知っておくべきPCI DSS 4.0.1の重要な変更点

F5エコシステム | 2024年7月30日

Payment Card Industry Data Security Standard（PCI DSS）v3.2.1は2024年3月31日に失効し、PCI DSS v4.0に置き換えられたのではないでしょうか？

はい、どちらもそのとおりです。

しかし、PCI DSS v4.0の公開後に寄せられたフィードバックや質問に対応するため、PCI Security Standards Council（PCI SSC）は、この規格を限定的に改訂したPCI DSS v4.0.1をリリースすることを決定しました。（PCI DSS v4.0は2024年12月31日に廃止され、その後はv4.0.1がPCI SSCのサポート対象となる唯一の有効な規格になります。）

トランザクションのセキュリティとコンプライアンスを更新または強化するにあたり、PCI DSS v4.0.1には把握しておくべき重要な変更点がいくつかあります。本ブログでは簡潔にまとめるため、F5のアプリケーションおよびAPIセキュリティソリューションで対応できる変更点と更新内容を取り上げます。変更点のより詳細な一覧については、PCI SSCのWebサイトをご覧ください。

PCI DSS v4.0.1に含まれる特に重要な更新は、クライアントサイドセキュリティ要件の適用範囲を明確にすることを目的としています。

誰が何に責任を負うのか？

要件6.4.3

この要件では、消費者のブラウザーに読み込まれて実行されるすべての決済ページスクリプトを、次のように管理する必要があると規定しています。

各スクリプトが承認済みであることを確認する方法が実装されている。
各スクリプトの完全性を保証するための方法が実装されています。
すべてのスクリプトの一覧を管理し、各スクリプトが必要な理由をビジネス上または技術上の根拠とともに文書化します。

通常、加盟店は決済処理を決済サービスプロバイダーまたはサードパーティサービスプロバイダー（PSPまたはTPSP）に依存しており、その処理によって、消費者が購入する商品やサービスの支払い方法が決まります。このPCI要件により、加盟店が決済ページを含むPSP/TPSPのインラインフレーム（iframe）を使用する場合の責任分担モデルについて混乱が生じました。iframeとは、特定の機能を実現するために表示される小さなWebページのようなものです。iframe上でもスクリプトを実行できるため、親Webページと同じリスクにさらされます。では、iframeにも親ページと同じPCI要件を適用する必要があるのでしょうか。

v4.0.1への更新により、加盟店が責任を負うのは、自社のページ（親ページ）で実行されるスクリプトのみであり、PSP/TPSPのiframeで実行されるスクリプトは対象外であることが明確になりました。

ベストプラクティス： PSP/TPSPのiframeページがコンプライアンス要件を満たし、セキュリティが確保されるよう、ベンダーと連携する責任は加盟店にあります。加盟店がこの要件を満たさない場合、決済詐欺が発生し、事業上の損失やPCIによる厳格な調査につながるおそれがあります。

要件11.6.1

要件11.6.1についても同様の明確化が行われ、消費者のブラウザが受信するHTTPヘッダーおよびスクリプトのうち、セキュリティに影響を及ぼすものに重点が置かれています。これは重要な変更です。PCIは、セキュリティとは無関係なHTTPヘッダーやスクリプトのインシデントに対する広範な保護を求めるのではなく、この要件に関連するリスクに焦点を当てていることを明確にしています。

PSP/TPSPが埋め込まれたiframeの責任モデルについても更新され、加盟店は親Webページについてのみ責任を負い、PSP/TPSPベンダーはそのiframe内にレンダリングされる、セキュリティに影響を及ぼすHTTPヘッダーおよびスクリプトについて責任を負うことが明確になりました。

残された時間はわずかです

新要件の実装期限である2025年3月まで9か月を切る中、組織は、提案されている変更とPCI DSS v4.0.1への準拠に伴うあらゆる複雑な課題に対処する必要があります。

F5とPCI DSS v4.0.1

F5 Distributed Cloud Web App and API Protection (WAAP)、Distributed Cloud Bot Defense、Distributed Cloud Client-Side Defense、およびMobile App Security Suiteは、F5 Distributed Cloud Servicesが提供するソリューションであり、企業と消費者間の取引全体を保護する基盤となります。クライアント側スクリプトについては、Distributed Cloud Client-Side Defenseが可視性と制御を提供し、コンプライアンスへの対応を可能にします。F5 Distributed Cloud Servicesは現在PCI DSS v4.0に準拠しており、承認された監査法人によるコンプライアンス監査を定期的に受けています。組織は2025年1月1日までにPCI DSS v4.0.1に準拠する必要があり、これを反映するよう自己問診票を更新する必要があります。

最後に、PCI DSS要件の対象となる組織では、今後数四半期の間に以下の文書が変更される見込みです。