PCI DSSは法律ではなく契約上の義務である。そのため、クレジットカードの加盟店契約を締結していない事業体に直接適用されるものではない。だが、大抵の企業は何らかの形でクレジットカードの処理に外部サービスを利用している。このような外部の事業体はサービスプロバイダーと見なされ、PCI DSSの適用対象となる。加盟店には、クレジットカード情報の保存、処理、転送を委託しているサービスプロバイダーと書面による契約を締結することが求められる。この契約書では、サービスプロバイダーがPCI DSSの条項に準拠することを規定していなければならない。

　サービスプロバイダーという概念は、PCI DSSの初版までさかのぼる。加盟店にはサービスプロバイダーのリストを維持し、プロバイダーと書面による契約を締結して、プロバイダーが契約に準拠しているかどうかを継続的に監視することが求められてきた。PCI DSS v3.0では、サービスプロバイダーと取引する加盟店に新たな要件が加えられている。この要件（12.8.5）では、加盟店はどのPCI DSS要件を自身が管理し、どの要件をサービスプロバイダーが管理するかについての情報を保持することが定められている。

　この新しい要件に準拠するために契約書を更新するときには、サービスプロバイダーが非常に頼りになる。というのも、サービスプロバイダーは全ての顧客から同じ質問を受けて対応しているからだ。大半のサービスプロバイダーが「PCI DSSにどの程度準拠しているか」や「引き続き加盟店の管理対象となるもの」についてまとめた詳細な文書を準備している。場合によっては、このような文書はペイメントアプリケーション認定セキュリティ評価機関が準備していることもある。企業はこのような文書を信頼して、準拠資料の1つとすることができる。

厳しいペネトレーションテスト

　PCI DSSの要件11.3では、企業が環境内外のペネトレーションテストを実施することが義務付けられてきた。そのタイミングは年に1回と、大きな変更があった後だ。米Verizonが公開した「2014年ペイメントカード業界コンプライアンス調査報告書」では、ペネトレーションテストは全顧客の中で準拠率が最も低い要件であることが明らかになっている。ペネトレーションテストの要件を満たし、適切にコントロールを文書化している加盟店は40％にも満たなかった。

　PCIコンソーシアムは、PCI DSS v3.0でペネトレーションテストの要件を厳しくすることで、この状況に対処した。年1回のテストと、大きな変更があった後のテストを必須とするのに加え、テスト自体について事細かに指定することが求められるようになった。このテストは、資格のある独立したテスターが、業界標準のアプローチに基づいて実行する必要がある。カード会員データ環境全体を対象とし、セグメンテーションコントロールのテストを組み込み、要件11.3に含まれているその他多くの詳細な規定に準拠する。

　企業がペネトレーションテストコントロールを見直すときには、まずテストを行う事業体について確認が必要だ。ある1人の従業員がテストを実施する場合、その従業員がテストを実行する資格を持ち、セキュリティコントロールの実装および維持を担当する事業体と組織的な関係がないことを監査者に証明しなくてはならない。テスターが要件11.3に追加された多くの新しい要件に準拠できないなら、ペネトレーションテストの専門企業に頼るのが良いだろう。

物理的なセキュリティ要件の更新

　PCI DSS v3.0では、カード会員データを処理する場所についての物理的なセキュリティ要件も変更された。新しく追加された要件9.3では、オンサイト担当者の機密領域に対するアクセスが厳しくなっている。企業は個人に対して明示的にアクセスを承認しなければならなくなった。また、そのアクセスは各個人の職務権限に必要なものでなくてはならない。さらに、担当者の離職時には直ちに物理アクセスを失効させる手続きを実装する必要もある。企業は、現在実装している手続きを確認し、必要に応じて手続きを更新しなければならない。

　また、物理的なセキュリティについてさらに厳しい課題が要件9.9で義務付けられるようになった。この新しい要件では、店頭でのカード決済に使用されるペイメントカードの読み取り端末の物理的なセキュリティについて扱っている。企業は端末の完全なリスト（シリアル番号を含む）を維持し、改ざんまたは不正置換されていないことを確認するために端末を定期的に検査する必要がある。端末を操作する担当者には、未承認の改ざんが発生する可能性を下げるためのトレーニングの受講が義務付けられている。

　特に地域的に分散していて、端末を多数所有している場合、要件9.9に準拠するのは難しい。新しい標準に準拠できるよう、インベントリ、トレーニング、検査のアプローチを計画するために時間を使うことが推奨される。

まとめ

　PCI DSS v3.0の変更点に準拠するための作業量は膨大だ。即座には完了できないと考えている企業には、少しだけ朗報がある。それは、幾つかのPCI DSS v3.0コントロールへの準拠期限が延長されたことだ。この中には、要件11.3の更新されたペネトレーションテストの要件と、要件9.9の端末に対する物理的なセキュリティの要件が含まれる。これらは2015年6月30日まではベストプラクティスと見なされ、それ以降は必須となる。

　PCI DSS v3.0の登場により、企業は新しい要件に準拠しなくてはならなくなった。だが、これらの要件に準拠するのは不可能ではない。今すぐギャップ評価を行えば、準拠するための負担が軽減されるだろう。