PG사, PCI 데이터보안표준 인정 받아야…FDS구축 의무(종합)

[아시아경제 이현주 기자] 카드회원의 결제 정보 등을 직접 수집하고 저장하려는 결제대행업체(PG사)는 국제 공인 '지불결제산업 데이터보안표준(PCI DSS·Payment Card Industry Data Security Standard)'을 받아야 한다. 또한 보안 사고에 대비해 일정 규모 이상 배상보험에 의무가입해야 하며 자체적으로 부정사용방지시스템(FDS)을 구축해야 한다.

1일 여신금융협회는 간편 결제방식이 활성화 될 수 있도록 PG사의 카드정보 저장을 위한 보안 및 재무적 기준을 마련했다고 밝혔다.

우선적으로 결제 정보 등을 저장할 수 있는 적격 PG사로 선정되기 위해서는 보안 기준인 PCI DSS인증을 취득해야 한다. PCI DSS는 비자, 마스타카드, 아메리칸 익스프레스, JCB 등 글로벌 신용 카드사에서 정보 유출을 막기 위해 설립한 PCI 보안 표준 협의회(PCI Security Standards Council)에서 만든 데이터 보안 표준 인증으로, 웹을 통해 결제 정보를 처리하는 기업이 갖춰야 할 글로벌 정보보호 인증이다. 페이팔과 알리페이 모두 PCI 보안 표준을 받았다.

PG사들은 FDS 및 재해복구센터를 자체적으로 구축해야 한다. 다만 구축 기준은 현실적인 구축 일정 등을 감안해 내년 7월 1일부터 시행한다.

또한 적격 PG사는 재무능력은 자기자본 400억원 이상, 순부채 비율 200% 이하를 충족해야 하며 전자금융사고 책임 이행을 위한 충분한 수준의 보험이나 공제 가입을 의무화 해야 한다. 가입회원수, 사고발생 확률, 배상 예상금액 등을 계산해 보험규모를 산정한다.

여신금융협회 관계자는 "결제대행업체가 회원동의 후 수집, 저장한 카드정보 유출이나 이를 통한 부정사용 발생시 결제대행업체가 명확한 책임을 지도록 여신전문금융업감독규정 개정을 추진할 것"이라며 "카드정보 저장 결제대행업체에 대해 금융회사 수준으로 검사와 감독을 엄격히 할 예정"이라고 말했다.