カード決済に関する最新のセキュリティ要件への準備はできていますか？2025年3月31日以降、組織はPCI DSS v4.0.1への準拠が必須となりました。これはPayment Card Industry Data Security Standardの更新版であり、複数のセキュリティベストプラクティスが推奨事項から必須要件へと変更されています。バージョン4.0.1では、継続的なセキュリティ、認証の強化、脆弱性、マルウェア、フィッシングからの保護に関する新たな要件が導入されました。
AWSは、多くのサービスでレベル1サービスプロバイダーとしてPCI DSSに準拠し、基盤となるインフラストラクチャ、ネットワーク、ソフトウェアコンポーネントのセキュリティを確保しています。ただし、AWS責任共有モデルでは、AWS上のアプリケーションとデータのセキュリティ確保はお客さまの組織が担います。PCI DSSに完全に準拠するには、アプリケーションとデータに追加のセキュリティ対策を実装する必要がある場合があります。
“PCI DSS v4.0.1では、一般公開されているすべてのWebアプリケーションとAPIを継続的に保護することが義務付けられており、攻撃を検知、防止し、アラートを生成するソリューションが必要です。”
更新されたセキュリティ要件への対応
PCI DSS v4.0.1以降、以下のセキュリティ強化が必須となりました。
Web application and API protection: PCI DSS v4.0.1では、一般公開されているすべてのWebアプリケーションとAPIを継続的に保護し、攻撃を検知、防止してアラートを生成するソリューションの導入が義務付けられています。また、脆弱性スキャンの実施に加え、APIやサードパーティ製コンポーネントを含むカスタムソフトウェアのインベントリを維持することも求められます（要件6.2.4、6.3.2、6.4.2）。
認証の強化：機密性の高い決済データへの不正アクセスを防止するため、カード会員データを保存、処理、または送信するあらゆるコンポーネントを含むカード会員データ環境（CDE）へのすべてのアクセスに、多要素認証（MFA）が必須となりました（要件8.4.2）。
セキュリティ制御の監視と障害検出：組織は、侵入検知／防御システムやマルウェア対策ソリューションなど、重要なセキュリティ制御システムの障害を速やかに検出し、対処する必要があります（要件10.7）。
包括的な脆弱性管理：ソフトウェアサプライチェーンの深部に潜むものも含め、悪用可能な脆弱性を特定するため、外部公開されているすべてのアプリケーションとシステムに対して、定期的かつ徹底的な脆弱性スキャンを実施する必要があります（要件11.3.1）。
PCI DSS要件を包括的にカバーするためにAWS上のF5ソリューションを追加
AWSと同様に、F5もレベル1サービスプロバイダーとしてPCI DSSに準拠したサービスを提供しています。F5ソリューションは、AWS上でPCI DSS v4.0.1に準拠するために必要な追加のセキュリティ機能を提供します。
F5 Distributed Cloud WAFとF5 BIG-IP Advanced WAFは、アプリケーショントラフィックを検査し、OWASP Top 10の脅威、レイヤー7の分散型サービス拒否（DDoS）攻撃、悪意のあるボットをブロックする包括的なアプリケーションセキュリティを提供します。F5のWAFソリューションは、オンプレミス、AWS、複数のクラウドなど、アプリケーションの配置場所を問わず、その前段に導入できます。
F5 Managed Rules for AWS WAFは、AWS WAFの保護機能を強化する、事前設定済みのセキュリティルールセットを提供します。継続的に更新されるこの保護機能により、OWASP Top 10の脅威、悪意のあるボット、APIレベルの攻撃、その他の脆弱性から保護します。
F5 Distributed Cloud API Securityは、APIを検出して保護します。また、振る舞い分析による継続的な監視を通じて、異常や潜在的な攻撃を検出します。
F5 BIG-IP Access Policy Managerは、MFAを使用してカード会員データ環境（CDE）にアクセスするためのゼロトラスト型アプリケーションアクセスを実現します。転送中のカード会員データを保護し、要件を満たすためにセキュアなアクセスを適用します。
F5 BIG-IP SSL Orchestratorは、AWS環境に流入するトラフィックを復号し、セキュリティスタックを経由させて脅威を検出します。また、セキュリティソリューションの稼働状態を監視し、セキュリティ制御に障害が発生した場合には問題を迅速に緩和して、意図しないトラフィックのバイパスを防止できます。
F5 Distributed Cloud Web App Scanningは外部攻撃対象領域を継続的にスキャンし、外部に露出しているアプリケーションとAPIを検出します。自動ペネトレーションテストにより、ソフトウェアサプライチェーンの奥深くに潜む、悪用される可能性のある脆弱性を特定します。
F5でセキュリティとコンプライアンスを効率化
F5ソリューションをAWSのセキュリティ制御と併せて導入することで、次のことが可能になります。
- PCI DSS要件への包括的な対応に加え、監査ログとレポート機能により、コンプライアンス対応を簡素化できます。
- 高度な脅威の検知と防止により、データ侵害のリスクを軽減します。
- ハイブリッド環境またはマルチクラウド環境全体でセキュリティ態勢を統一し、一貫性を確保します。
10年以上にわたるパートナーシップのもと、F5とAWSは連携し、クラウドにおけるアプリケーションデリバリとセキュリティを簡素化しています。F5ソリューションはAWS Marketplaceから入手でき、機密性の高い決済カードデータを包括的に保護する機能を簡単に追加できます。詳しくは、F5 on AWSのWebページをご覧ください。
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。