PCI DSS v4.0要件12.4.2によるサービスプロバイダ限定の追加要件にはどう対応すればよいか

サービスプロバイダは、PCI DSS v4.0要件12.4.2（PCI DSS v3.2.1の12.11に相当）に基づき、四半期ごとに点検を実施し、自社のセキュリティポリシーや手順等が実質的に遵守されていることを確認するとともに、各種管理策の定期的な点検を行う必要があります。

PCI DSS v4.0要件12.4.2は、以下を含む五つの点検項目を挙げています（これらに限定されません）。

a）日次のログレビュー

日次ログの点検は3カ月ごとに実施し、所定の作業が予定どおり完了していることを確認する必要があります。PCI DSS v4.0の要件では、レビューは主に「自動化された手段」を前提としているため、SIEMやログアナライザーなどの仕組みを環境に整備し、対象ログが自動的な仕組みによって定期的にレビューされることを担保すべきです。

b）ネットワークセキュリティ管理策の設定レビュー

ネットワークセキュリティ管理機器（ファイアウォール等）については、半年ごとにルールセットのレビューを実施し、関係者が期待される作業を行っているか、ルールセットの実装が社内規定に従っているか、承認や関連試験が行われているか等を確認する必要があります。

c）新規システムへの設定基準の適用

環境に新たに追加されるシステムや機器には、定められた設定基準を適用するとともに、ネットワーク機器、ホスト環境（オペレーティングシステム）、データベース等について四半期ごとの点検を実施する必要があります。

d）セキュリティアラートへの対応

各種セキュリティインシデントのアラートは、社内で定めたインシデント対応プロセス（インシデント対応計画IRP等）に従って処理・対応する必要があります。

e）変更管理手順

各種システム機器やアプリケーションシステムについて変更や展開の必要が生じた場合は、社内で定めた規則に従ってデプロイ・リリースのプロセスを進める必要があります。

要件12.4.2.1ではさらに次のことが求められています。

• 上記のレビューについては、実施記録を残す必要があります。
• レビューされていない不適合がある場合は、強化策または代替策を講じなければなりません。
• 自社のPCI DSS準拠の責任者（コンプライアンスの主担当者、上級管理者が任命した責任者、PM等）によるレビューと署名が必要です。

要するに、PCI DSS v4.0要件12.4.2は主として「遵守」を求めています。定められた各種の施策、プロセス、方針等を遵守することにより、自社のコンプライアンス運用をより安定した完全なものにしなければなりません。