데 Microsoft 가   어떤   도움을   줄   수   있습니까 ?

A: Microsoft는 PCI DSS 규정 준수에 도움이 되는 소프트웨어와 서비스를 제공할 수 있지만 조직의 규정 준수를 보장할 수는 없습니다. Microsoft는 공급업체로서 귀하의 조직이 이러한 요구 사항을 충족할 수 있도록 최선을 다해 지원할 것이지만 실질적인 규정 준수는 귀하의 조직, 감사 담당자 및 제휴 중인 카드 회사에게 달려 있습니다.

Q: 3.4.1 조항이 Microsoft 데이터   보호   기술을   사용할   수   없다는   의미는   아닌지요 ?

A: 그렇지 않습니다. 조항 전문은 다음과 같습니다.

“파일 수준 또는 열 수준의 데이터베이스 암호화가 아닌 디스크 암호화가 사용될 경우 논리적 액세스는 로컬 시스템이나 Active Directory 계정을 사용하지 않도록 하여 원시 운영 체제 액세스 제어 메커니즘과는 별도로 관리되어야 한다. 암호 해독 키는 사용자 계정과 연결되면 안 된다.”

Microsoft 데이터 보호 기술은 암호 해독 키를 사용자 계정에 연결하지 않습니다. 예를 들어 BitLocker 드라이브 암호화는 Active Directory에서 암호 해독 키(PIN 또는 복구 암호)를 사용자 계정에 연결하지 않습니다. EFS(파일 시스템 암호화) 또한 암호 해독 키를 사용자 계정에 연결하지 않습니다. 조직에서는 시스템 액세스 권한은 유지하면서 문서 암호를 해독할 수 있는 권한은 박탈할 수 있습니다. 특정 구성에서는 EFS가 일부 암호 해독 키를 특정 사용자의 사용자 프로필에 자동으로 배치하여 사용자 작업 환경을 최적화하려고 하지만, 이 동작은 적절한 구성을 통해 변경할 수 있습니다.

PCI DSS 규정 및 관련 기술 솔루션

규정

기술   솔루션   단원

규정 1

위험 평가, 네트워크 보안

규정 2

네트워크 보안

규정 3

문서 관리, 위험 평가, 데이터 분류 및 보호

규정 4

위험 평가, 메시징 및 공동 작업, 데이터 분류 및 보호, 네트워크 보안

규정 5

위험 평가, 악성 소프트웨어 방지

규정 6

문서 관리, 위험 평가, 변경 관리, 호스트 제어, 악성 소프트웨어 방지, 응용 프로그램 보안, 인증, 권한 부여 및 액세스 제어

규정 7

문서 관리, 위험 평가, ID 관리, 인증, 권한 부여 및 액세스 제어, 데이터 분류 및 보호

규정 8

위험 평가, 인증, 권한 부여 및 액세스 제어

규정 9

문서 관리

규정 10

문서 관리, 변경 관리, 모니터링, 감사 및 보고, 네트워크 보안

규정 11

위험 평가, 호스트 제어, 보안 취약점 식별

규정 12

문서 관리

추가 리소스

카드   결제   산업   데이터   보안   표준,   버전 1.1

규정   준수   계획   가이드

PCI DSS 자체   평가   문항

PCI DSS QSA 감사   절차

PCI DSS ASV 검사   절차  

Windows XP 에서   사용자   계정에   최소   권한의   원칙   적용 ( 영문 )  

Active Directory 관리를   할당하는   모범   사례 ( 영문 )

은행 산업 센터 다운로드

사용자 의견

이 가이드에 대한 질문과 의견이 있으면 cisfdbk@microsoft.com으로 직접 보내주십시오.

Page view tracker