MongoDB Atlas를 사용하여 PCI DSS 도입 가속화

PCI DSS의 모습과 계층이 분할되는 지점

PCI 보안 표준 위원회는 PCI DSS를 유지하고 제어 목표 하위에 그룹화된 일련의 요구 사항을 조직합니다:

공동 책임 모델 하에서 이러한 요구 사항은 다음 계층으로 분할됩니다.

• 인프라 계층 (제공자의 책임): 물리적 보안, 네트워크 제어, 플랫폼 패치 및 기본 저장의 미사용 데이터 암호화로 구성됩니다. MongoDB 클라우드는 PCI DSS 인증 서비스 제공자이며, QSA 인 콜파이어 시스템즈에 의해 유효성을 검증받았습니다. MongoDB 클라우드의 CHD 환경의 경우, QSA는 MongoDB 클라우드 AOC를 신뢰할 수 있으며, MongoDB 보안 센터를 통해 요청 시 사용할 수 있습니다. 이 사전 검증된 계층을 사용하면 고객이 기본 인프라를 다시 감사할 필요가 없습니다.

• 애플리케이션 계층(고객의 책임): 제품이 CHD를 저장, 보호, 쿼리, 마스킹 및 감사하는 방법과 누가 정보를 읽을 수 있는지를 포함합니다. 이 계층은 고객의 설계 결정에 달려 있습니다.

그림 1. PCI DSS 공동 책임 계층형 모델

클릭하여 확대

PSP 프로젝트는 애플리케이션 계층을 구현합니다. 참조 아키텍처와 일련의 권장사항으로 구성되어 있습니다. MongoDB를 사용하여 PCI DSS 제어 목표에 따라 애플리케이션 계층을 조정하는 방법을 설명합니다. 이는 저장된 데이터 보호, 액세스 제한, 모니터링 및 감사 범위 축소에 대한 내용을 다룩니다. 이 프로젝트는 PCI DSS 채택을 가속화하는 데 시작점이 됩니다.

건축 제안

PSP 프로젝트는 PCI DSS를 준수하는 PSP 플랫폼입니다. 이 플랫폼은 MongoDB Atlas에서 결제 수명 주기를 실행합니다. 카드 결제 및 권한 부여, 자동화된 사기 점수 산정, 다중 계층 분석가 조사가 포함됩니다. 이 플랫폼은 분석가가 명확한 설계 철학을 바탕으로 암호화된 데이터를 검색하는 방법을 보여줍니다.

모든 것을 암호화하세요. 무엇이든 쿼리하세요. 키는 귀하의 것입니다.

Atlas에서 상속된 인프라 계층(그림 1 참조)을 사용하면 나머지 작업은 애플리케이션 계층에서 수행됩니다. Atlas는 이러한 작업을 지원하기 위해 다양한 기능을 제공하며, 그중 Queryable Encryption이 핵심입니다. 전체 기능 세트는 MongoDB 역량 섹션에 나열되어 있습니다.

Queryable Encryption 집중 조명

기존 방식에서는 필드를 검색할 수 있도록 일반 텍스트로 유지하거나(데이터베이스 액세스 권한이 있는 모든 사용자가 읽을 수 있음) 암호화됨 상태로 보호합니다(하지만 더 이상 검색할 수 없음). Queryable Encryption은 지원하는 쿼리 유형에 대해 그 양자택일을 제거합니다.

그림 2. MongoDB 암호화 아키텍처: Queryable Encryption, 키 관리 및 데이터 보호 계층

클릭하여 확대

동등성 검색이 가능한 필드의 경우 흐름은 다음과 같이 진행됩니다.

• 드라이버는 필드의 DEK를 사용하여 클라이언트 사이드에서 검색 값을 암호화합니다.

• 서버는 해당 암호화된 값을 암호화된 인덱스와 일치시킵니다. 암호문과 암호문을 비교하며 필드를 복호화하지 않습니다.

• 일치하는 문서가 애플리케이션 프로세스로 반환되면 드라이버가 메모리 내 대상 필드를 해독합니다. MongoDB Atlas는 BSON 이진 하위 유형 06으로 보유된 암호 텍스트만 저장하고 처리하므로, 클러스터 전체 액세스 권한이 있는 데이터베이스 관리자는 불투명 바이트만 볼 수 있습니다.

PSP 프로젝트에서의 구체적 효과: 사기 분석가는 암호화된 이메일, 전화 또는 계정 참조로 고객을 검색하고 기록을 반환받습니다. 평문 값은 Atlas에 도달하지 않습니다. 이 역량은 민감한 PII를 저장 시 암호화된 상태로 유지하고 값으로 사용할 수 있도록 하며, CDE를 확장하는 대량 복호화 없이 사용할 수 있습니다.

보호는 필요하지만 검색은 필요 없는 필드는 검색 불가능 모드를 사용하며, 승인된 권한 상승 요청에 한해서만 암호 해독됩니다. 데이터 모델 섹션에서는 두 모드 모두와 보호하는 필드를 다룩니다.

애플리케이션 계층을 위한 MongoDB 역량

PSP 프로젝트는 여러 MongoDB 및 Atlas 역량을 결합합니다. 각각은 PCI DSS 애플리케이션 계층 작업의 특정 부분에 매핑됩니다:

인접한 사용 사례

안정적인 API 경계, 필드 수준 Queryable Encryption, 액세스 계층당 DEK 모델을 포함하여 이 솔루션의 핵심 원칙은 다른 사용 사례에 적용할 수 있습니다.

• 오픈 파이낸스: 제3자가 고객이 승인한 필드에만 액세스하도록 제한하는 동의 범위 내 데이터 액세스(PSD2 및 소비자 데이터 권한과 같은).

• 의료: HIPAA 에 따른 보호된 건강 정보.

• 보험 및 자산 관리: GDPR에 따라 정부 식별자 및 금융 계정 데이터를 처리하는 플랫폼.

아키텍처 구성 요소

이 아키텍처는 다음 구성 요소를 사용합니다:

• PSP 대시보드(프론트엔드): 표시 계층입니다. 그것은 데이터베이스와 직접 통신하지 않습니다. 결제 시 PAN을 토큰화합니다. 그러므로 PSP 코어에서 전체 PAN이 전송되거나 저장되지 않습니다.

• PSP API gateway (백엔드): 단일 진입점이자 보호된 필드를 복호화할 수 있는 유일한 구성 요소입니다. 이 구성 요소는 Queryable Encryption 클라이언트를 보유하고, 호출자의 역할을 확인하며, 요청당 올바른 키 계층을 선택합니다. 사용자 인터페이스, 서비스 계정, 통합을 포함한 모든 호출자는 동일한 API를 통과하며 동일한 RBAC 및 키 규칙의 적용을 받습니다.

• Queryable Encryption이 포함된 MongoDB Atlas (M10 이상): 보호되는 모든 필드에 대해 암호 텍스트(바이너리 하위 유형 06)만 저장합니다. 전체 클러스터 액세스 권한이 있는 데이터베이스 관리자는 불투명한 바이트를 확인합니다. TLS 1.3은 전송 중인 모든 데이터를 보호합니다. PSP 프로젝트는 프로덕션에서 지원되는 동등 검색을 사용합니다.

• AWS KMS: 데이터 암호화 키를 봉투화하고 봉투 해제하는 고객 마스터 키를 보관합니다. CMK는 KMS에 있으며, MongoDB는 여기에 접근할 수 없습니다. 지역 키 제공자는 데모용 오프라인 폴백 기능으로 제공됩니다.

쿼리 유형 및 프로젝트가 이를 적용하는 방법

MongoDB Queryable Encryption은 필드를 클라이언트 사이드에서 암호화된 상태로 유지하면서 서버가 암호 텍스트를 쿼리할 수 있도록 합니다. PSP 프로젝트는 다음과 같은 쿼리 유형을 사용합니다.

• 동등 (생산): PCI DSS 범위에 적용되는 조회 키를 검색할 수 있는 모드입니다. 드라이버는 쿼리 값을 암호화하고 암호화된 인덱스와 일치시키므로 서버는 필드를 암호화 해제하지 않습니다. 이 기능은 사기 분석가가 일반 텍스트를 노출하지 않고 이메일, 전화 또는 계정 참조를 통해 기록을 찾을 수 있도록 합니다.

• 쿼리 없음(검색 전용): 거주지 주소, 정부 식별자, 원시 게이트웨이 페이로드를 포함하여가장 민감한 필드에 대한 검색 불가능 모드입니다. 권한이 있는 클라이언트는 이러한 필드를 적시에만 암호 해독합니다.

• 범위 (생산): 금액 범위로 필터링하는 것과 같은 값 번위 조회에 사용됩니다. 이것은 양을 암호화된 상태로 유지합니다.

• 접두사, 접미사 및 부분 문자열 (공개 미리 보기): 암호화된 신원 필드에 대한 KYC 스타일 부분 일치 검색에 사용됨.

아래의 PCI DSS 범위 내 카드 및 PII 필드의 경우, 액세스 설계는 다음 범주로 축소됩니다.

가능한 경우 카드 소유자 데이터가 범위 외에 있도록 하는 설계 선택은 다음과 같습니다:

• PAN 토큰화: 애플리케이션은 전체 PAN을 tok_<uuid> 대리 토큰으로 대체합니다. 그리고 표시 목적으로 마지막 4자리만 유지합니다.

• 중요 인증 데이터(SAD) 캡처 없음: 엔드포인트는 CVV 또는 PIN 같은 SAD를 절대 캡처하지 않습니다.

세분화 및 토큰화를 통한 범위 축소

일반적인 PCI DSS 관행은 카드 소유자 데이터를 필요 없는 시스템에서 제외하여 대부분의 플랫폼이 CDE 외부에 있도록 합니다. 이러한 기법은 다른 시스템에서 CDE를 분리하는 세그멘테이션과 프라이머리 계좌 번호를 전용 토큰화 보관소에 저장된 대리 토큰으로 대체하는 토큰화를 적용합니다. 세그먼테이션은 PCI DSS 요구사항이 아닙니다. 하지만 시스템을 범위 외로 제외하고 평가 비용을 줄여줍니다. 사용할 경우 문서화되어야 하며 정당하고 유효성이 검증되어야 합니다.

PSP 프로젝트는 데이터 계층에서 이러한 기술을 적용합니다.

• 전체 PAN은 PSP 코어에 저장되지 않습니다. 코어에는 대리 토큰, BIN 및 마지막 4자리만 저장됩니다. 대부분의 플랫폼은 카드 소유자 데이터를 보유하지 않으며 범위에서 제외됩니다. 전체 PAN은 운영 환경에서 외부에 있는 카드 발급자 하위 시스템에 속합니다. 데모에서 교체 가능한 내장 발급자 모듈이 대신하여 PAN을 자체 격리된 볼트에 QE:equality로 암호화됨 저장합니다. 이 필드는 복호화되지 않고도 정확한 검색 및 중복 감지를 위해 일치시킬 수 있습니다.

• PII 중앙 집중화: 이메일 또는 전화번호와 같은 식별 필드는 동의, 카드 및 트랜잭션 기록이 참조하는 단일 BIAN SD-13 주체 컬렉션에 존재합니다. 데이터 주체 삭제 요청을 보호하고 처리할 수 있는 단 한 곳.

• 민감한 필드는 별도의 키 계층 뒤에 있습니다: QE:none 필드는 검색 가능한 QE:equality 필드와는 다른 데이터 암호화 키 계층을 사용하므로 민감한 데이터와 민감하지 않은 데이터 간의 경계가 키에 의해 적용됩니다.

이것은 참조 패턴이며 인증이 아닙니다. CDE 정의 및 유효성 검사는 고객의 책임이며 평가자가 확인해야 합니다.

접근 제어가 적용된 키, 애플리케이션 코드가 아닌

DEK를 암호화 계층으로 다시 분리합니다.

• Lookup 계층: QE:equality 키는 검색을 위해 인증된 모든 분석가 역할에서 사용할 수 있습니다.

• 민감한 계층: QE:none 키는 유효하고 단기적인 에스컬레이션 토큰을 소지한 레벨 2 조사관과 읽기 전용 보안 감사관만 사용할 수 있습니다.

• 디자인 핵심: 레벨 1 클라이언트의 암호화된 필드 맵은 민감한 키를 생략하므로 드라이버가 해당 필드를 해독할 수 없으며 암호문으로 반환합니다. 여기서는 필드 수준 액세스 제어가 애플리케이션 코드의 프로젝션이 아니라 암호화되어 있으므로, 쿼리 버그를 통한 우연한 누출 위험을 줄여줍니다. 분석가가 사례를 에스칼레이트하고 레벨 2 조사가 승인하면, 조사는 해당 요청에 대한 민감 계층 클라이언트 푸를 활성화하는 에스칼레이션 토큰을 받습니다.