最新のPCI DSS（Payment Card Industry Data Security Standard）4.0.1への更新は重要なものであり、APIやクライアント側スクリプトを含むソフトウェアサプライチェーンがこれまで以上に重視されています。
PCI DSS 3.2.1の廃止に伴い、決済を処理する組織は、最新のマイクロサービスベースのアプリケーション、マルチクラウド環境、API導入の拡大によって変化する状況に対応する必要があります。
このブログ記事では、PCI DSS 4.0.1で導入された重要な新要件のうち、ほぼすべての業界や組織の取引に不可欠となったAPIの保護を特に目的とする要件について解説します。
新たな必須要件には、以下が含まれます。
- 導入前テスト6.2.3：これは、コードの脆弱性を特定して修正するため、リリース前のAPIを含む特注およびカスタムソフトウェアに対して、厳格なレビュー、テスト、セキュアな開発プラクティスを実施することを重視しています。
- 一般的な脅威に対する保護6.2.4： 組織は、特注およびカスタムソフトウェアに対する一般的な攻撃や関連する脆弱性を防止または軽減するための制御を実装する必要があります。重点項目には、ビジネスロジックの悪用、インジェクション攻撃（SQL、LDAP、XPATH、その他のコマンド、パラメーター、オブジェクト、フォールトなど）、アクセス制御やデータに対する攻撃が含まれます。これらはいずれも、APIの保護に不可欠です。
- 特注ソフトウェアのインベントリと可視化 6.3.2: 企業は、脆弱性管理とパッチ適用を円滑に進め、包括的なセキュリティ態勢を確保するため、APIやサードパーティ製コンポーネントを含む特注およびカスタムソフトウェアの可視性を確保し、インベントリを維持する必要もあります。
- 本番環境の可視性、脅威検知、テスト（6.4.1および6.4.2）：この更新では、公開WebアプリケーションとAPIに対し、脆弱性、既知の攻撃、新たな脅威に備えて、定期的なテストを実施し、継続的に監視および保護する必要性が強調されています。要件には、以下が含まれます。
- 公開されているWebアプリとAPIを定期的（少なくとも年1回）にスキャンおよびテスト
- 公開されているWebアプリとAPIの前段に導入し、WebおよびAPIを標的とする攻撃を検知・防止する技術ソリューション
組織に求められるコンプライアンス対応期限は2025年3月
PCI Security Standards Councilは、近年見られるビジネスおよび技術の変革に対応するため、2024年6月にPCI DSS 4.0規格の最新改訂版を公開しました。今回の変更は、APIの普及に加え、対面、Web、モバイルの各決済システムを含む、デジタル化が進む今日の経済を支えるサービスやインタラクションの増加に伴い、それらを支えるアプリとインフラストラクチャが進化していることを踏まえたものです。
“PCI DSS 4.0.1がAPIセキュリティを重視していることは、複雑化し絶えず進化する今日のIT環境において、デジタル取引を保護するための重要な一歩です。”
APIは脅威のパラダイムを変えるものであり、API OWASP TOP 10で取り上げられているような、API固有の脅威があります。従来のWebアプリとほぼ同じ攻撃や脆弱性の影響を受ける一方で、ビジネスロジックが直接公開されることが多いため、攻撃者にとってますます狙いやすい標的となっています。そのため、プライバシーを確保し、ユーザーやステークホルダーからの信頼を維持するとともに、API通信の機密性、完全性、可用性を確保するには、不正なアクセス、改ざん、漏えいからデータを保護するための専用の制御が必要です。
組織に対して2025年3月までの準拠期限が設けられていることから、APIとそのクライアント側スクリプトを保護するため、企業がこれらの新しい仕様に対応することが急務となっています。
コンプライアンスを確保するための戦略
PCI DSS 4.0基準に効果的に準拠し、脅威にさらされる領域全体を保護するために、組織は既存のセキュリティインフラストラクチャ、プロセス、機能を評価し、以下を実現するソリューションの導入を検討する必要があります。
- 包括的なAPI検出：まずコードリポジトリと統合し、ソースから直接、完全かつ正確なインベントリとドキュメントを作成します。さらに、トラフィックベースの分析とドメインクローリングにより、シャドーAPI、ゾンビAPI、管理対象外のAPI、サードパーティAPIを特定します。
- 堅牢なAPIテスト：このテストでは、APIコードの本番環境導入前の分析と、一般公開されているアプリおよびAPIの動的テストを組み合わせ、コンテキストと修復ガイダンスを含む脆弱性の継続的な特定を実現します。
- ランタイム保護：適切なAPIの動作を確保し、不正な動作をブロックまたは制限するには、インラインでの適用および制御メカニズムが必要です。これには、ポジティブセキュリティモデルを実現するため、API保護ルール、レート制限、データマスキング、スキーマ適用機能を実装するWAFやその他のAPI固有機能が含まれます。
- 継続的な監視と異常検知：AI/MLに基づく行動分析とAPIトラフィックの継続的な検査により、潜在的な攻撃、機密データの漏えい、APIエンドポイントの悪用や侵害を示す可能性のあるその他の異常なAPI動作を特定します。
今回の改定は大規模ですが、コンプライアンス対応を難しく考える必要はありません
PCI DSS 4.0.1がAPIセキュリティを重視していることは、複雑化し絶えず進化する今日のIT環境において、デジタル取引の保護に向けた重要な一歩となります。
期限が迫る中、APIセキュリティを強化するための先を見越した対策が、コンプライアンスの達成と維持において極めて重要になります。また、APIやクライアント側スクリプトを標的とするサイバー脅威や攻撃に対するインフラストラクチャのレジリエンスを高め、お客さまの決済カードデータと情報の保護を強化するとともに、顧客や規制当局から組織に寄せられる信頼と信用をさらに深めることにもつながります。
“2025年3月の期限が迫る中、APIとそのクライアントサイドスクリプトを保護するため、組織にはこれらの新しい仕様への早急な対応が求められています。”
現在のAPIセキュリティ対策を評価し、ギャップを特定して必要な改善を実施することで、組織のPCI DSS 4.0.1準拠に向けた準備を進めることができます。PCI Security Standards Councilが提供する追加のリソースやガイダンスを随時確認し、2025年3月までに準備を整えてください。
これは、必ずしも困難な作業ではありません。F5は、新しい要件に沿った管理策の評価と実装を支援し、WebアプリとAPIのセキュリティ態勢の強化に役立つ専門知識とソリューションを提供します。
こちらのF5による包括的なAPIセキュリティのデモをご覧いただき、今すぐお問い合わせください。F5のエキスパートとのミーティングを設定いたします。
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。