最も大きな変更は、PCI DSSのバージョンアップに対するポリシーが2年から3年に延長されたことである。地震や火災といった脅威とは異なり、情報セキュリティに対する脅威は、技術の進歩とともに変遷するのが特徴である。従って、現在有効とされている防護技術も時間とともに陳腐化してしまう傾向がある。そのため、PCI DSSの発行元であるPCI SSC（PCI Security Standard Council）では、2年に1回の改訂をポリシーにしてきた。だが、コンプライアンスを求められる立場からすると、基準の改訂に追随する作業負荷や費用が重荷になっていたのが事実である。今回の改訂周期の延長は、そうしたPCI DSSのユーザーの声を反映した結果である。

　その他の改訂も「より厳しくなった」というよりも「より現実的になった」という項目が目を引く。

　例えば無線LANに関して、Ver.1.2では無線アナライザによるアクセスポイントの検出作業を四半期ごとに実施することを求めていた。システム管理者に無断で無線LANのアクセスポイントを増設するケースは国内でも散見される事象であり、定期的に無線LANのアクセスポイントを検出することには、それなりに意味がある。しかし、数千店舗もあるチェーン店が4半期ごとにアクセスポイントの検出作業を行うには莫大な費用が掛かることは容易に想像できる。今回の改訂では、システム管理者が承認していないネットワーク機器の無断接続を遮断する装置NAC（Network Access Control）が導入されていれば要件を満たすという選択肢が与えられており、より現実的な要求事項になっている。そういう意味で、クレジット業界に限らず一般企業のベースラインセキュリティ基準として、PCI DSSはますます導入しやすい規格になったと言うことができる。

年次コミュニティーミーティング

　PCI SSCは、（1）国際カードブランド、（2）準拠審査機関（QSA：Qualified Security Assessor）や脆弱性検査機関（ASV：Approved Scanning Vender）、（3）カード発行会社や加盟店、の3つのコミュニティーで構成されている。3つのコミュニティーはそれぞれPO（Participating Organizations）と呼ばれている。

　PCI SSCでは、コミュニティーのコンセンサス（合意）を形成するために毎年、POやITベンダーなどによるコミュニティーミーティングを開催している。中でも重要視されているのがPOの意見である。POは、PCI DSSのユーザーともいえるカード発行会社や加盟店が中心となっているコミュニティーであり、POが納得しなければ、PCI DSSの普及もあり得ないからである。

　直近では、2010年9月に米国オーランドで、10月には、スペインのバルセロナでそれぞれ大規模なコミュニティーミーティングが開催された。Ver.2.0の正式発表を前にして行われたバルセロナのコミュニティーミーティングでは、改訂内容が小幅にとどまったこともあり、Ver.2.0に対する意見よりも、QSAの審査員の質が低いことを指摘する意見が多く聞かれた。

　今回の改訂内容が小幅にとどまったことについて、PCI SSCのゼネラルマネジャー ボブ・ルッソ（Bob Russo）氏は、最初のPCI DSSが発行されてから6年が経過し、要求基準としてのPCI DSSが成熟したことを意味すると説明した。実際には、現状に納得をしていないPOの不満を和らげる効果を狙ったものである。

　QSAの審査員の質に対する問題は、今回に限らず、毎回のコミュニティーミーティングで指摘されている問題である。寄せられている意見には、QSA審査員資格試験を厳しくすることや、継続的な教育による資質の向上などを求める声がある。この問題に対してPCI SSCは、2009年のコミュニティーミーティングにおいて、QSAの審査実態を評価する監査制度を導入することを発表している。少なくとも3年に一度は、全てのQSAがPCI SSCによって監査されることを目標とするとしていたが、スタッフの数が足りず十分な監査が実施できていないことが、今回の指摘に表れているようだ。

　次回は、国内外でのPCI DSSの普及状況やPCI DSSの一般企業への応用について取り上げる。