情報セキュリティ業界にとって、PCI DSSは、機密性の高いデータのセキュリティを確保する上で最も重要なベースラインの1つとして広く認知されており、2004年に初めて策定された。その目的は、支払いカードのデータがどこに、どんな方法で保存、処理、送信されようとも、販売業者がそのデータを保護できるようにすることだ。

　2010年以来の改訂となるPCI DSS 3.0では、12件の要件全てについて変更が加えられ、侵入テストに関する規定、サービスプロバイダーの責任、パスワードと認証情報に関する要件、マルウェアの検知、変更の管理などに対して大きな修正が施された（詳細は記事末尾参照）。また、全ての要件に関係する追加的変更として、PCI DSSバージョン2.0では要件12.1.1と12.2で規定されていた運用手順とセキュリティポリシーが、それぞれ独立した要件になった。

厳しくなった侵入テスト要件

　業界で特に大きな議論を呼んでいる変更が加えられたのが要件11.3と11.4だ。認定スキャンベンダーによる四半期ごとの脆弱性評価を義務付けた従来の規定に加え、カード会員データ環境（CDE：Cardholder Data Environment）が他のネットワークから適切に分離されていることを確認するための侵入テストを、企業が実施するよう新たに義務付けたのだ。

　PCI SSCのトロイ・リーチ最高技術責任者（CTO）によると、これはバージョン3.0で最も重要な変更点の1つだという。

　「従来は、『CDEと見なされる範囲を分離しているので問題ない』とする企業の判断に任せてきたが、セキュリティコントロールのテストが適切に実施されていないことが分かった」とリーチ氏は語る。

　モバイル／クラウドセキュリティサービス会社の米Neohapsisで上席セキュリティコンサルタントを務め、PCI DSSにも詳しいパトリック・ハーバウアー氏は「侵入テスト要件が厳しくなったことで、販売業者たちは『NIST SP 800-115』などの共通侵入テスト標準を導入することになるだろう。認定審査機関（QSA：Qualified Security Assessor）は侵入テスト作業を厳しく監視し、企業が新しいガイドラインに従っていることを確認する必要がある」と話す。

　「これまで侵入テストで曖昧になっていた部分がこれで解消される」とハーバウアー氏は言う。「プロセスが正式化されたことで、環境のセグメンテーション（分離）が実際に効果的であることを確認する要件などを中心に多くの改善が必要になるだろう」

　米Aite Groupの調査ディレクター、ジュリー・コンロイ氏によると、販売業者たちは新しい侵入テスト要件を歓迎しないかもしれないという。PCI DSSのコンプライアンスに対応するためのコストが「間違いなく増える」からだ。「それでもこれらの要件は重要かつ必要だ」と同氏は話す。

　「セキュリティへの脅威をめぐる環境は急速に変化しているため、販売業者は新製品をリリースするに当たって、製品が配備される環境に誤ってバックドアを開いたりしないようにする責任を負わねばならなくなってきた」とコンロイ氏は語る。「これは、機密データを保持する企業は十分なコントロール機能を配備する責任があるという考え方に基づくものだ」

POSシステムの定期検査

　要件9.9では、支払いカードのデータを顧客のカードから直接読み取るPOS（Point Of Sale）端末を保護することが販売業者に義務付けられた。この要件に対応するには、端末の改ざんや、すり替えを発見するためにPOSシステムの現場検査を定期的に実施する必要がある。

　PCI SSCのゼネラルマネジャーを務めるボブ・ラッソ氏によると、販売店でのカードスキミングは依然として大きな脅威となっており、特に小売業界が活気づくクリスマスシーズンが危険だという。

　「販売業者は店内にどんな支払い用端末があるのかを把握し、定期的に検査を実施する必要がある」とラッソ氏は語る。「端末の外観を頭に入れておき、余計な配線が接続されていないか時々チェックすることが大切だ。改ざんが加えられた形跡が見つかったら、すぐに報告しなければならない」

　コンプライアンス／セキュリティサービス企業の米Trustwaveのセキュリティ担当技術者、グレッグ・ローゼンバーグ氏によると、多くの販売業者はPCI DSSに対応したベストプラクティスとしてPOS点検を既に実施しているものの、ほとんどの小売店ではシステムのセキュリティを確保するのに苦労しているという。「この問題を解決するには、POS端末を操作する従業員のセキュリティ意識を高める教育を充実させることにより、従業員がPOS自体に関連するセキュリティの脅威を特定できるだけでなく、小売り環境で全般的に不審な挙動を特定できるようにする必要がある」（同氏）

サービスプロバイダーのコンプライアンス違反を防ぐ

　PCI DSSでもう1つ大きく変更されたのは、サービスプロバイダーに関する部分だ。要件8.5.1では、プロバイダーが顧客の環境にリモートでアクセスする場合には一義的な認証情報を使用することが求められており、要件12.9では、「プロバイダーは保有するカード会員データに対して責任があることを記載した書面を顧客に提出しなければならない」と明記している。販売業者向けに日常的なIT業務を処理するプロバイダーも、その他の幾つかの要件変更の影響を受ける可能性がある。特に注目されるのが、カード会員データ環境において変更検知のアラートに応答するプロセスの実装を義務付けた要件11.5.1である。

　ハーバウアー氏によると、PCI DSS 3.0に盛り込まれた変更により、サービスプロバイダーはPCI DSSの個々のコンプライアンス要件への対応の責任などに関する契約文言を詳細に明記することが求められるようになったという。

　「PCI SSCは、PCI DSS 3.0でサービスプロバイダーの責任を明確にしようとしているようだ」と同氏は語る。「従来は、サービスプロバイダーの役割と責任に関する記述は少なかったが、今回のバージョンでは重点が置かれている」

　「サービスプロバイダーに関する変更の主な狙いは、コンプライアンス対応プロセスで想定外の事態が起きるのを避けることにある」とハーバウアー氏は語る。以前、同氏の会社が取引していた顧客は、ディザスタリカバリサービスを提供するサードパーティープロバイダーを利用していた。その顧客は、プロバイダーがきちんとコンプライアンス対応をしていると思っていたのだが、実際にはQSAから十分な承認を受けていなかったことが後で分かったという。

　「サーバの構築とパッチ適用、ウイルス対策、ログ記録、モニタリングなど、サードパーティーが提供する全てのサービスの認証を受ける必要があった。結局、この1年間で、この顧客のコンプライアンス対応コストは2倍になってしまった」とハーバウアー氏は話す。

コンプライアンス対応コストをめぐる批判

　PCI DSSに対してよく聞かれる批判の1つが、コンプライアンス対応のコストが高いということだ。大手販売業者の場合、数十万ドルを超えるコストが掛かることも多い。高いコストが掛かる割には、セキュリティ事件は一向に減らない。セキュリティ対策を実施している企業も例外ではない。

　「年次アセスメントや四半期アセスメントが監査と見なされないのには理由がある。QSAが企業内で48時間もかけて、インフラのあらゆる要素を完全に検証することは不可能だからだ」とAite Groupのコンロイ氏は話す。「PCI DSS 3.0は『企業は基礎的な部分でデータセキュリティ対策を講じるべきだ』という考え方をさらに推し進めるものだ」

　Trustwaveのローゼンバーグ氏は、PCI DSS 3.0がリスク評価に関する新しいガイダンスや、モバイル支払いに関するガイダンスを示していないことに失望したという。「新標準は、企業が自社のリスクプロファイルを評価し、必要に応じて『リスク評価の頻度を増やす』あるいは『パスワード要件を厳格化する』といった追加的対策を講じるよう促すべきだ」と同氏は話す。

　さらにローゼンバーグ氏は「新標準では相変わらず、モバイル支払い処理とモバイル端末のセキュリティが無視されているため、モバイル支払い技術を利用あるいはサポートする販売業者は、PCI DSSへのコンプライアンスに対応する方法を自分たちで決めなければならない」と批判する。同氏によると、クレジットカード大手5社は、モバイル技術にセキュリティ制限を設けることに対して消極的だという。モバイル支払いで期待される増収の機会を逃したくないからだ。

　「だがこれは、カード会社自身がビジネスチャンスを逃すことになる」とローゼンバーグ氏は指摘する。セキュリティは新興の競合企業に対する差別化要因になり得るからだ。

　PCI SSCがPCI DSS 3.0のリリースで目指した最大の狙いは、PCI DSSへの対応を“企業の日常業務の一部”にすることだが、「これは不可能に近い課題だ」と指摘する向きもある。クラウドホスティング企業の米Firehostで情報セキュリティ担当ディレクターを務めるカート・ハガーマン氏は「情報セキュリティに関して未成熟な企業が多く、これは無理な要求だ」と批判する。

　「PCI DSSの傘下にある企業の圧倒的多数は中堅・中小企業だ。こういった企業には、情報セキュリティ担当者がいないというだけでなく、IT部門さえ存在しない場合もあるだろう」とハガーマン氏は話す。「今回のPCI DSSの変更は、コンプライアンス対応を企業の日常業務の一部とするために必要な時間と専門知識とスタッフを持たない大多数の販売業者に新たな負担を強いるものだ」

　一部の企業にとって今回の変更は寝耳に水だったようだ。このためハーバウアー氏は「PCI DSS 3.0に基づく最初の審査の6～9カ月前に信頼できるQSAを呼んで不備がないか点検してもらい、問題が見つかったら対処してもらうことを強くお勧めする」と話す。

最終版での修正および将来構想

　当初、「PCI DSSの最終版は2013年8月にリリースされたプレビュー版とは大幅に異なる見込みだ」と報じられていたが、バージョン3.0がリリースされてみると、予想外の変更はわずかだった。

　リーチ氏によると、要件9.9の修正では、POS端末が改ざんされていないか検査するためのベストプラクティスを明確化するとともに、攻撃が起きやすい場所が強調されたという。また、メモリスクレイピング（揮発性メモリ内にあるカード会員データを収集する攻撃）への具体的な対処方法は、コミュニティーからのフィードバックに基づき、要件からベストプラクティスに変更された。

　これらの要件の大半は2014年1月1日に施行され、企業は2015年が始まるまでにPCI DSS 3.0に移行しなければならない。しかし侵入テストやサービスプロバイダーに関する要件などの変更については、販売業者に6カ月余りの準備期間が与えられ、2015年7月15日から施行される。

　「業界団体の会合におけるPCI DSS 3.0の評価は極めて好意的なものだ。今回の改訂は、標準の使いやすさと柔軟性を改善するとともに、セキュリティを共同責任として位置付けることに主眼が置かれており、人々はこれを歓迎している」とPCI SSCのラッソ氏は語る。