PCI DSS

PCI DSS（Payment Card Industry Data Security Standard）とは、クレジットカード情報の安全な取り扱いを目的として、国際的なカードブランド5社（Visa、Mastercard、American Express、Discover、JCB）が共同で設立したPCI SSC（Payment Card Industry Security Standards Council）が策定したセキュリティ基準です。カード会員データを保存・処理・伝送するすべての組織に対して適用され、業界を問わず遵守が求められます。

PCI DSSは12の要件と約300の詳細なセキュリティ管理策で構成されており、ネットワークセキュリティからアクセス制御、暗号化、脆弱性管理、監視・テストに至るまで、包括的なセキュリティフレームワークを提供します。準拠レベルは年間のカード取引件数によって4段階に分類され、レベル1の大規模加盟店にはQSA（認定セキュリティ評価機関）による年次オンサイト監査が義務付けられています。

2022年3月にリリースされたPCI DSS v4.0では、従来の固定的な要件に加えてカスタマイズアプローチが導入され、組織が独自のセキュリティ管理策で要件の目的を達成できるようになりました。また、多要素認証（MFA）の強化、パスワード要件の厳格化、フィッシング対策の明示的な要求など、現代の脅威環境に対応した大幅な改訂が行われています。

PCI DSSの12要件

PCI DSSの12要件は、6つのカテゴリに分類されます。要件1〜2は安全なネットワークの構築と維持（ファイアウォールの設置、デフォルトパスワードの変更）、要件3〜4はカード会員データの保護（保存データの暗号化、伝送時の暗号化）、要件5〜6は脆弱性管理プログラムの維持（マルウェア対策、安全なシステム開発）を扱います。

要件7〜9はアクセス制御の実施（業務上の必要に基づくアクセス制限、ユーザー識別と認証、物理アクセスの制限）、要件10〜11はネットワークの監視とテスト（ログの記録と監視、定期的なセキュリティテスト）、要件12は情報セキュリティポリシーの維持を規定しています。

PCI DSS v4.0の主な変更点

カスタマイズアプローチは、v4.0最大の変更点です。従来の「定義済みアプローチ」に加え、組織が要件の目的を独自の方法で達成できる柔軟性が導入されました。ただし、カスタマイズアプローチを採用するには、リスク分析と管理策の有効性を文書化し、QSAの検証を受ける必要があります。

その他の重要な変更として、カード会員データ環境（CDE）へのすべてのアクセスに多要素認証（MFA）が必須化されたこと、パスワードの最小長が8文字から12文字に引き上げられたこと、自動化されたメカニズムによるフィッシング攻撃の検知・防御が要求されたこと、暗号スイートや暗号プロトコルのインベントリ管理が明記されたことが挙げられます。

SAQ（自己問診票）の種類

SAQ（Self-Assessment Questionnaire）は、準拠レベル2〜4の加盟店が自己評価に使用する問診票です。カード情報の取り扱い方法によって複数のタイプが用意されています。SAQ Aはカード情報の処理を完全にサードパーティに委託している場合、SAQ A-EPはeコマースでカード情報がWebサイトを経由する場合に使用されます。

SAQ Bはインプリントまたはスタンドアロン端末のみを使用する場合、SAQ CはPOSシステム等でインターネットに接続された決済端末を使用する場合、SAQ Dは他のSAQに該当しないすべての加盟店およびサービスプロバイダに適用されます。適切なSAQタイプを選択することが、効率的な準拠達成の第一歩です。

QSA監査のプロセス

QSA（Qualified Security Assessor）は、PCI SSCが認定したセキュリティ評価機関で、レベル1の加盟店に対するオンサイト監査を実施します。監査プロセスは、まずスコープの確認（カード会員データの流れの特定とCDEの境界の定義）から始まり、次に各要件に対する技術的テストと文書レビューが行われます。

監査の結果はROC（Report on Compliance）として文書化され、準拠状況が「準拠」「非準拠」「該当なし」のいずれかで評価されます。非準拠の項目がある場合は、改善計画を策定し、期限内に是正を完了する必要があります。

スコープ削減の手法

PCI DSS準拠のコストと複雑さを軽減するためには、CDE（カード会員データ環境）のスコープ削減が極めて重要です。最も効果的な手法はトークナイゼーションで、実際のカード番号を無意味なトークンに置き換えることで、トークンを処理するシステムをスコープ外にできます。

P2PE（Point-to-Point Encryption）認定ソリューションの導入も強力なスコープ削減手法です。決済端末でカード情報を暗号化し、復号を決済プロセッサ側で行うことで、加盟店側のシステムはスコープ外となります。また、ネットワークセグメンテーションによってCDEを他のネットワークから論理的に分離することで、監査対象のシステムを最小限に抑えることが可能です。

• 01
  カード会員データの保存最小化と暗号化：業務上不要なカード会員データは保存せず、保存が必要な場合は強力な暗号化（AES-256等）を適用してください。特にPAN（プライマリアカウント番号）は、保存時にマスキングまたはトークナイゼーションを行い、フルPANへのアクセスを厳格に制限しましょう。
• 02
  ネットワークセグメンテーションの実施：CDEを他のネットワークから論理的に分離し、ファイアウォールやアクセス制御リスト（ACL）で通信を制御してください。適切なセグメンテーションにより、PCI DSS評価のスコープを大幅に削減でき、セキュリティ管理策のコストと複雑さを軽減できます。
• 03
  多要素認証（MFA）の全面導入：CDEへのすべてのアクセス（管理者だけでなく一般ユーザーも含む）に多要素認証を実装してください。v4.0では、CDEへのリモートアクセスだけでなく、ローカルアクセスにもMFAが要求されるようになっています。
• 04
  定期的な脆弱性スキャンとペネトレーションテスト：ASV（認定スキャニングベンダー）による四半期ごとの外部脆弱性スキャンと、年次のペネトレーションテストを実施してください。内部脆弱性スキャンも四半期ごとに実施し、発見された脆弱性を重大度に応じて速やかに修正しましょう。
• 05
  ログ管理と継続的監視の強化：カード会員データへのアクセス、認証イベント、システム変更などのログを収集・一元管理し、SIEM等を活用してリアルタイムで異常を検知できる体制を構築してください。ログは最低1年間保存し、直近3か月分は即時参照可能な状態にしましょう。
• 06
  従業員のセキュリティ意識向上プログラム：全従業員を対象としたセキュリティ意識向上トレーニングを年次で実施し、特にカード会員データを取り扱う従業員にはPCI DSS要件に特化した教育を行ってください。フィッシング対策訓練も定期的に実施し、不審なメールの報告体制を整備しましょう。