投稿者: 彦坂菜奈子

Security NEWS TOPに戻る
バックナンバー TOPに戻る

PCI DSSとは国際カードブランド5社により定められた、クレジットカード情報を守るためのセキュリティ基準です。2024年4月1日にはPCI DSS v4.0が運用を開始しています。本稿では、PCI DSSとは何か、PCI DSSv4.0の要件について解説。準拠のために何が必要になるのか等について触れながら、AWSのPCI DSS準拠や、PCI DSSが求めるペネトレーションテストなどについてご紹介します。

PCI DSSとは

PCI DSSとは「Payment Card Industry Data Security Standard」の略称で、クレジットカード業界や関連事業者がクレジットカード情報を安全に取り扱うことを目的に定められた、12の要件から構成される国際基準です。American Express、Discover、JCB、MasterCard、VISAの5つのカードブランドが共同で2004年に策定しました。

PCI DSS1https://www.jcdsc.org/pci_dss.phpは、上記カードブランド5社が設立した組織であるPCI SSC（PCI Security Standards Council）によって管理されています。2024年4月1日からはPCI DSS v4.0が運用開始しています*2https://www.pcisecuritystandards.org/document_library/。

PCI DSS準拠が求められる企業

PCI DSSは、クレジットカード情報の保存・処理・伝送などを行うすべての事業者（クレジットカード加盟店･銀行･クレジットカード決済サービス企業等）が準拠する必要があります。

年間のクレジットカード決済件数に応じて1～4の4段階でレベル分けがなされ、それぞれのレベルで検証が行われます。例えば最もレベルが高いレベル1の事業者に対しては、PCI SSCの認定セキュリティ評価機関（QSA：Qualified Security Assessor）による、毎年1回の訪問監査が必須となります。

準拠が必要な場合、あなたの組織がどのレベルに属するのかをまず把握しておきましょう。

PCI DSSに準拠しなくてよい「非保持化」と、その落とし穴

日本では、経済産業省が一部の加盟店に対して、クレジットカード情報の保存・処理・伝送を一切しない、いわゆる「クレジットカード情報の非保持化」か、PCI DSSの準拠のどちらかを選択することを認めています。（国際ブランド側には非保持化の概念自体なく、すべて事業体に対してPCI DSSの準拠が求められています。）

ただし、対象外かどうかは厳密に確認する必要があります。例えば、「自分の組織ではクレジットカード情報の保存等は一切行っていない」と思っていたとしても、決済代行サービスの管理画面上でPIN（Personal Identification Number：個人識別番号）などのカード会員情報を見ることができるなら、それは保存や処理にあたります。「作業者の目にはそうした情報は一切ふれない」という場合でも、カード決済端末からの情報が一度でも組織内のシステムを通過するなら、それは伝送にあたります。 また、自身ではクレジット決済を行っていなくとも、決済に関連するシステムを提供するなどのサービス（ECカートサービスなど）は、日本においても非保持化という選択はなくPCI DSS準拠が求められています。

上記のような状態で、「非保持化しているつもり」「PCI DSS準拠対象外のつもり」になっていないかどうかに注意しましょう。 このようなレギュレーション適用の判断については、正確性が重要です。PCI DSSに詳しいセキュリティ企業のアドバイスを受けることをおすすめします。

AWS環境下でのPCI DSS準拠

代表的なクラウドサービスのひとつであるAWS（Amazon Web Services）は、最も規模の大きい「レベル1」のサービスプロバイダとして、PCI DSSに準拠しています。こういったサービスプロバイダを上手に活用すれば、あなたの組織でPCI
DSS準拠に対応すべき範囲を減らすこともできます。ただし、慎重な運用が必要となることに変わりはありません。まずはAWSの責任共有モデルの理解からはじめましょう。

PCI DSSv4.0の要件一覧

以下に示すように、PCI DSSでは、6つの項目にわたって計12の要件が定められています。

安全なネットワークとシステムの構築と維持

1. ネットワークのセキュリティ制御を導入し、維持します。
2. すべてのシステムコンポーネントに安全な設定を適用します。

アカウントデータの保護

3. 保存されたアカウントデータを保護します。
4. オープンな公共ネットワークでの通信時に、強力な暗号化技術でカード会員データを保護します。

脆弱性管理プログラムの維持

5. すべてのシステムとネットワークを悪意のあるソフトウェアから保護します。
6. 安全なシステムおよびソフトウェアを開発し、維持します。

強固なアクセス制御の実施

7. システムコンポーネントおよびカード会員データへのアクセスを、業務上の必要性に応じて制限します。
8. ユーザーを識別し、システムコンポーネントへのアクセスを認証します。
9. カード会員データへの物理的なアクセスを制限します。

ネットワークの定期的な監視およびテスト

10. システムコンポーネントおよびカード会員データへのすべてのアクセスを記録し、監視します。
11. システムおよびネットワークのセキュリティを定期的にテストします。

情報セキュリティポリシーの維持

12. 組織の方針とプログラムによって情報セキュリティをサポートします。

PCI DSSv3.2.1から要件のタイトルも要件9以外変更になりました。要件の理解を高めるために詳細要件との用語の定義、文章の修正が行われました。

PCI DSSで求められる要件は明確で具体的です。そのため、一般的なセキュリティ管理のルールを策定する際の参考にされることがしばしばあるのですが、PCI DSSの要件に準拠したからといって、組織全体のセキュリティが万全になるとは言い切れない点に注意が必要です。例えば、PCI DSSでは、営業機密などへのアクセス制御不備があったとしても準拠に影響しない場合がありますし、PCI DSSへの準拠によってGDPR等の法制度に対応できるわけでもありません。PCI DSSを参考にする際は、それがあくまでクレジットカード情報の保護に特化した基準であることを念頭においたうえで活用するようにしましょう。

PCI DSSの評価方法 -PCI DSS準拠認定のために実施すること-

PCI DSS準拠にあたっては、PCI SSCが認定したQSA（Qualified Security Assessor：認定セキュリティ評価機関）による訪問監査、PCI DSSの基準に関するアンケートに回答する「自己問診（SAQ）」、PCI SSCが認定したASV（Approved Scanning Vendors：認定スキャニングベンダ）等によって行われるネットワークスキャンなどが、前述の4つのレベルに応じて実施されます。

PCI SSC準拠と継続のための2つのネットワークスキャン

PCI DSSにおけるネットワークスキャンとは、クレジットカード情報を扱うシステムや機器に対して、少なくとも3か月に1回、および対象システムに大幅な変更があった場合に、少なくとも四半期に1回、および対象システムに大幅な変更があった場合に、脆弱性スキャンを実施するものです。もし重大な脆弱性が発見された場合、準拠の認定や継続のためには、脆弱性の修正や代替案実施後の再スキャンで準拠基準に達しているという評価を得ることが必要になります。

ネットワークスキャンには、クレジットカード情報を扱うシステム等に対して外部から行うスキャンと、内部から行うスキャンの2つがあり、外部からのスキャンは必ず認定スキャニングベンダ（ASV）によって実施されなければなりません。

PCI SSC準拠と継続のためのペネトレーションテスト

また、クレジットカードの加盟店等は、少なくとも1年に1回（決済サービスプロバイダ等は1年に2回）、および対象システムに大幅な変更があった場合に、ペネトレーションテストを実施しなければなりません。

ペネトレーションテストを実施する際には、それがPCI DSSの要求を満たすテストであるかどうかを必ず確認しましょう。一般的基準で充分に高度とされるペネトレーションテストであっても、手法や範囲などがPCI DSSの要件を満たしていなければ、「システムの安全性は高まったがPCI DSSの準拠や継続ができなくなった」という事態が起こり得ます。

ペネトレーションテストには、外部からのネットワークスキャンのようなベンダ認定の仕組みがないため、選定での判断には注意が必要です。PCI DSSのペネトレーション要件に精通した企業の助力を求めるとよいでしょう。

BBSecでは

なお、株式会社ブロードバンドセキュリティは、PCI SSC認定QSA（PCI DSS準拠の訪問審査を行う審査機関）です。また、PCIDSS準拠のためのネットワークスキャンやペネトレーションテストの実績を多数持っています。準拠基準についての疑問や対応困難な状況があるといったような懸念・不安などは曖昧なままにせず、QSAにご相談いただくことをおすすめいたします。

弊社では「今さら聞けない！ PCI DSSで求められる脆弱性診断 -4月1日運用開始！PCI DSSv4.0での脆弱性診断実施におけるポイントとは-」と題したウェビナーで、PCI DSS v4.0で求められる脆弱性スキャンやペネトレーションテストについて、v3.2.1からの変更点を中心にお話しています。ご関心がおありでしたら、ぜひご参考にしていただければと思います。

最新情報はこちら

まとめ

• PCI DSSとは、国際カードブランド5社により定められた、安全にクレジットカード情報を取り扱うためのセキュリティ基準です
• クレジットカード情報の保存・処理・伝送を行うすべての事業者（クレジットカード加盟店･銀行･クレジットカード決済サービス企業等）が、PCI DSSに準拠する必要があります
• PCI DSSへの準拠では、自己問診や、ASV（認定スキャニングベンダ）によるネットワークスキャン、QSA（認定セキュリティ機関）による訪問監査などが実施されます
• ペネトレーションテストを実施する際は、テストの手法や範囲などがPCI DSSの要件を満たしていることを確認する必要があります

Security NEWS TOPに戻る
バックナンバー TOPに戻る