ボット対策はPCI DSS準拠の推進にも貢献

F5エコシステム | 2023年9月18日

自動化ツールや盗まれた認証情報を容易に入手できるようになり、利益を目的としたアプリケーションへの攻撃が非常に簡単になったことで、サイバー犯罪は増加しており、今後も増え続けると見込まれます。その結果、コンプライアンスと信頼を確保するため、業界および政府のセキュリティ基準が一層強化されています。こうした業界セキュリティ基準の一例が、Payment Card Industry Data Security Standard (PCI-DSS)です。この基準ではv4要件が公開されました。その目的の1つは、クライアント側セキュリティの保護スキーム全体を更新することです。

PCI-DSSは、決済処理事業者とサービスプロバイダーが相互に信頼し、保護し合うことを可能にする重要な基準です。増大する電子取引のニーズに対応するため、多くの加盟店やサービスプロバイダーは、拡張性に優れた低遅延の運用を実現できるよう、アプリケーションをクラウドベースのインフラストラクチャに移行しています。PCI-DSSのコンプライアンス基準は、加盟店やサービスプロバイダーが決済処理に使用するインフラストラクチャにかかわらず、すべての電子取引に適用されます。PCI-DSSは、ネットワークセキュリティ、データの暗号化、管理を対象としていますが、自動化された攻撃からアプリケーション（およびデータ）を保護することについては対象としていません。

クラウドベースのアプリケーションとデータを自動（または手動）攻撃から保護するため、決済処理事業者や加盟店は、アプリケーションとデータを分散型で保護するサードパーティのセキュリティサービスプロバイダーを利用しています。決済発行事業者がPCI-DSSへの準拠を維持し、接続先や取引先である他のベンダーからの信頼を保つうえで、SaaSセキュリティベンダーがPCI-DSS認証を取得していることは極めて重要です。Security-as-a-ServiceベンダーがPCI-DSSに準拠していない場合、決済発行事業者にとって、決済処理のために接続しているサードパーティ組織に対して、コンプライアンスを維持または証明し、継続的な信頼を確保することがはるかに困難になります。

「PCI-DSS用語集」によると、サービスプロバイダーとは、他の事業体に代わってカード会員データの処理、保存、または送信に直接関与するペイメントブランドではない事業体を指します。また、カード会員データのセキュリティを制御する、またはセキュリティに影響を及ぼす可能性のあるサービスを提供する企業も含まれます。たとえば、マネージドファイアウォール、侵入検知システムなどのサービスを提供するマネージドサービスプロバイダーのほか、ホスティングプロバイダーなどの事業体が該当します。

F5 Distributed Cloud (XC) Bot Defenseは、アプリケーションを自動化された攻撃から保護するSaaSソリューションであり、サービスプロバイダーとしてPCI-DSSコンプライアンス要件を満たしています。F5 XC Bot Defenseは、金融サービス、小売・eコマース、医療、政府機関など、世界中の幅広い業界の決済カード発行会社などを自動化された攻撃から保護します。

サービスプロバイダーであるF5がPCI-DSSコンプライアンス要件に対応できる理由を示す好例として、以下に示すPCI要件をポリシー、運用、文書化の各面で厳格に遵守していることが挙げられます。

1.3 カード会員データ環境（CDE）への、および同環境からのネットワークアクセスは制限されています。

1.3.1 CDEへの受信トラフィックは、次のように制限されます。