결제를 외주화해도 판매자의 확인 책임이 모두 사라지지는 않습니다
PCI Security Standards Council은 모든 결제 처리를 적격 제3자에게 외주화한 상인도 일반적으로 SAQ A 등 해당 검증 절차를 확인해야 한다고 설명합니다. 적용 SAQ와 외부 취약점 스캔 필요 여부는 결제 구성과 매입사 요구에 따라 달라지므로 공식 도구와 계약 상대에게 확인하세요. 공식 자료: https://www.pcisecuritystandards.org/merchants/
- 카드정보가 통과하거나 저장되는 시스템을 그립니다.
- 호스팅 결제창·리디렉션·직접 입력 방식을 구분합니다.
- 결제대행사와 호스팅사의 적격성 증빙을 확인합니다.
- 적용 SAQ와 제출 주체를 매입사 또는 결제 파트너에게 확인합니다.
연 240만원이면 주문당 200원이지만 범위를 먼저 고정해야 합니다
연간 범위 확인과 문서 정리에 80만원, 필요한 외부 스캔과 기술점검에 100만원, 직원 교육·증적 보관에 60만원이 든다고 가정하면 총 240만원입니다. 연 1만2천 주문이면 주문당 200원입니다.
이 금액은 예시이며 PCI SSC가 정한 고정 수수료가 아닙니다. 결제 페이지를 직접 운영하거나 스크립트 관리 범위가 넓으면 점검비가 달라질 수 있습니다. 주문당 배부액과 별도로 침해사고의 기대손실을 계산해 통제 투자의 상한을 정하세요.
| 비용 항목 | 연간 예시 | 주문당 |
|---|---|---|
| 범위·문서 | 800,000원 | 67원 |
| 스캔·기술점검 | 1,000,000원 | 83원 |
| 교육·증적 | 600,000원 | 50원 |
| 합계 | 2,400,000원 | 200원 |
결제 구성도와 책임표가 있어야 매년 반복 비용이 줄어듭니다
결제 버튼을 누른 뒤 브라우저가 어느 도메인으로 이동하는지, 어떤 스크립트가 로드되는지, 주문·결제 토큰이 어디에 저장되는지 한 장의 흐름도로 정리합니다. 카드번호 자체를 저장하지 않더라도 관리자 계정, 플러그인, 호스팅, 로그의 책임자를 지정합니다.
증적에는 계약서, 서비스 제공자 준수 확인, 시스템 목록, 사용자 권한, 변경 이력, 스캔 결과, 취약점 조치 기록을 포함합니다. 새 결제모듈, 태그매니저, 리뷰 위젯, 테마 변경처럼 결제 페이지에 영향을 주는 변경은 연례 점검일까지 기다리지 말고 즉시 범위를 재평가합니다.
| 영역 | 담당 | 변경 촉발점 |
|---|---|---|
| 결제 연동 | 개발·PG | 모듈 교체 |
| 페이지 스크립트 | 마케팅·개발 | 태그 추가 |
| 관리자 권한 | 운영·보안 | 입퇴사 |
| 증적·제출 | 재무·보안 | 연례 검증 |
가동중단과 계정탈취 비용은 별도 시나리오로 계산하세요
결제보안 비용은 주문당 200원처럼 원가에 배부하되, 장애 복구 설비의 경제성은 https://www.마진율.kr/seller-guide/storefront-outage-recovery-payback 에서 따로 계산하세요. 관리자 계정 보호와 권한 분리는 https://www.마진율.kr/seller-guide/seller-account-security-control-roi 의 기대손실 방식으로 평가하면 중복을 피할 수 있습니다.
PCI DSS 준수 확인은 보안의 전부가 아닙니다. 점검 통과 후에도 패치, 권한 회수, 스크립트 변경 감시, 사고 대응 연습을 운영 지표로 두고, 결제 구성이나 공식 기준이 바뀔 때 비용과 범위를 다시 산정하세요.
- 준수 비용과 장애·침해 기대손실을 별도로 표시합니다.
- 결제 페이지 변경을 보안 검토의 촉발점으로 둡니다.
- 서비스 제공자 증빙의 유효기간을 확인합니다.
- 공식 문서와 매입사 요구가 바뀌면 적용 SAQ를 재확인합니다.