결제 카드 산업 데이터 보안 표준(PCI DSS)은 PCI 표준 보안 위원회에서 개발한 정보 보안 표준으로, 카드 소지자 데이터를 저장, 처리 또는 전송하는 모든 기관에 적용됩니다. PCI DSS는 결제 계정 데이터를 보호하도록 설계된 기술 및 운영 요구 사항의 기준을 제공합니다.
Under PCI DSS:
카드 보유자 데이터(CHD)는 엔티티가 시스템에서 저장, 처리 또는 전송하는 결제 카드 정보입니다.
카드 소지자 데이터 환경(CDE)은 카드 소지자 데이터를 저장, 처리 또는 전송하는 시스템 및 네트워크와 CDE에 직접 연결하거나 지원하는 시스템을 의미합니다.
MongoDB는 서비스 제공자로, 다른 주체를 대신하여 카드 소지자 데이터(CHD)를 저장, 처리 또는 전송하거나 카드 소지자 데이터 환경(CDE)의 보안에 영향을 미칠 수 있는 주체를 의미합니다.
MongoDB는 PCI DSS 컴플라이언스가 MongoDB, 귀사, 최종 고객 간의 공동 책임임을 이해합니다. 다음 섹션에서는 PCI DSS 컴플라이스를 지원할 수 있는 MongoDB Atlas 및 Atlas For Government 기능에 대해 설명합니다.
중요
MongoDB 클라우드는 2025년 11월부터 PCI DSS 인증 서비스 제공자입니다. 계약에 대한 정보를 포함하여 MongoDB의 PCI DSS 검증에 대한 자세한 내용은 다음을 참조하세요.
MongoDB 클라우드 PCI 컴플라이언스 증명(AOC)을 획득하려면:
기존 고객은 고객 Trust Portal을 통해 사본을 요청 수 있습니다.
잠재 고객은 MongoDB 영업팀에 연락하여 액세스를 요청할 수 있습니다.
MongoDB PCI DSS Responsibility Matrix는 PCI DSS 통제를 책임자(MongoDB, 고객, 또는 모두)와 공식적으로 매핑한 것입니다. Responsibility Matrix를 얻는 방법은 다음과 같습니다.
기존 고객은 고객 Trust Portal을 통해 사본을 요청 수 있습니다.
잠재 고객은 MongoDB 영업팀에 연락하여 액세스를 요청할 수 있습니다.
사용 가능한 데이터베이스 환경
카드 소지자 데이터를 처리하는 시스템을 설계할 때 컴플라이언스 요구 사항에 따라 두 가지 MongoDB 데이터베이스 환경 중에서 선택할 수 있습니다.
MongoDB Atlas는 상용 완전 관리형 데이터베이스 솔루션입니다. PCI DSS 검증을 거친 완전 관리형 글로벌 데이터베이스 솔루션을 원한다면 MongoDB Atlas를 선택하세요.
Atlas For Government는 미국 정부 요구 사항에 맞게 특별히 구축된 MongoDB Atlas의 별도 전용 환경입니다. PCI DSS 검증 및 FedRAMP Moderate 인증을 받았습니다. PCI DSS를 비롯한 여러 미국 중심 컴플라이언스 표준을 충족하는 격리된 전용 환경을 원하는 경우 Atlas For Government를 선택하세요.
참고
이 페이지의 권장 사항은 표준 Atlas 솔루션에 중점을 둡니다. 동일한 주제와 관련된 Atlas For Government 기능 및 역량에 대해 자세히 알아보려면 Atlas For Government 문서를 참조하세요.
카드 소유자 데이터 보호
데이터 암호화
PCI DSS는 개방된 공용 네트워크를 통해 전송할 때 강력한 암호화로 CHD를 보호할 것을 요구합니다(요구 사항 4).
다음 MongoDB Atlas Architecture Center 문서에서는 이 영역에서 컴플라이언스를 지원하는 Atlas 기능을 설명합니다.
Atlas 데이터 암호화에 대한 지침: 전송 중(TLS), 저장 중(AES-256, BYOK, 고객 마스터 키, KMS, TDE) 및 사용 중(CSFLE, Queryable Encryption)의 데이터 암호화를 보장합니다.
또한 Atlas 리소스 정책을 사용해 최소 TLS 버전을 강제하거나, 클러스터 연결에 대해 특정 TLS 암호 모음 구성을 요구할 수도 있습니다.
데이터베이스 액세스 제어
PCI DSS는 엔티티가 시스템 구성 요소 및 카드 소지자 데이터에 대한 접근을 비즈니스 정보 제공 요청에 따라 제한할 것을 요구합니다(요구 사항 7).
다음 MongoDB Atlas Architecture Center 문서에서는 이 영역에서 컴플라이언스를 지원하는 Atlas 기능을 설명합니다.
Atlas 인증에 대한 지침: IdP를 사용한 연합 인증, AWS IAM 역할 인증, 다단계 인증(MFA) 등과 같은 인증 메커니즘을 사용하여 안전한 ID 관리를 구현하고 Atlas 데이터베이스에 대한 액세스를 제어합니다.
Atlas 권한 부여에 대한 지침: 역할 기반 액세스 제어(RBAC)로 안전한 액세스 관리를 구현하여 특정 직무 및 책임에 따라 권한이 있는 직원만 CHD에 액세스할 수 있도록 하세요.
네트워크 보안 통제
PCI DSS는 기관이 자체 네트워크 내 트래픽을 제어하고 신뢰할 수 없는 네트워크에 리소스가 노출되지 않도록 보호하기 위해 네트워크 보안 제어 기능을 설치하고 유지할 것을 요구합니다(요구 사항 1).
다음 MongoDB Atlas Architecture Center 문서에서는 이 영역에서 컴플라이언스를 지원하는 Atlas 기능을 설명합니다.
Atlas 네트워크 보안 지침: 전송 중 암호화, IP 액세스 목록, 방화벽 설정, 비공개 엔드포인트, 네트워크 격리를 통해 Atlas 클러스터에 대한 네트워크 접근을 보호하며 ePHI를 보호합니다.
Atlas Resource Policies를 사용하여 다음 네트워크 보안 표준을 시행할 수도 있습니다.
와일드카드 IP(
0.0.0.0/0)를 사용하여 보다 엄격한 네트워크 제어를 시행하는 것을 금지합니다.IP 액세스 목록 비워 두도록 하거나 기존 IP 액세스 목록 에 추가를 방지하여 공용 네트워크를 통한 트래픽을 금지합니다.
cloud 제공자 간에 VPC 피어링 및 비공개 엔드포인트 연결이 수정되지 않도록 방지합니다.
시스템 활동 감사, 모니터링 및 로깅
PCI DSS는 기업에게 시스템 구성 요소 및 CHD에 대한 모든 액세스를 기록하고 모니터링할 것을 요구합니다(요구 사항 10).
다음 MongoDB Atlas Architecture Center 문서에서는 이 영역에서 컴플라이언스를 지원하는 Atlas 기능을 설명합니다.
Atlas 감사 및 로깅 지침: 사용자 인증 시도 및 권한 조정과 같은 데이터베이스 이벤트를 모니터링, 기록 및 검토.
Atlas 모니터링 및 알림에 대한 지침: 클러스터 상태, 성능 및 운영 지표를 추적하고 CHD와 관련된 비정상적인 활동을 표시할 수 있는 알림을 구성하세요.