PCI DSS準拠のプロセスと要件

PCI DSS標準

Payment Card Industry Data Security Standard（以下PCI DSS）は、主要な国際クレジットカード会社が、自社ネットワークを流れるカード会員情報のセキュリティに関して策定した国際的な業界標準です。加盟店・サービスプロバイダを問わず、主要国際カード会社のカードでの支払を受け付ける、またはカードデータを保存・処理・伝送するすべての組織は、PCI DSSを採用し、本セキュリティ標準に従ってカード会員情報を保護しなければなりません。

PCI DSSはPCI SSC（Payment Card Industry Security Standards Council）が策定・管理しており、そのメンバーはVISA Inc.、MasterCard、JCB、American Express、Discoverで構成されています。

PCI DSSの準拠レベル

PCI DSS準拠のステータスは、通常PCI DSS審査を通じて取得します。加盟店とサービスプロバイダのいずれにも、異なるレベルが定められています（VISAの規定に基づく）。

加盟店またはサービスプロバイダがレベル1に該当する場合、PCI DSSの承認監査人であるQSA（Qualified Security Assessor）のサービスを利用する必要があります。QSAは当該組織に対して現地監査を実施し、審査後に報告書を提出します。

加盟店のレベル2〜4、またはサービスプロバイダのレベル2は、PCI DSSのSAQ（自己問診票）を記入する必要があり、QSAの支援を受けることもできます。ご自社のレベルと使用すべきSAQの種別については、取引のあるアクワイアラにお問い合わせください。

PCI DSS監査のプロセス

一般に、PCI DSS監査はいくつかのフェーズに分けられます。初期の準備・コンサルティングフェーズは、審査を受ける組織の準備状況やシステム・プロセスの複雑さに応じて、最大で3〜5カ月を要することがあります。

1. 準備・コンサルティング — スコーピング・ギャップ分析・QSAの選定
2. 是正対応と証跡 — ポリシー・統制・文書
3. QSAによる現地監査 — 現地3〜5日間
4. 報告 — ROC・AOCの提出

審査中および審査後にPCI DSSに関連して発生するコスト

1. システム関連のコスト

PCI DSSは「1サーバーにつき1つの主機能」（要件2.2.1）など、強固なセキュリティ保護の実装を求めるため、Webサーバー、アプリケーションサーバー、DBサーバーを同一の場所に置いていた場合は、相互に分離する必要があります。同様に、ホスティング機器の要件が増える可能性もあります（仮想サーバーの利用も可能です）。さらにPCI DSSはDNSサーバー、NTPサーバー、FIMサーバー（File Integrity Management）、ログサーバーなどのセキュリティサービスコンポーネントの整備を求めるため、準拠要件を満たすには従来より多くの機器を調達する必要が生じる場合があります。

2. セキュリティ機器のコスト

追加のセキュリティ機器（ファイアウォール、IPS、IDS、WAFなど）の購入が必要になる場合があります。

3. データ暗号化のコスト

PCI DSSはカードデータの暗号化を求めています。組織は通常、保存するカード会員データのセキュリティを確保するためにHSM（Hardware Secure Module）によるハードウェア暗号化を用います。

4. 教育・訓練のコスト

PCI DSSは従業員に対し、セキュリティ意識向上研修、セキュアコーディング研修、IRP（インシデント対応計画）の訓練を求めています。また、脆弱性スキャンやペネトレーションテストを実施するために、これらのツールを運用できるだけの技術研修を社員に受けさせる必要がある場合もあります。

5. 技術監査のコスト

PCI DSSは以下を含む多くの技術監査を義務付けています。

• カード番号のスキャン
• コードレビュー
• 内部脆弱性スキャン
• ASVによる外部脆弱性スキャン
• 内部ペネトレーションテスト
• 外部ペネトレーションテスト
• 無線スキャン

6. その他のコスト

ご自社がサービスプロバイダに該当する場合は、VISAのRegistryやMasterCardのService Provider Registrationなどへの登録が必要となります。

PCI DSS準拠にかかる費用

上記のコストに加え、PCI DSS準拠の費用とQSAが監査を完了するまでに要する期間は、次の要因にも左右されます。

• システムの複雑さ：ホスト数、使用OSの種別、システムに導入されたコンポーネント数、複数OSの併用の有無、セキュリティ設定が複数存在するかどうか。
• セキュリティ機器とネットワークセグメント：ファイアウォール、IPS、IDS、WAF、スイッチ、ルーター、SIEM、DRPなどの台数。これらは適切なアクセス制御とログを伴って設定・更新する必要があり、台数が多いほどネットワークセグメントが複雑になり、監査工数が増加します。
• 接続するアクワイアラとサービスプロバイダの数：アクワイアラが多いほど、システムのデータフローは複雑になります。
• データベースおよびカードデータの保持と暗号化：カードデータフローと保存形態が多様であるほど、暗号化やセキュリティ保護の要件が増え、監査項目も多くなります。
• 拠点数：店舗、サーバールーム、オフィスの数に応じて審査日数が増加します。カードデータを保存するバックアップサーバールームも審査範囲に含まれます。

PCI DSS監査の費用は地域によっても異なります。PCI SSCの年間費用は地域ごとに異なり、QSAの費用も地域によって変わります。例えば、東南アジアの中小規模サービスプロバイダの場合、現地審査に約3〜5日、報告書作成に約1週間を要します。交通費を除き、初回のPCI DSS認証には15,000米ドルから25,000米ドル程度の費用がかかる場合があります。実際の金額は上記の要因を踏まえて見積もる必要があります。