国内外のPCI DSS最新動向【第1回】
一般企業向けにも現実的になったPCI DSS
クレジットカード情報の取り扱いに関するセキュリティ基準「PCI DSS」。本稿ではPCI DSSの最新動向としてVer.2.0での変更点などを紹介する。
PCI DSSとは
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報の取り扱いに関する情報セキュリティ基準である。カード会員情報の漏えい防止を目的に、5大国際カードブランド（Visa、MasterCard Worldwide、American Express、Discover Financial Services、JCB International）が2004年12月に共同作成した。詳しくは、2009年の連載「システム導入担当者のためのPCI DSS」を参考にしてほしい。
本連載では、全3回にわたりPCI DSSの最新動向や国内外でのPCI DSS普及状況、事例などを取り上げる。第1回はここ数年での最大トピックとして、2010年10月に発表されたPCI DSSの最新バージョン「PCI DSS Version 2.0」（以下、PCI DSS 2.0）を紹介する。
PCI DSS 2.0
PCI DSSに関する2009年以降の最大トピックスは、PCI DSS Ver.1.2からVer.2.0（※）へのバージョンアップである。メジャーバージョン番号が1から2になるということは、要求事項に大きな変更が加えられたことを想像させるが、今回のバージョンアップでは個々の要求事項に大きな変更は見られなかった。
（※）Ver.2.0は、PCI DSSの発行元であるPCI SSCのWebサイトで日本語訳をダウンロードできる。
最も大きな変更は、PCI DSSのバージョンアップに対するポリシーが2年から3年に延長されたことである。地震や火災といった脅威とは異なり、情報セキュリティに対する脅威は、技術の進歩とともに変遷するのが特徴である。従って、現在有効とされている防護技術も時間とともに陳腐化してしまう傾向がある。そのため、PCI DSSの発行元であるPCI SSC（PCI Security Standard Council）では、2年に1回の改訂をポリシーにしてきた。だが、コンプライアンスを求められる立場からすると、基準の改訂に追随する作業負荷や費用が重荷になっていたのが事実である。今回の改訂周期の延長は、そうしたPCI DSSのユーザーの声を反映した結果である。
その他の改訂も「より厳しくなった」というよりも「より現実的になった」という項目が目を引く。
例えば無線LANに関して、Ver.1.2では無線アナライザによるアクセスポイントの検出作業を四半期ごとに実施することを求めていた。システム管理者に無断で無線LANのアクセスポイントを増設するケースは国内でも散見される事象であり、定期的に無線LANのアクセスポイントを検出することには、それなりに意味がある。しかし、数千店舗もあるチェーン店が4半期ごとにアクセスポイントの検出作業を行うには莫大な費用が掛かることは容易に想像できる。今回の改訂では、システム管理者が承認していないネットワーク機器の無断接続を遮断する装置NAC（Network Access Control）が導入されていれば要件を満たすという選択肢が与えられており、より現実的な要求事項になっている。そういう意味で、クレジット業界に限らず一般企業のベースラインセキュリティ基準として、PCI DSSはますます導入しやすい規格になったと言うことができる。
年次コミュニティーミーティング
PCI SSCは、（1）国際カードブランド、（2）準拠審査機関（QSA：Qualified Security Assessor）や脆弱性検査機関（ASV：Approved Scanning Vender）、（3）カード発行会社や加盟店、の3つのコミュニティーで構成されている。3つのコミュニティーはそれぞれPO（Participating Organizations）と呼ばれている。
PCI SSCでは、コミュニティーのコンセンサス（合意）を形成するために毎年、POやITベンダーなどによるコミュニティーミーティングを開催している。中でも重要視されているのがPOの意見である。POは、PCI DSSのユーザーともいえるカード発行会社や加盟店が中心となっているコミュニティーであり、POが納得しなければ、PCI DSSの普及もあり得ないからである。
直近では、2010年9月に米国オーランドで、10月には、スペインのバルセロナでそれぞれ大規模なコミュニティーミーティングが開催された。Ver.2.0の正式発表を前にして行われたバルセロナのコミュニティーミーティングでは、改訂内容が小幅にとどまったこともあり、Ver.2.0に対する意見よりも、QSAの審査員の質が低いことを指摘する意見が多く聞かれた。
今回の改訂内容が小幅にとどまったことについて、PCI SSCのゼネラルマネジャー ボブ・ルッソ（Bob Russo）氏は、最初のPCI DSSが発行されてから6年が経過し、要求基準としてのPCI DSSが成熟したことを意味すると説明した。実際には、現状に納得をしていないPOの不満を和らげる効果を狙ったものである。
QSAの審査員の質に対する問題は、今回に限らず、毎回のコミュニティーミーティングで指摘されている問題である。寄せられている意見には、QSA審査員資格試験を厳しくすることや、継続的な教育による資質の向上などを求める声がある。この問題に対してPCI SSCは、2009年のコミュニティーミーティングにおいて、QSAの審査実態を評価する監査制度を導入することを発表している。少なくとも3年に一度は、全てのQSAがPCI SSCによって監査されることを目標とするとしていたが、スタッフの数が足りず十分な監査が実施できていないことが、今回の指摘に表れているようだ。
次回は、国内外でのPCI DSSの普及状況やPCI DSSの一般企業への応用について取り上げる。
＜筆者紹介＞
山崎文明
ネットワンシステムズ フェロー／ビジネスアシュアランス 代表取締役社長／PCI SSC PO Japan連絡会 会長
大手外資系会計監査法人にてシステム監査に長年従事。システム監査技術者（経済産業省）／英国規格協会公認BS7799 情報セキュリティ・スペシャリスト。システム監査、情報セキュリティ、個人情報保護に関する専門家として情報セキュリティに関する政府関連委員会委員を歴任。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[キヤノンマーケティングジャパン株式会社] マンガで学ぶXDR／MDRのメリット、中小企業のセキュリティ強化になぜ有効か？ -
市場調査・トレンド
[キヤノンマーケティングジャパン株式会社] 有識者が語る、中堅中小企業に求められる最新のサイバーセキュリティ対策とは -
製品資料
[キヤノンマーケティングジャパン株式会社] マンガで解説：情シスの負担を減らす「MDRサービスのインシデント対応」の中身 -
市場調査・トレンド
[SANS Training Japan 合同会社] “知識”では守れない AI時代に問われる実戦力の身に付け方 -
製品資料
[株式会社イトーキ] 会議室不足を解決する「AI×データ」活用術
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
3
Microsoft 365移行で露呈した標準機能の限界 地方銀行は上長承認や「脱PPAP」をどう実現？
-
4
Microsoft 365導入後も稟議は「Excelをメールで回覧」 承認が止まる理由
-
5
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
6
OpenAIやAnthropicでさえ制御不能 2026年夏「3大サイバー攻撃」の衝撃
-
7
AIエージェントで「ERPの魔改造」復活の懸念 せっかくのクリーンコアが崩壊
-
8
増えすぎたAIエージェントが野良化 幹部の36％がインシデント発生時に隠したいと回答
-
9
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
10
Googleの業務向けAIエージェント「Gemini Agent」が登場 しかし課題は山積み
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
3
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
4
「IT史に名を残すシステム障害」8選
-
5
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
SASE選定は「見極め力」で大きな差――本当に必要な製品を選ぶための6つの視点
-
8
マンガで学ぶXDR／MDRのメリット、中小企業のセキュリティ強化になぜ有効か？
-
9
脱VMwareに成功した企業は何をどう実践した？ 事例に学ぶ戦略立案＆実装のコツ
-
10
自社データから高精度な回答を生成、簡単に生成AIチャットボットを構築する方法
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー