PCI DSSとは？準拠要件・レベル・日本語版など総解説

2023/06/22 # セキュリティ印刷用ページ

昨今、クレジットカードの情報漏洩・流出ならびに不正利用が増えています。そういった被害を防止するためクレジットカード業界において対応が求められている「PCIDSS」について、本稿では、設立背景やメリットならびに2022年3月公表「PCI DSS v4.0」の内容概要から準拠要件・レベル詳細までを解説します。

PCI DSSとは

(１)定義

PCI DSSとは、「Payment Card Industry Data Security Standard」の略称でクレジット産業向けのグローバルセキュリティ基準のことです。Visa、MasterCard、JCB、American Express、Discoverの5大カードブランドによって、2004年に策定されました。
時流に合わせてバージョンが更新されており、2022年3月にはPCI DSS v4.0がリリースされています。
PCI DSSにはクレジットカード会員のデータを保護するなど、6つの目的があり、その目的を達成するための12の要件が設定されています。事業者は12の要件を満たし、要件に紐づけられている項目をクリアすることでPCI DSSに準拠することが求められます。
PCI DSSの目的から要件、準拠事項については、「PCI DSSが掲げる6つの目的と12の要件」と「PCI DSSの準拠事項と各レベルの詳細」の章をそれぞれ確認していただきたい。

(２)v4.0の内容

定義の部分で述べたようにPCI DSSは現在、v4.0がリリースされています。これまでのv1.2.3は2024年3月31日に終了となるため、あと1年足らずの間に要件差分を確認し、移行に向けた対応が必要です。
例えば、要件の対象がこれまでの「カード会員データ」から「アカウントデータ」に変更されています。昨今では機密認証データ漏洩が増えてきており、より厳格な対応をするためにシステム改修などが必要とされています。さらに「監査ログのレビューには自動化されたメカニズムを使用する」なども変更点です。不正アクセスの監視は目視ではなく、確実に発見するための自動化が求められるようになりました。こうした不正アクセスを発見するためには、ログ解析ツールの導入などが必要です。
こうした変更点がv4.０には要件付けられているため、改めての確認が求められます。

PCI DSSの日本語版ドキュメント

PCI DSSの日本語版ドキュメントに関しては、「PCI Security Standards Council」の公式サイトからダウンロードが可能です。
以下のURLから該当のドキュメントを「日本語PDF」を選択して、ダウンロードをしてみてください。

公式サイト：PCI Security Standards Council（ドキュメントライブラリ）

PCI DSSが設立された背景

PCI DSSが設立された背景は以下の2つがあげられます。

カードブランドによる異なっていたセキュリティ基準の統一
経済のグローバル化への対応

PCI DSSが設立される以前は、Visa、MasterCard、JCB、American Express、Discoverの5大カードブランドはそれぞれのセキュリティ基準を設けて運用していました。そのためクレジットカードを取り扱う加盟店は、カードの種類に応じてセキュリティ基準を満たす必要があり、対応には大きな負担がかかっていました。
さらに経済のグローバル化が促進されたことにより、日本にいながら海外のサイトから商品を購入・決済することも簡単にできるようになってきました。しかしグローバル化によって利便性が増した一方で、クレジットカード被害が世界中で多発するという結果も出てきてしまい、大きな課題となっていました。

こうした背景から加盟店の負担軽減とクレジットカードの被害リスクを抑えた、さらなるグローバル化の促進を目指してPCI DSSが設立されています。
日本においても2016 年に「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」が発表され、クレジットカード情報を保持している事業者に対してのPCI DSS準拠が求められました。さらにその2年後には、「改正割賦販売法」が施行されたことで、事業者のみならず加盟店に対しても、クレジットカード情報の不正使用対策などが義務付けられました。

PCI DSSに準拠するメリット

事業者や加盟店がPCI DSSに準拠することで、以下のようなメリットがあります。

セキュリティインシデントのリスクを低減することができる
セキュリティが強固であることをユーザーにアピールできる
PCI DSSに準拠していてもインシデントが起きた場合にクレジットカード会社からのペナルティが一部免除される

PCI DSSで定められているセキュリティ基準は非常に明瞭的で定量的に示されています。そのため、定められた要件を遵守することでセキュリティインシデントが発生するリスクは可能な限り抑えることが可能です。
さらにPCI DSSに準拠していることで、ユーザーに適切なセキュリティ対策を整えていることをアピールできます。クレジットカードの不正利用などが多い昨今において、PCI DSSに準拠していることは、サイトの信用やブランド価値の向上にもつながるといえるでしょう。
また、万が一インシデントが発生した場合でもPCI DSSに準拠していることで、クレジットカード会社からのペナルティが一部免除されることもあります。

PCI DSSが掲げる6つの目的と12の要件

(１)目的1：安全なネットワークとシステムの構築と維持

	内容	対応方法の一例
要件1	カード会員データを保護するために、ファイアウォールをインストールして構成を維持する	ネットワークのセグメントごとにファイアーウォールを設置するセグメントごとのアクセス制御設定を行う
要件2	システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない	自社運用のセキュリティパスワード等の設定を行う安全な接続のためのゲートウェイ設定を行う

(２)目的2：カード会員データの保護

	内容	対応方法の一例
要件3	保存されるカード会員データを保護する	カード会員データの暗号化を行うバックアップ環境の構築を行う
要件4	オープンな公共ネットワーク経由でカード会員データを伝送する場合、強力な暗号化技術で保護する	インターネット通信を行う全データを暗号化する

(３)目的3：脆弱性管理プログラムの整備

	内容	対応方法の一例
要件5	すべてのシステムをマルウェアから保護し、ウィルス対策ソフトウェアまたはプログラムを定期的に更新する	ウイルス対策ソフトの導入および常時最新の状態への更新するマルウェア対策の強化する
要件6	安全性の高いシステムとアプリケーションを開発し、保守する	脆弱性発見時に迅速なパッチを適用する環境の構築をする定期的な脆弱性診断を行うソフトの導入する

(４)目的4：強力なアクセス制御手法の導入

	内容	対応方法の一例
要件7	システムコンポーネントおよびカード会員データへのアクセスを、業務上必要な範囲内に制限する	アクセス権限の設定を行うアクセスログ監視を行う
要件8	システムコンポーネントへのアクセスを確認・許可する	ID、パスワードと同一にはしない二段階認証の設定を行う定期的なパスワード変更を強制する一定の操作がなされない場合、強制ログアウトの設定をする
要件9	カード会員データへの物理アクセスを制限する	データを扱う部屋への入室にカードキーを利用する指紋認証や静脈認証等で入室を許可するシステムを導入する

(５)目的5：ネットワークの定期的な監視およびテスト

	内容	対応方法の一例
要件10	ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する	全てのログ追跡を行える設定を行うインシデント発生時には早急にログを確認できる仕組みを構築する関連ログは一定期間、バックアップサーバに保管する
要件11	セキュリティシステムおよびプロセスを定期的にテストする	定期的な脆弱性テストを実施する定期的なペネトレーションを実施する

(６)目的6：情報セキュリティポリシーの整備

	内容	対応方法の一例
要件12	事業体としての情報セキュリティに対するポリシーを維持する	情報セキュリティのルールを設定および徹底した周知をする時流に合わせてルールの更新をする

1 2