国内外のPCI DSS最新動向【第1回】
一般企業向けにも現実的になったPCI DSS
クレジットカード情報の取り扱いに関するセキュリティ基準「PCI DSS」。本稿ではPCI DSSの最新動向としてVer.2.0での変更点などを紹介する。
PCI DSSとは
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報の取り扱いに関する情報セキュリティ基準である。カード会員情報の漏えい防止を目的に、5大国際カードブランド（Visa、MasterCard Worldwide、American Express、Discover Financial Services、JCB International）が2004年12月に共同作成した。詳しくは、2009年の連載「システム導入担当者のためのPCI DSS」を参考にしてほしい。
本連載では、全3回にわたりPCI DSSの最新動向や国内外でのPCI DSS普及状況、事例などを取り上げる。第1回はここ数年での最大トピックとして、2010年10月に発表されたPCI DSSの最新バージョン「PCI DSS Version 2.0」（以下、PCI DSS 2.0）を紹介する。
PCI DSS 2.0
PCI DSSに関する2009年以降の最大トピックスは、PCI DSS Ver.1.2からVer.2.0（※）へのバージョンアップである。メジャーバージョン番号が1から2になるということは、要求事項に大きな変更が加えられたことを想像させるが、今回のバージョンアップでは個々の要求事項に大きな変更は見られなかった。
（※）Ver.2.0は、PCI DSSの発行元であるPCI SSCのWebサイトで日本語訳をダウンロードできる。
最も大きな変更は、PCI DSSのバージョンアップに対するポリシーが2年から3年に延長されたことである。地震や火災といった脅威とは異なり、情報セキュリティに対する脅威は、技術の進歩とともに変遷するのが特徴である。従って、現在有効とされている防護技術も時間とともに陳腐化してしまう傾向がある。そのため、PCI DSSの発行元であるPCI SSC（PCI Security Standard Council）では、2年に1回の改訂をポリシーにしてきた。だが、コンプライアンスを求められる立場からすると、基準の改訂に追随する作業負荷や費用が重荷になっていたのが事実である。今回の改訂周期の延長は、そうしたPCI DSSのユーザーの声を反映した結果である。
その他の改訂も「より厳しくなった」というよりも「より現実的になった」という項目が目を引く。
例えば無線LANに関して、Ver.1.2では無線アナライザによるアクセスポイントの検出作業を四半期ごとに実施することを求めていた。システム管理者に無断で無線LANのアクセスポイントを増設するケースは国内でも散見される事象であり、定期的に無線LANのアクセスポイントを検出することには、それなりに意味がある。しかし、数千店舗もあるチェーン店が4半期ごとにアクセスポイントの検出作業を行うには莫大な費用が掛かることは容易に想像できる。今回の改訂では、システム管理者が承認していないネットワーク機器の無断接続を遮断する装置NAC（Network Access Control）が導入されていれば要件を満たすという選択肢が与えられており、より現実的な要求事項になっている。そういう意味で、クレジット業界に限らず一般企業のベースラインセキュリティ基準として、PCI DSSはますます導入しやすい規格になったと言うことができる。
年次コミュニティーミーティング
PCI SSCは、（1）国際カードブランド、（2）準拠審査機関（QSA：Qualified Security Assessor）や脆弱性検査機関（ASV：Approved Scanning Vender）、（3）カード発行会社や加盟店、の3つのコミュニティーで構成されている。3つのコミュニティーはそれぞれPO（Participating Organizations）と呼ばれている。
PCI SSCでは、コミュニティーのコンセンサス（合意）を形成するために毎年、POやITベンダーなどによるコミュニティーミーティングを開催している。中でも重要視されているのがPOの意見である。POは、PCI DSSのユーザーともいえるカード発行会社や加盟店が中心となっているコミュニティーであり、POが納得しなければ、PCI DSSの普及もあり得ないからである。
直近では、2010年9月に米国オーランドで、10月には、スペインのバルセロナでそれぞれ大規模なコミュニティーミーティングが開催された。Ver.2.0の正式発表を前にして行われたバルセロナのコミュニティーミーティングでは、改訂内容が小幅にとどまったこともあり、Ver.2.0に対する意見よりも、QSAの審査員の質が低いことを指摘する意見が多く聞かれた。
今回の改訂内容が小幅にとどまったことについて、PCI SSCのゼネラルマネジャー ボブ・ルッソ（Bob Russo）氏は、最初のPCI DSSが発行されてから6年が経過し、要求基準としてのPCI DSSが成熟したことを意味すると説明した。実際には、現状に納得をしていないPOの不満を和らげる効果を狙ったものである。
QSAの審査員の質に対する問題は、今回に限らず、毎回のコミュニティーミーティングで指摘されている問題である。寄せられている意見には、QSA審査員資格試験を厳しくすることや、継続的な教育による資質の向上などを求める声がある。この問題に対してPCI SSCは、2009年のコミュニティーミーティングにおいて、QSAの審査実態を評価する監査制度を導入することを発表している。少なくとも3年に一度は、全てのQSAがPCI SSCによって監査されることを目標とするとしていたが、スタッフの数が足りず十分な監査が実施できていないことが、今回の指摘に表れているようだ。
次回は、国内外でのPCI DSSの普及状況やPCI DSSの一般企業への応用について取り上げる。
＜筆者紹介＞
山崎文明
ネットワンシステムズ フェロー／ビジネスアシュアランス 代表取締役社長／PCI SSC PO Japan連絡会 会長
大手外資系会計監査法人にてシステム監査に長年従事。システム監査技術者（経済産業省）／英国規格協会公認BS7799 情報セキュリティ・スペシャリスト。システム監査、情報セキュリティ、個人情報保護に関する専門家として情報セキュリティに関する政府関連委員会委員を歴任。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
社会保険料の会社負担で人件費が増大？ 給与だけでは見えないコストの算出法 -
市場調査・トレンド
【経営センスが分かるクイズ】過剰借入のチェックに役立つ経営指標とは？ -
製品資料
【経営センスが分かるクイズ】「好業績」を錯覚しないためのポイントとは？ -
製品資料
経理担当の常識 「固定資産管理」の基礎知識 -
事例
ワークフローのポテンシャルを引き出せている？ 事例に学ぶ業務変革の秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
取手市がVDIと決別した理由 更改費用「4倍超」を約1.7倍に圧縮
-
3
エンジニアが選考を辞退する本当の理由 7割が隠す“面接の違和感”とは
-
4
なぜ人はいるのにDXが進まない？ ライオンも直面した“老害”レガシーシステム
-
5
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
6
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
7
急増する「AIはこう言ってる」マン 判断を狂わせる「AI忖度」を防ぐには？
-
8
レガシーERP脱却の現実解 ヘルスケア大手がSAPクリーンコアと標準AIを貫く理由
-
9
Anthropicが明かす AIは入力データを「どこまで覚えているのか」
-
10
Uberが挑んだ「無駄トークン撲滅」の全容 AI利用7倍でもコスト半減
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
3
“あのファイル転送”で暗躍するノーウェアランサム
-
4
オープンウェイトLLMの推論最適化事例：ローカル環境で応答速度を約15分の1へ
-
5
「結局、一部の人しか使わない」 AI活用が業務に定着しない根本的な理由
-
6
コスト分析で見る「デバイス復旧」の代償 損失額から導きだされた投資戦略とは
-
7
3分で分かる経理DX 富士通が約20％の業務効率化を実現した方法とは
-
8
ランサムウェア侵入経路の80％以上 「外部公開資産」のリスクにどう対処する？
-
9
属人化や仕様バグはなぜ起きる？ AI時代に必須のドキュメント文化の作り方
-
10
熊本城マラソンが顔認証システムを導入、本人確認はどのように変わったのか？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー