国内外のPCI DSS最新動向【第1回】
一般企業向けにも現実的になったPCI DSS
クレジットカード情報の取り扱いに関するセキュリティ基準「PCI DSS」。本稿ではPCI DSSの最新動向としてVer.2.0での変更点などを紹介する。
PCI DSSとは
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報の取り扱いに関する情報セキュリティ基準である。カード会員情報の漏えい防止を目的に、5大国際カードブランド（Visa、MasterCard Worldwide、American Express、Discover Financial Services、JCB International）が2004年12月に共同作成した。詳しくは、2009年の連載「システム導入担当者のためのPCI DSS」を参考にしてほしい。
本連載では、全3回にわたりPCI DSSの最新動向や国内外でのPCI DSS普及状況、事例などを取り上げる。第1回はここ数年での最大トピックとして、2010年10月に発表されたPCI DSSの最新バージョン「PCI DSS Version 2.0」（以下、PCI DSS 2.0）を紹介する。
PCI DSS 2.0
PCI DSSに関する2009年以降の最大トピックスは、PCI DSS Ver.1.2からVer.2.0（※）へのバージョンアップである。メジャーバージョン番号が1から2になるということは、要求事項に大きな変更が加えられたことを想像させるが、今回のバージョンアップでは個々の要求事項に大きな変更は見られなかった。
（※）Ver.2.0は、PCI DSSの発行元であるPCI SSCのWebサイトで日本語訳をダウンロードできる。
最も大きな変更は、PCI DSSのバージョンアップに対するポリシーが2年から3年に延長されたことである。地震や火災といった脅威とは異なり、情報セキュリティに対する脅威は、技術の進歩とともに変遷するのが特徴である。従って、現在有効とされている防護技術も時間とともに陳腐化してしまう傾向がある。そのため、PCI DSSの発行元であるPCI SSC（PCI Security Standard Council）では、2年に1回の改訂をポリシーにしてきた。だが、コンプライアンスを求められる立場からすると、基準の改訂に追随する作業負荷や費用が重荷になっていたのが事実である。今回の改訂周期の延長は、そうしたPCI DSSのユーザーの声を反映した結果である。
その他の改訂も「より厳しくなった」というよりも「より現実的になった」という項目が目を引く。
例えば無線LANに関して、Ver.1.2では無線アナライザによるアクセスポイントの検出作業を四半期ごとに実施することを求めていた。システム管理者に無断で無線LANのアクセスポイントを増設するケースは国内でも散見される事象であり、定期的に無線LANのアクセスポイントを検出することには、それなりに意味がある。しかし、数千店舗もあるチェーン店が4半期ごとにアクセスポイントの検出作業を行うには莫大な費用が掛かることは容易に想像できる。今回の改訂では、システム管理者が承認していないネットワーク機器の無断接続を遮断する装置NAC（Network Access Control）が導入されていれば要件を満たすという選択肢が与えられており、より現実的な要求事項になっている。そういう意味で、クレジット業界に限らず一般企業のベースラインセキュリティ基準として、PCI DSSはますます導入しやすい規格になったと言うことができる。
年次コミュニティーミーティング
PCI SSCは、（1）国際カードブランド、（2）準拠審査機関（QSA：Qualified Security Assessor）や脆弱性検査機関（ASV：Approved Scanning Vender）、（3）カード発行会社や加盟店、の3つのコミュニティーで構成されている。3つのコミュニティーはそれぞれPO（Participating Organizations）と呼ばれている。
PCI SSCでは、コミュニティーのコンセンサス（合意）を形成するために毎年、POやITベンダーなどによるコミュニティーミーティングを開催している。中でも重要視されているのがPOの意見である。POは、PCI DSSのユーザーともいえるカード発行会社や加盟店が中心となっているコミュニティーであり、POが納得しなければ、PCI DSSの普及もあり得ないからである。
直近では、2010年9月に米国オーランドで、10月には、スペインのバルセロナでそれぞれ大規模なコミュニティーミーティングが開催された。Ver.2.0の正式発表を前にして行われたバルセロナのコミュニティーミーティングでは、改訂内容が小幅にとどまったこともあり、Ver.2.0に対する意見よりも、QSAの審査員の質が低いことを指摘する意見が多く聞かれた。
今回の改訂内容が小幅にとどまったことについて、PCI SSCのゼネラルマネジャー ボブ・ルッソ（Bob Russo）氏は、最初のPCI DSSが発行されてから6年が経過し、要求基準としてのPCI DSSが成熟したことを意味すると説明した。実際には、現状に納得をしていないPOの不満を和らげる効果を狙ったものである。
QSAの審査員の質に対する問題は、今回に限らず、毎回のコミュニティーミーティングで指摘されている問題である。寄せられている意見には、QSA審査員資格試験を厳しくすることや、継続的な教育による資質の向上などを求める声がある。この問題に対してPCI SSCは、2009年のコミュニティーミーティングにおいて、QSAの審査実態を評価する監査制度を導入することを発表している。少なくとも3年に一度は、全てのQSAがPCI SSCによって監査されることを目標とするとしていたが、スタッフの数が足りず十分な監査が実施できていないことが、今回の指摘に表れているようだ。
次回は、国内外でのPCI DSSの普及状況やPCI DSSの一般企業への応用について取り上げる。
＜筆者紹介＞
山崎文明
ネットワンシステムズ フェロー／ビジネスアシュアランス 代表取締役社長／PCI SSC PO Japan連絡会 会長
大手外資系会計監査法人にてシステム監査に長年従事。システム監査技術者（経済産業省）／英国規格協会公認BS7799 情報セキュリティ・スペシャリスト。システム監査、情報セキュリティ、個人情報保護に関する専門家として情報セキュリティに関する政府関連委員会委員を歴任。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
7
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
10
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー