PCI DSSの特徴の1つは、要求事項が具体的に示されている点にある。ISO27000シリーズに代表される、従来の情報セキュリティポリシーの策定と運用という情報セキュリティへの取り組みは、仮に審査機関の審査を経て認証を受けていたとしても十分なセキュリティ水準が確保されていることを保証するものではない。PCI DSSの場合は、6つの分野に対して12の要求事項が定義されているが、個々の要求事項は、ファイアウォールの設定ルールを示すなど具体的に示されている。具体的な実装方法をデータセキュリティモデルとして示すことで、客観的なベースラインセキュリティの水準を示すことを可能としている。

　PCI DSSによるデータセキュリティモデルの構築には、取引先やグループ企業間のベースラインセキュリティの確立以外にもさまざまな効用がある。

　第一にゴール（目的）の可視化が挙げられる。一般の経営者にとって情報セキュリティは難解であり、費用対効果の判断がしづらい分野である。毎年のように申請されるセキュリティ対策費用がどのような効果をもたらすのか、いつまで情報セキュリティに対する投資が続くのか、それらの投資が最終的にどの程度のセキュリティ水準を保証するものなのかを判断できる経営者は少ない。その点、PCI DSSを基にデータセキュリティモデルを示し、「カード会社並みのセキュリティ水準を確保する」という表現を取れば、経営者に安心感を与えられる。さらに、今後どの程度のセキュリティ対策コストが必要となるかについての目安が得られることから、計画的投資が可能となる。この点も、経営者にとっては非常に重要である。

　また、グループ企業間でデータセキュリティモデルを共有することは、セキュリティ対策製品の共通化につながり、共同購買などの調達費の削減や問題への対処の迅速化といった効果が期待できる。これは米国流の経営では古くから行われてきた方式だが、日本企業のグループ企業統治能力は米国と比較してまだまだ低いように思える。

PCI DSSが抱える課題

　PCI DSSのようなガイドライン、規格の類は常に課題を抱えており、PCI DSSも例外ではない。代表的な現状の課題としては、「QSA（Qualified Security Assessor：セキュリティ評価業者）の判断基準に属人的なブレがあること」「仮想化という最新技術動向への対応が遅れていること」の2点が指摘されている。

　PCI DSSへの準拠レベルを確認する手段としては、QSAと呼ばれる、PCI SSCから認定された監査人が監査を行う仕組みが取られているが、QSAによってはPCI DSSに記載された要求事項の解釈が異なるという問題がある。

　PCI SSCはこの問題への対処として、2008年のPCI DSSの改定の中で要求事項と監査手続きを併記するという大胆な編集方針の変更を行っている。被監査体が監査人の監査手続きを理解することで要求事項に対する共通の理解を促すことができるとの判断からだ。さらに、被監査体から監査の品質に対する評価をPCI SSCに提出することを義務付けている。要求事項の解釈に見解の相違があればPCI SSCにリポートすることで異を唱える機会が与えられるわけだ。

　被監査体である企業と監査人との見解の相違で最も多いのがスコープ、すなわち監査対象範囲の認識の相違だ。PCI DSSでは、カード会員データ環境に含まれるすべてのシステムコンポーネントを監査対象としている。ここでいうカード会員データ環境とは、カード会員データまたはセンシティブ認証データ（※）を保有するネットワークの一部とされている。また、システムコンポーネントとは、カード会員データ環境に含まれる、あるいはカード会員データ環境に接続するすべてのネットワークコンポーネント、サーバ、アプリケーションを指す。このネットワークコンポーネントにはファイアウォールやスイッチ、ルータなどのネットワーク機器、無線アクセスポイント、そのほかのセキュリティ機器などが含まれる。サーバタイプには、Web、アプリケーション、データベース、認証、メール、プロキシ、NTP（Network Time Protocol）、DNSなどが含まれる。一方アプリケーションには、内部および外部（インターネット）アプリケーションなど、すべての市販およびカスタムアプリケーションが含まれる。

※センシティブ認証データ：カード会員を認証するために使用される認証コードやPINなどの情報のこと。

新しいPCI DSSへの動き

　カード会員データを保護する上で、どこまでをカード会員データ環境と認識するかが非常に重要なポイントであることは言うまでもない。2008年のPCI SSC年次総会で最も質疑が多かったのも、このカード会員データ環境の解釈に関する内容だったことから、PCI SSCでは2009年に入ってスコープに関するSIG（Special Interest Group）と呼ぶ組織を発足させた。SIGとは、SSC会員各社から選抜された専門家で構成されたチームでPCI DSSの改定案を検討する委員会である。

　基本的にPCI DSSの新しいバージョンは、SIGメンバーによって事前に承認された後、事前承認された内容が年次総会で最終承認されて、正式にリリースされる仕組みになっている。すなわちSIGが新設されたということは、その分野に関する改定が次期バージョンで予定されることを意味しているわけだ。

　要保護データや重要データのセキュリティを確保する上でそれぞれのデータが扱われるシステムやネットワークを特定し、隔離することは、企業がセキュリティ水準を高度に維持する上で重要な設計思想だ。PCI DSSでは、カード会員データ環境のネットワークセグメンテーションやそのほかの企業ネットワークからの隔離（セグメント化）を、必要条件ではないとしつつもリスクを低減する方法として推奨している。PCI DSSへの準拠が求められない一般企業でも、システムのインフラやネットワークを設計する段階から扱われるデータの重要性を考慮してセグメント化するという考えは念頭に置いておくべきだろう。

　なお、仮想化という最新技術動向への対応が遅れている課題に対しても同様にSIGが新設された。仮想化環境におけるベースラインセキュリティとしてどのような要求が出てくるかが注目される。

　PCI DSSは、最長でも2年に1回の改定が予定されている。前回の改定は2008年10月1日だったことから、次回の改定は遅くとも2010年10月に行われるはずだ。

国内の取り組みはどうか

　最後に、PCI DSSへの対応に関する国内動向についても紹介しておこう。国内での大きな取り組みとしてはPCI SSC PO Japan連絡会の発足を挙げることができる。

　同連絡会は、PCI SSCに加盟している日本企業で構成する任意団体で、PCI DSSの正しい理解とPCI DSS改定への国内事情の反映を目的にしている。「PO」とは、Participating Organizationsの頭文字を取ったもので、SSCの組織上はステークホルダーに分類される事業者を指す。PCI DSSへの準拠が求められる加盟店やデータセンターをはじめとするサービスプロバイダー、さらにはセキュリティツールベンダーやコンサルティング企業、POSレジスターのメーカーなどがこのPOに該当する。

PCI SSCの構成

　先述したように、PCI DSSの普及を目指す上で阻害要因となる問題の1つにQSAの判断基準がブレているという事象がある。PCI DSSの解釈をめぐるQSAとの意見の相違は、既に日本国内でも発生している。そこで連絡会では、QSA監査事例の収集を通して、PCI DSSの各要求事項に対する複数のQSAの見解から共通した解釈とできるものを収集し、PCI DSS FAQという形で公開することで、PCI DSSの各要求事項の解釈の統一を試みている。

　連絡会のもう1つの活動目的は、国内事情と意見を集約してPCI DSSに日本の実情を反映すること。PCI DSSに日本企業の実情が少しでも反映され、日本企業にとっても理解が得られやすい事実上の国際標準とすることが国内普及を推し進める上でも重要なポイントになるはずだ。同様に連絡会では、カード会員データ処理を伴うシステム開発に携わるシステムエンジニアのために正確なPCI DSSの解釈と実装例に関するトレーニングを提供している。PCI DSSを正確に理解したシステムエンジニアを1人でも多く育成することもPCI DSSの国内普及には欠かせない。また、カード決済にかかわらない一般企業の情報システム部門にとっても、PCI DSSの学習やPCI DSSのバージョン改定をモニターしていくことは、ベースラインセキュリティの確立に必ず役立つはずだ。

　PCI DSSの対応意義や規格の動向など概要を理解したところで、続く後編では、一般企業がPCI DSSを適用する際の具体的なノウハウについて解説する予定だ。