PCI DSS 3.2.1の期限がついに到来……4.0への準備はできていますか？

世界的に重要な日である2024年3月31日（日）は、すでに過ぎました。なぜ重要なのでしょうか。消費者からの支払いを受け付けるすべての組織にとって、この日はPCI DSS 3.2.1準拠基準が廃止された日（2018年5月1日～2024年3月31日）だからです。現在、組織はPCI DSS 4.0の移行スケジュールに従う必要があり、2025年3月までにPCI DSS 4.0に準拠したSAQを完了し、外部機関による監査を受けなければなりません。消費者からの支払いによる売上を計上するには、PCI DSS 4.0への非準拠という選択肢はありません。

PCI DSS 4.0仕様は3.2.1から大幅にアップグレードされており、変更点の概要はこちらで確認できます。バージョン4.0では多数の変更が導入され（SAQも更新されています）、コンプライアンスを達成し維持するには、全体構造の中で新たに保護する必要がある領域が2つあります。

• アプリケーションプログラミングインターフェース（API）［2.2.7、6.2.3、6.2.4］
• カスタムソフトウェア［6.X; 8.6.2; 12.8.1］

説明を簡潔にするため、「特注ソフトウェア」の一部についてのみ、もう少し詳しく見ていきます。これは、消費者による支払いを円滑にするために組織が構築したカスタムソフトウェアです。特注ソフトウェアには、以下が含まれます。

• 社内または外部の第三者によって開発
• データ収集を行うために、決済アプリケーション向けに開発されたソフトウェア（トランザクションのサーバー側）、または消費者のWebブラウザに配信されるソフトウェア（トランザクションのクライアント側）

多くの組織にとって課題となるのは、特注ソフトウェアのセキュリティとPCI DSS準拠の対象を、消費者のWebブラウザにまで拡大することです（要件6.4.1、11.6.1）。現在、トランザクションを保護するには、サーバー側のセキュリティを確保するだけでなく、配信した「特注ソフトウェア」から消費者のWebブラウザを保護するために、監視と対策を行う必要もあります。また、クライアントのWebブラウザ向け特注ソフトウェア（JavaScriptなど）を第三者から入手した場合でも、決済情報を収集する事業者がそのソフトウェアを監視し、保護する義務を免れるわけではありません。提供元に責任を転嫁しようとしても、監査人には通用しません。

では、クライアント側のカスタムソフトウェアにはどのような要件があるのでしょうか。セクション6.4.1の要点は次のとおりです。

消費者のブラウザに読み込まれ、実行されるすべての決済ページスクリプトは、次のように管理されます。

• 各スクリプトが承認済みであることを確認する方法が実装されています。
• 各スクリプトの完全性を保証するための方法が実装されています。
• すべてのスクリプトについて、各スクリプトが必要な理由を文書で明記した一覧を維持します。

つまり、配信するすべてのソフトウェア（スクリプト）について、インベントリを作成し、必要性を明確にしたうえで監視し、侵害が特定された場合の修復計画を用意する必要があります。アプリケーション／ITセキュリティ担当者は、この要件の管理、監視、報告に対応できる体制を整えていますか。PCI DSS監査担当者と、4.0準拠レビューの日程について話し合いましたか。セキュリティおよびPCI DSS準拠計画が予定どおり進み、セキュリティ運用、さらにはより重要な組織の収益確保を妨げないよう、今こそ確認すべきです。トランザクションのクライアント側を保護してPCI DSS 4.0に準拠する期限は、想像以上に迫っています。