PCI DSS v3.0では、新しいカテゴリの加盟店が準拠体系に組み込まれる。サードパーティーに支払いを転送するオンラインの小売業者は、カード会員データそのものにアクセスするかどうかに関わらず準拠監査を受けなくてはならなくなった。

　PCI DSSの前のバージョンと同様、主要なクレジットカードブランド（米Visa、米MasterCard、米American Express、米Discover、JCB）を扱う企業はPCI DSS v3.0の準拠要件を満たすことが求められる。

　PCI DSS v3.0では、PCI DSSがペイメントアプリケーションベンダーにどこまで適用されるのかが明確になった。PCI DSS v3.0の要件を満たす必要があるのは、カード会員データや認証に関する機密データを保存、処理、転送する全ての企業だ。これには、加盟店、サービスプロバイダー、支払い処理業者、発行銀行、加盟店銀行などが含まれる。

PCI DSS v2.0との主な違いは何か

　カード会員データの侵害を防止する責任があることを従業員が自覚できるよう、PCI DSS v3.0ではセキュリティを日常業務に組み込むためのベストプラクティスを提供している。PCI DSS v3.0ではパスワードについての教育をユーザーに行うことが求められる。POSに関するセキュリティトレーニングや教育も必須だ。また、PCI DSS v2.0より柔軟性が高くなっているので、企業がパスワードを適切な強度に設定したり、独自のセキュリティとリスクの管理戦略に沿うようにログレビューの優先順位を付けたりすることができる。PCI DSS v3.0では、企業の理解を促進するため各要件の背後にある意図が詳しく解説されている。

　PCI DSS v3.0は、サードパーティーがもたらす恐れのあるセキュリティ脆弱性の問題にも対処する。PCI DSSの策定団体である米PCI Security Standard Council（PCI SSC）は、情報セキュリティ会社の米Trustwaveが公開している「2013 Trustwave Global Security Report」を参考資料として用いている。調査対象のデータ侵害事件のうち63％でシステムのサポート／開発／保守にサードパーティーがかかわっており、セキュリティの実装不足が攻撃者による悪用を招いたという。PCI DSS v3.0ではPCI DSSの準拠責任を外注することについてのガイドラインが策定され、外注元のセキュリティ要件が示されている（要件12.9）。また、サービスプロバイダーと事業体がそれぞれ管理する要件についての記録を維持することも求められるようになっている（要件12.8.5）。

アクセス制御を強化するためにどのような変更が行われたのか

　PCI DSS v3.0では、アクセス制御の基準とカード会員データへの物理アクセス制御に関して幾つかの変更点が見られる。顧客施設にリモートでアクセスするサービスプロバイダーは、それぞれの顧客に対して一意の認証資格情報を使用しなければならない（要件8.5.1）。さらに、その他の認証メカニズム（セキュリティトークン、スマートカード、資格情報など）は、対象ユーザーのみがアクセスできるアカウントにそれぞれ関連付けられる必要がある（要件8.6）。

　カード会員データにアクセスできるサイト領域は、アクセス承認プロセスを使用して制御する必要があり、終了後直ちにアクセスを失効させなければならない（要件9.3）。また、ペイメントカードデータを取得するデバイスは改ざんや差し換えから保護しなくてはならないという要件も2015年7月1日から発効される。

アクセス追跡／監視やシステムとプロセスのテスト強化のためにどのような変更が行われたのか

　PCI DSS v3.0では追跡要件が強化され、識別および認証のメカニズムへの変更、そしてルートまたは管理者アクセスを所有するアカウントに対する全ての変更／追加／削除が含まれるようになった（要件10.2.5）。また、未承認のワイヤレスデバイス向けのスキャンをサポートするために、承認されているワイヤレスアクセスポイントのインベントリを作成すると同時に、各ワイヤレスアクセスポイントについて業務上の正当な使用理由を文書化することが求められるようになった（要件11.1.1）。未承認のワイヤレスアクセスポイントが検出された場合、企業はインシデント応答手順と既存のテスト手順の整合性を取る必要がある（要件11.1.2）。ペネトレーションテストの方法論の実装も、2015年内に要件として追加される予定だが2015年7月1日までは発効されない。

　セグメンテーションによりカード会員の環境とその他のネットワークを隔離している場合、そのセグメンテーション手法が運用可能で効果的であることを検証するためのペネトレーションテストを実施しなければならない（要件11.3.4）。また、変化検出メカニズムにより生成される警告に対して応答するためのプロセスを実装する必要がある（要件11.5.1）。

新種の脅威に対処するためにどのような変更が行われたのか

　PCI DSS v3.0には企業が新種のマルウェア脅威に対処するための新しい要件や強化された要件が数多く含まれている。構成標準の開発をサポートするために、カード会員データのフローと、PCI DSS適用範囲の内部のシステムコンポーネントのインベントリを含むネットワーク図を維持しなくてはならない（要件2.4）。また、マルウェアによる影響を一般的に受けないとされているシステムに対し、変化し続けるマルウェアの脅威を評価する必要がある（要件5.1.2）。そして2015年7月1日から、不完全な認証およびセッション管理を保護するためのコーディングプラクティスを実装する要件が発効される（要件6.5.10）。

新しい要件以外にどのようなガイダンスが提供されているのか

　PCI DSS v3.0では、企業が準拠評価の範囲を判断できるようにする新しいガイダンスが追加されている。システムコンポーネントの例が提示され、セグメンテーションの意図やサードパーティーの責任が明確になっている。また、サードパーティーのPCI DSS評価範囲を検証できるようにするためにサードパーティーが顧客に提供する必要のある根拠についても明確になった。さらに、セキュリティを日業業務に組み込むための推奨事項に関するセクションも新しく追加されている。