PCI DSSとは？概要、要件、メリット

加盟店や決済処理事業者のコンプライアンス対応を簡素化するために共同策定された、Payment Card Industry Data Security Standard（PCI DSS）についてご紹介します。

2004年に初めて策定されたPCI DSSは、決済データを盗難や不正利用から保護するために、主要な5つのペイメントカードブランドが開発した一連のセキュリティ基準です。決済データを処理、送信、保存する企業や組織は、PCI DSS基準を遵守する必要があります。遵守しない場合、罰金、法的措置、加盟店契約の解除など、重大な結果を招くおそれがあります。

PCI DSSの目的とは？

PCI DSSは、決済アカウントデータのセキュリティを促進・強化し、一貫したデータセキュリティ対策を世界規模で広く普及させるために策定されました。PCI DSSは、決済アカウントデータを保護し、消費者と企業の双方を金融詐欺や信用の毀損から守ることを目的とした、技術面および運用面の要件の基準を定めています。

PCI DSSの主な目的の1つは、カード会員データを不正アクセスや悪用の可能性から保護することです。これには、プライマリアカウント番号、カード会員名、有効期限、その他の機密情報が含まれます。また、この基準は、ペイメントカード情報への不正アクセスや盗難につながる可能性のあるデータ侵害のリスクを最小限に抑えることも目的としています。PCI DSSの管理策を実装することで、組織はペイメントカード取引に関連する不正行為の防止と検知にも貢献できます。

PCI DSS要件は、新たなセキュリティ脅威や技術の進歩、規制環境の変化に対応するため、継続的に改定される点に注意が必要です。最新の要件については、PCI Security Standard Council のWebサイトをご確認ください。

PCI DSS準拠における4つの一般的な脆弱性要因

PCI DSSへの準拠を維持し、カード会員データのセキュリティを確保するには、組織はさまざまな潜在的脆弱性に対処する必要があります。以下では、組織がPCI DSSへの準拠を維持するために対処すべき、一般的な4つの脆弱性領域について説明します。

販売時点情報管理（POS）システム：POSシステムは、取引時に機密性の高い決済カードデータを処理するため、データ侵害や不正アクセスにつながるさまざまな脆弱性の影響を受ける可能性があります。多くのPOSシステムでは、定期的なセキュリティ更新が提供されない可能性のある古いハードウェアやソフトウェアが稼働しており、攻撃者に悪用され得る脆弱性が残っています。また、脆弱なユーザー名やパスワード、またはデフォルトのユーザー名やパスワードも、攻撃者に悪用される可能性があります。さらに、POSシステムではサードパーティとの連携が必要になることも少なくありません。こうしたサードパーティベンダーのセキュリティ対策が不十分な場合や、サプライチェーンに脆弱性がある場合、システム全体にリスクが生じる可能性があります。
セキュリティで保護されていない無線ネットワーク：セキュリティで保護されていない無線ネットワークには、権限のない人物が容易にアクセスし、POSシステムや決済カード情報を扱うその他のデバイスに接続できるため、攻撃者が機密性の高いカード会員データを侵害する際の侵入口となる可能性があります。また、無線通信が暗号化されていない場合、送信データが傍受や盗聴にさらされるおそれがあります。
脆弱なアクセス制御と認証：アクセス制御が堅牢でない場合、権限のない者が機密リソースにアクセスし、データ侵害、不正行為、その他のセキュリティインシデントのリスクが高まる可能性があります。たとえば、複雑さの要件がない単純なパスワードへの依存や、ユーザーの本人確認を効果的に行えない不適切に管理されたユーザーアカウントにより、機密性の高い決済情報が不正に閲覧、変更、または外部へ持ち出されるおそれがあります。PCI DSSでは、アクセス制御のセキュリティを強化するため、多要素認証（MFA）の使用も重視しています。最小権限の原則に従い、ユーザーとシステムには、タスクの実行に必要な最小限のアクセス権または権限のみを付与する必要があります。アクセス権は、具体的な職務上の役割、責任、機能に応じて設定する必要があります。
不十分な暗号化、トークン化、データストレージ：堅牢な暗号化、トークン化、安全なデータストレージ対策を実装しないと、PCI DSSへの違反につながり、データ侵害や機密性の高い決済カード情報の漏えいリスクが高まる可能性があります。エンドツーエンド暗号化では、機密性の高い決済情報が入力時点（POS）で暗号化され、さまざまなシステムやネットワークを経由して宛先に到達し、受信者が正しい鍵でデータを復号するまで、暗号化された状態が維持されます。別の方法として、決済情報をトークン化できます。これは、クレジットカード番号などの機密データを、トークンと呼ばれる機密性のない代替値に置き換える処理です。決済取引が発生すると、実際のカード会員データは、それ自体には価値がなく、トークン化システムにアクセスできない攻撃者には利用できない一意のトークンに置き換えられます。暗号化とトークン化はいずれも、悪意のある第三者による盗聴や傍受の防止に役立ち、カード会員データの機密性を維持します。

PCI DSSの6つの原則

PCI DSSでは、決済アカウントデータを保護するための技術要件および運用要件の基準が定められています。これらの要件は、以下の6つのPCI DSS原則に詳述されています。

1. セキュアなネットワークとシステムの構築および維持

カード会員データの保護は、安全なネットワークインフラストラクチャの構築から始まります。これには、ファイアウォールを使用してネットワーク間のトラフィックを制御および監視し、不正アクセスを制限することが含まれます。マイクロセグメンテーションも推奨されるセキュリティ戦略の1つです。ネットワークを小規模で独立したセグメントに分割し、ネットワーク内およびアプリケーションまたはワークロードのレベルで「東西」方向のラテラルトラフィックを制御することで、潜在的な攻撃対象領域を縮小し、セキュリティを強化します。また、システムにパッチが適用され、最新の状態に保たれるようにするには、脆弱性管理のベストプラクティスを確立することも不可欠です。

2. カード会員データの保護

この原則は、機密情報への不正アクセスを防ぐため、伝送時および保存時のカード会員データを暗号化して保護することに重点を置いています。この要件では、公共ネットワーク経由で伝送されるカード会員データを強力な暗号化によって保護するとともに、承認後に機密認証データを保存しないデータ保持ポリシーを策定することを定めています。また、データ保護ポリシーでは、カード会員の機密情報への不正アクセスや漏えいのリスクを最小限に抑えるため、プライマリアカウント番号（PAN）のマスキングまたは切り詰めも義務付けています。PCI DSS要件では、PANを表示する場合、表示できる桁数は先頭6桁と末尾4桁までと定められています。

3. 脆弱性管理プログラムの維持

安全な環境を維持するには、脆弱性を定期的に特定し、対処する必要があります。これには、コードに以前から存在する欠陥を企業に通知する定期的な脆弱性スキャンと、実際の攻撃をシミュレーションして既存のセキュリティ対策の有効性を検証し、不正アクセスやその他の悪意ある活動が可能かどうかを判断するペネトレーションテストが含まれます。スキャンやテストで見つかった弱点に速やかに対処することは、システムやそこに保存されている可能性のあるカード会員データが侵害されるリスクから保護するうえで極めて重要です。さらに、ソフトウェア開発ライフサイクル中に脆弱性が持ち込まれるのを防ぐため、組織は、OWASPなどの組織が策定したものをはじめとするセキュアコーディングガイドラインを作成し、適用する必要があります。

4. 強力なアクセス制御対策を実施する

システムコンポーネントとカード会員データへのアクセスを制限することで、権限のない個人やシステムによるアクセスの防止に役立ちます。PCI DSSでは、業務上知る必要がある情報に基づいてアクセスを制限することを定めています。これは一般に最小権限の原則と呼ばれ、ユーザーまたはシステムには、必要なタスクを完了するために必要な特定のデータ、リソース、アプリケーションへのアクセス権のみを付与するという考え方です。同様に、ロールベースアクセス制御（RBAC）では、組織内での役割に基づき、権限を付与されたユーザーのみにシステムへのアクセスを制限します。これらのポリシーでは、人員や役割の変更を反映するため、アクセス制御を定期的に見直して更新することが求められます。また、システムおよびカード会員データへのアクセスにMFAを導入し、パスワードポリシーとベストプラクティスを改善することも求められます。

5. ネットワークを定期的に監視およびテストする

セキュリティインシデントを検知し、迅速に対応するには、継続的な監視とテストが不可欠です。これには、ログ記録メカニズムの実装、定期的なセキュリティテストの実施、ネットワークアクティビティの継続的なレビューが含まれます。ネットワーク監視ツールには、ネットワークトラフィックを分析して完全性を評価し、攻撃パターン、異常なアクティビティ、不正使用を特定する侵入検知システム（IDS）や侵入防止システム（IPS）も含まれます。また、組織はインシデント対応計画と緊急時の手順を策定し、これらのプロセスが定期的にテストされるようにする必要があります。

6. 情報セキュリティポリシーを維持する

PCI DSSでは、カード会員データを保護し、組織内のセキュリティ対策の指針となる枠組みを定めた包括的なセキュリティポリシーを策定し、維持することも組織に求めています。このポリシーは文書化し、定期的に見直すとともに、テクノロジーや業務プロセスの変化を反映して更新する必要があります。また、従業員がセキュリティポリシーと手順を認識し、それらに関するトレーニングを受けるよう徹底する必要があります。

PCI DSS要件の理解

組織が強固なセキュリティ体制を構築し、カード会員データを保護して、データ侵害のリスクを最小限に抑えるには、以下の12のPCI DSS要件への準拠が不可欠です。

Network security制御を導入し、維持します。ファイアウォールなどのNetwork security技術を含むNetwork security制御（NSC）は、通常、2つ以上の論理または物理ネットワークセグメント（またはサブネット）間のネットワークトラフィックを制御する、ネットワークポリシーの適用ポイントです。NSCは、セキュアな内部ネットワークと外部ネットワークの間の障壁として機能し、事前に定められたセキュリティルールまたはポリシーに基づいて受信トラフィックと送信トラフィックを制御することで、カード会員データへの不正アクセスの防止に役立ちます。
すべてのシステムコンポーネントに安全な構成を適用する。デフォルトのパスワードや設定は攻撃者に広く知られているため、デフォルト構成を変更することで不正アクセスのリスクを軽減し、システムを初期段階から安全に構成できます。システムパスワードやその他のセキュリティパラメーターには、ベンダー提供のデフォルト値を使用しないでください。
保存されているカード会員データを保護する。組織は、侵害が発生した場合でも保存されているカード会員データを不正アクセスから保護し、適切な復号鍵がなければ盗まれたデータを読み取れないようにするため、データを暗号化する必要があります。
オープンなパブリックネットワーク経由での送信時には、強力な暗号化によってカード会員データを保護します。これにより、データ送信中の盗聴や不正アクセスを防止します。
すべてのシステムとネットワークを悪意のあるソフトウェアから保護する。ウイルス対策ソフトウェアを定期的に更新し、マルウェア対策ツールを使用することで、悪意のあるソフトウェアの防止、検出、削除を支援し、侵害のリスクを軽減します。
セキュアなシステムとソフトウェアを開発し、維持する。セキュアコーディングの実践と、システムおよびアプリケーションの継続的な保守の重要性を重視し、セキュリティを考慮してアプリケーションを開発します。ソフトウェアを定期的に更新してパッチを適用することで、攻撃者に悪用される可能性のある脆弱性への対処に役立ちます。
業務上知る必要がある場合に限り、システムコンポーネントおよびカード会員データへのアクセスを制限する。アクセス制御により、カード会員データへのアクセスを、業務上必要とする担当者のみに制限します。これにより、不正アクセスのリスクを軽減し、組織が最小権限の原則を遵守するうえで役立ちます。
ユーザーを識別し、システムコンポーネントへのアクセスを認証する。ユーザーを認証するために、一意のIDと強力なパスワードを割り当てます。これにより、許可されたユーザーのみがカード会員データにアクセスできるようになります。多要素認証を使用すると、セキュリティをさらに強化できます。
カード会員データへの物理的アクセスを制限する。入退室制限や監視などの物理的アクセス制御は、権限のない人物がカード会員データを保存するシステムに物理的にアクセスするのを防ぐうえで役立ちます。
システムコンポーネントおよびカード会員データへのすべてのアクセスを記録し、監視する。ログファイル、侵入検知・防御システム、その他の追跡ツールは、効果的な継続的監視に役立ち、組織が不審なアクティビティを迅速に検知して対応できるようにします。
システムとネットワークのセキュリティを定期的にテストする。脆弱性評価やペネトレーションテストなどのプロアクティブなテストは、攻撃者に悪用される前にセキュリティ上の弱点を特定し、対処するのに役立ちます。
組織のポリシーとプログラムによって情報セキュリティを支えます。策定します。継続的なコンプライアンス確保に向けて、カード会員データを保護するための規則とガイドラインを定めた包括的なセキュリティポリシーを策定し、すべての担当者に周知して研修を実施するとともに、ポリシーを遵守させます。

PCI DSS準拠レベル

PCIコンプライアンスレベルは、12か月間のクレジットカード、デビットカード、プリペイドカードの総取引件数に基づいて、4段階に分けられます。組織は、PCI DSSへの準拠を確保・維持するために、取引件数を正確に把握し、該当するレベルの要件を満たす必要があります。適切なレベルのコンプライアンスを維持することは、eコマース取引の保護、カード会員データを扱う環境の安全性維持、潜在的な侵害の防止に不可欠です。

レベル1：年間取引件数が600万件を超える企業

PCIコンプライアンスレベル1は、PCI DSSで最も高く、最も厳格なレベルです。クレジットカードデータを保存、送信、または処理する企業に最高水準のセキュリティを確保することを目的としています。また、クレジットカードデータまたはカード会員データの漏えいにつながる侵害やサイバー攻撃を受けた加盟店およびサービスプロバイダーは、規模を問わずPCIレベル1の要件を満たす必要があります。PCIレベル1の検証では、認定セキュリティ評価機関（QSA）または内部セキュリティ評価人による年次の準拠報告書（ROC）が必要です。通常は、コンピューターシステムやアプリケーションに対する実際のサイバー攻撃を模擬して脆弱性を特定するペネトレーションテストも義務付けられます。さらに、認定スキャンベンダー（ASV）による四半期ごとのネットワークスキャンも必要です。

レベル2：年間取引件数が100万～600万件の企業

PCI DSSレベル2の加盟店は、自己問診票（SAQ）を使用して年1回コンプライアンス評価を実施し、ASVによるネットワークスキャンを四半期ごとに受ける必要があります。また、準拠証明書（AOC）フォームへの記入も必要です。レベル1と同様に、一部のレベル2加盟店には侵入テストの実施が求められる場合があります。クレジットカード情報またはカード会員データが侵害されるデータ侵害やサイバー攻撃を受けた場合を除き、レベル2加盟店にオンサイトでのPCI DSS監査は必要ありません。

レベル3：年間のEコマース取引件数が20,000～100万件の事業者

PCI DSSレベル3の加盟店は、該当する年次SAQに回答し、ASVによる四半期ごとのネットワークスキャンを実施する必要があります。また、AOCフォームに記入して提出する必要もあります。

レベル4：年間のEコマース取引が20,000件未満、またはその他の取引が100万件以下の事業者

PCIレベル4の加盟店は、該当する年次SAQに回答する必要があります。また、四半期ごとのASVによる外部ネットワークセキュリティスキャンが必要となる場合があります。加盟店はAOCフォームにも記入し、提出する必要があります。すべてのカードブランドにレベル4の区分があるわけではありません。

PCI DSS準拠のメリット

PCI DSSの12の要件を遵守することは、データセキュリティを強化し、全体的なコンプライアンスの確保に寄与するうえで極めて重要です。これらの要件が相互に連携することで、カード会員データを保護し、セキュリティ侵害を防止するための包括的なフレームワークが構築されます。

PCI DSSへの準拠は、機密性の高いカード会員データの保護に取り組む姿勢を示すものです。クレジットカード情報が最高水準のセキュリティ基準に従って取り扱われていることをお客さまに示し、企業が個人情報を保護する能力への信頼を高めます。さらに、PCI DSSに準拠する企業は、データセキュリティの不備に関連する訴訟や規制上の罰則に対して、より適切に備えることができます。

テクノロジーやセキュリティを取り巻く環境が変化する中、PCI DSSへの準拠を維持することには、ほかにも長期的なメリットがあります。PCI DSS要件を遵守することで、組織は警戒を怠らず、高度で巧妙な攻撃を防ぐための体制を強化し、進化するサイバー脅威にもより迅速に対応できるようになります。また、PCI DSSへの準拠は、コンプライアンスの枠を超えて組織内にセキュリティ重視の文化を醸成し、データセキュリティ対策を継続的に強化する取り組みを促します。

PCI DSSが顧客の信頼の構築（および回復）にどのように役立つかを示す例として、2012年、Global Payments,は大手決済処理会社であり、データ侵害を受けました。この侵害により、機密性の高い決済カード情報への不正アクセスが発生しました。約150万枚のクレジットカードとデビットカードが影響を受け、決済取引のセキュリティに対する懸念が高まりました。Global Paymentsは侵害を封じ込めるために直ちに対応し、被害の範囲を特定するための調査を開始しました。調査には、米国シークレットサービスを含む法執行機関も関与しました。

この侵害を受け、Global Paymentsは、セキュリティインフラストラクチャを強化し、同様のインシデントの再発防止に向けた追加対策を実施することを表明しました。また、PCI DSS要件への準拠を達成し、維持することを優先課題とする方針も示しました。これにより、Global Paymentsが決済データの保護に向けて具体的な対策を講じていることを顧客やステークホルダーに示し、安心感を与える一助となりました。

Global Paymentsは、セキュリティ脆弱性への積極的な対処、セキュリティ対策の強化に向けた投資、PCI DSS準拠の達成を通じて、信頼回復への強い姿勢を示しました。同社が透明性の確保、セキュリティへの投資、PCI DSS準拠の達成に取り組んだことは、顧客の信頼を取り戻し、決済処理業界における評価を回復するうえで重要な役割を果たしました。

PCI DSS準拠における課題

要件の複雑さ

PCI DSSの12の要件を実施するには、PCI DSSへの準拠を実現し維持するために、人材とテクノロジーの両面で十分なリソースが必要となるため、組織はさまざまな課題に直面する可能性があります。あらゆる規模の組織にとって、実装範囲を正確に定義して限定することは容易ではありません。特に、予算や専門知識が限られている小規模企業や、現行のPCI DSS基準を満たすために更新が必要なレガシーシステムを使用している組織にとっては、大きな課題となります。企業は実装のさまざまな要素をサードパーティベンダーに依存することが少なくありませんが、これらのベンダーがPCI DSS要件に準拠していることを確認し、サプライチェーンのセキュリティを確保することも重要な責任です。

継続的な維持管理

PCI DSSへの準拠を維持するには、継続的な取り組みとして、定期的な監視、テスト、評価が必要です。そのため、組織は常に警戒を怠らず、セキュリティ対策とパッチ管理ポリシーを定期的に更新する必要があります。また、準拠の維持には、徹底したペネトレーションテストや脆弱性評価など、セキュリティシステムとプロセスを定期的にテストし続けることも求められます。これには多くのリソースを要する場合があり、運用上の課題が生じる可能性があるほか、長期的にはリソースを圧迫することもあります。

コストへの影響

サイバーセキュリティを取り巻く環境は絶えず変化しており、新たな高度な脅威が次々と出現しています。PCI DSSへの準拠を維持するには、企業が脅威の動向を継続的に監視・分析し、リスクを把握して先手を打つ必要があります。また、ゼロデイ脆弱性は、ベンダーがパッチをリリースする前に脅威アクターに悪用される未知のセキュリティ上の欠陥であるため、その特定と緩和もPCI DSSへの準拠を維持するうえで大きな課題となります。新たな脅威に先手を打ち、変化し続けるサイバー脅威にPCI DSSコンプライアンスを適応させるという課題に適切に対処するには、継続的な改善と、最新のセキュリティ動向を常に把握する姿勢が不可欠です。

進化する脅威環境

サイバーセキュリティを取り巻く環境は絶えず変化しており、新たな高度な脅威が次々と出現しています。PCI DSSへの準拠を維持するには、企業が脅威の動向を継続的に監視・分析し、こうしたリスクを把握して先手を打つ必要があります。ゼロデイ脆弱性は、ベンダーがパッチをリリースする前に脅威アクターに悪用される未知のセキュリティ上の欠陥であるため、その特定と緩和もPCI DSSへの準拠を維持するうえで大きな課題となります。新たな脅威に先手を打つという課題に適切に対処し、変化し続けるサイバー脅威にPCI DSS準拠の取り組みを適応させるには、継続的な改善と、最新のセキュリティ動向を常に把握する姿勢が重要です。

専門家の知見とリソース

Visit the PCI Security Standard CouncilのWebサイトでは、PCI DSSのコンプライアンス要件、トレーニングと資格認定に関する最新情報を確認できるほか、PCI認定プロフェッショナルを探すことができます。また、FAQ、用語集、便利なPCI DSSクイックリファレンスガイドも含む、充実したリソースライブラリも提供されています。

F5が支援できること

クレジットカード取引を扱う組織にとって、PCI DSSへの準拠は不可欠です。その要件は、カード会員データのセキュリティ確保、取引ネットワークの保護、セキュリティシステムの必須の監視およびテストに役立ちます。F5は、組織によるPCI DSS準拠の達成と維持を支援するため、一連のアプリケーションセキュリティ製品、サービス、ソリューションを提供しています。さらに、F5 Distributed Cloud Servicesは、レベル1サービスプロバイダーとしてPCI DSSに準拠しています。

F5は、アプリケーションのセキュリティおよび保護戦略に関する先進的な知見や洞察も、F5 Labsの調査、分析、ブログ、レポートを通じて提供しています。