PCI DSSの推進協議会「PCI SSC（Payment Card Industry Security Standards Council）」は2014年3月初旬、PCI DSSに準拠する企業に注意を喚起すべく、イラスト付き解説（下図）を新たにリリースし、XPの利用継続に伴うセキュリティリスクの増大を訴えた。米NetMarketShareの2014年2月のデータによると、XPは30％近くのデスクトップコンピュータで動作している。

PCI SSCの解説《クリックで拡大》

　潜在的なセキュリティリスクに加え、XPのセキュリティパッチの提供が4月で終了するのに伴い、PCI DSSへの対応にまつわるリスクも生じる。PCI DSSの要件6.2では、「カード会員データ環境（CDE：Cardholder Data Environment）内のシステムコンポーネントは、ベンダーから提供される最新のセキュリティパッチをインストールすることにより、既知の脆弱性を防護しなければならない」と規定されている。

　これは、XPのセキュリティパッチの提供が終了した後は、販売業者のCDE内にXP搭載システムが存在すればPCI DSSの審査を通らなくなるということなのだろうか。PCI SSCでは、XPが全般的なセキュリティリスクをもたらすことを認識しているものの、PCI SSCの関係者によると、XPの審査に関する合否の目安を提供するのが難しいため、同協議会は対応に苦慮しているという。

　「XPを利用している企業が引き続きPCI DSSに準拠しているかどうかは、簡単に判断できることではない。コンプライアンス関連の問題全般にいえることだが、これは認定審査機関（QSA：Qualified Security Assessor）が審査プロセスを経て判断するものだ」と語るのは、PCI SSCのエラ・ネビル副会長だ。「当協議会の狙いは、Windows XPをめぐる状況の変化に対する注意を企業に喚起し、審査機関および加盟店銀行との話し合いを始めるよう促すことにある」

　セキュリティとコンプライアンス関連サービスを手掛ける米Trustwaveのセキュリティ担当技術者でPCI審査員を務めるグレッグ・ローゼンバーグ氏は「SSCは口を閉ざしているが、サポート終了日が過ぎた後でCDE内にXPシステムが存在すれば、審査に通らないのはほぼ間違いない。深刻なセキュリティ問題を修正する仕組みがないからだ」と話す。

　PCI DSSの要件6.2がサポート終了後のOSにどこまで適用されるかについては、QSAの間で意見が分かれるかもしれないが、ローゼンバーグ氏によると、XPが受け入れられない最大の理由は、要件11.2の脆弱性審査のガイドラインにあるという。「システムの脆弱性審査を実施する際、審査員は問題が見つかると、『共通脆弱性評価システム（CVSS：Common Vulnerability Scoring System）』などの標準的な手法に基づいてシステムを採点する。パッチを適用できないXPシステムの危険性は、即、不合格につながるだろう」と同氏は語る。

　「理屈の上では、SSCはXPに対して融通を利かせることができるのだが、実際にXPシステムが見つかってしまえば、その会社は審査不合格になるだろう」

XPサポート終了のリスクだけではない

　CDEにWindows XPが多数存在するという状況は、販売業者に深刻な問題を突き付けている。ローゼンバーグ氏によると、TrustwaveのPOS（Point of Sale：販売時点管理）端末セキュリティ製品「TrustKeeper Agent」が動作している10万台余りのPOSシステムのうち数万台でWindows XPが使われているという。正確な数字は不明だが、Trustwaveの推定では、今日現場で使われているWindows XPベースのPOSシステムの比率は30％を大きく上回る。

　さらに同氏によると、XPが動作している統合型POSシステム（磁気カード読取装置、端末、ワークステーションを組み合わせて対面取引処理を行うシステム）の割合はさらに高いという。だがXPが広範に利用されているにもかかわらず、自社のPOSシステムでどんなプラットフォームが動作しているのかを知らない販売業者が多いのが実情だ。その理由としては、「この問題の重要性を認識していない」「決済システムプロバイダーが情報を提供していない」「装置にWindowsロゴが付いていない、起動時にロゴが表示されない」などが挙げられる。

　「さらに問題なのは、決済システムプロバイダーが今でもWindows XPベースの新しいPOSシステムを販売していることだ。これらの製品が設置されるころには、既にXPはサポート切れになっているはずだ」とローゼンバーグ氏は指摘する。

　「彼らに悪意があるという理由ではない。ただ知らないだけだ。XPのサポート終了が近づくにつれて危機意識が高まっていただろうが、もう手遅れだろう」（同氏）

XPシステムのリプレースか、代替コントロールか

　Windows XPにまつわるPCIコンプライアンス問題にどう対処するかについては、大きく分けて2つの選択肢がある。既存のXPシステムをアップグレード／リプレースするか、もしくは「代替コントロール」（Compensating Control）を適用するか、のどちらかである。サーバおよび従来型POS端末上のXPをお払い箱にするのは容易ではないが、XPベースのPOSシステムを引き続き利用するのも大きな困難が伴う。

　どちらかと言えば、代替コントロールを適用する方が容易だ。これはSSCが代替セキュリティコントロールとして規定しているもので、業務上あるいは技術的な制約のためにPCI DSSの要件に対応できない場合に適用が認められている。

　ベンダー各社は当然ながら、XPベースのPOSシステムに代替コントロールを適用できるという触れ込みでさまざまな製品を宣伝している。米McAfeeの最近のホワイトペーパーでは、アプリケーションのホワイトリストを代替コントロールとして推奨している。一方、米Bit9は高度な端末セキュリティ強化技術を推奨している。

　SSCでは、サポートが切れたOSのリスクに一時的に対処するための手段として代替コントロールの使用を認めながらも、「サポート対象外のOSコードの脆弱性を狙った攻撃に対し、その代替手段が効果的に対処できることを実証できる場合に限られる」としている。

　ローゼンバーグ氏によると、採用される可能性が高い代替コントロールは、ホワイトリスト、ヒューリスティック技術を利用したホストベースの侵入防止システム、サードパーティーベンダーによるパッチのサポート延長を組み合わせた形になるという。しかし同氏は、XPで動作するPOSシステムを防護する代替コントロールの中で、サポート終了後も販売業者がPCIの審査をパスできそうなものは、まだ見たことがないそうだ。

　もう1つの方策、すなわちXPベースのPOSシステムをアップグレードあるいはリプレースするというのは、時間も費用も必要な作業であり、小規模な販売業者の場合でも何万ドルもの負担となる可能性がある。さらにローゼンバーグ氏は「時間とコストに加え、ソフトウェアの互換性という問題も大きい」と指摘する。

　ローゼンバーグ氏によると、最もスムーズな移行パスは、XPベースのPOSシステムを「Windows XP Embedded」に移行させることだという。これはXPの軽量型OSで、各種のDLL（Dynamic Link Library）や一部のシステムコンポーネントが省略されている。Windows XP Embeddedのサポートが終了するのは2016年1月12日（日本時間では2016年1月13日）なので、販売業者にとっては自社のPOSプラットフォームに対して長期的な計画を立てるための時間的余裕が生まれる。だがローゼンバーグ氏は「POSアプリケーションの修正箇所が多ければ、XPからEmbeddedへの移行に何カ月もかかり、費用も高くつく可能性がある」と話す。

　今のところ、XPベースのPOSシステムを運用している販売業者にとってPCIコンプライアンスを達成するための明確な方向性は見当たらないかもしれないが、「XPのコンプライアンス対応に関して不利な条件にある小規模販売業者の間でXPのサポート終了の認識が広まることを期待している」とローゼンバーグ氏は語る。

　「リスクという視点で見れば、XP問題がもっと話題になってしかるべきだ」と同氏は話す。「悪党たちは、XPの弱点を悪用して販売業者から会計データを盗み出そうとするだろう。こういった事件が発生すれば、その損害は数万ドルあるいは数十万ドルに上る恐れがある」