脆弱性スキャンはペネトレーションテストではない：PCI DSS 加盟店のための実務ガイド

あなたのオンラインストアに、バージョンが古いソフトウェアで動いているサービスがあるとします。

脆弱性スキャンはそれを検出し、修正リストに追加します。ペネトレーションテストはさらに踏み込みます。その古いバージョンが、実際にカード会員データへの足がかりとして使われ得るのかどうかを確かめるのです。

同じ弱点でも、出てくる答えは二つに分かれます。PCI DSS の審査が脆弱性スキャン報告書だけでは受け付けない理由がここにあります。

脆弱性スキャンとペネトレーションテストの違い

脆弱性スキャン（VA）：自動化ツールが定期的にシステムを検査し、既知の弱点を一覧化します。優先順位付けと修正はチームが行います。

ペネトレーションテスト（PT）：有資格のテスターが合意された範囲内で実際に弱点の悪用を試み、どこまで到達できたか、何に阻まれたか、何が通ってしまったかを記録します。

脆弱性スキャンが答えるのは「どこに問題がありそうか」。ペネトレーションテストが答えるのは「その問題で実際にカード会員データに到達できるのか」です。

「内部」と「外部」の定義

PCI DSS は「内部」と「外部」を明確に定義しています（要件 11.4.1 の適用に関する注記）。

• 内部テスト：カード会員データ環境（CDE）の内部から、および信頼済み・非信頼の内部ネットワークから CDE に向けて実施するテスト。
• 外部テスト：信頼済みネットワークの外部に露出した境界、および公衆ネットワークに接続されている、または公衆ネットワークから到達可能な重要システムに対するテスト。

脆弱性スキャンも同じ考え方に従います。内部脆弱性スキャンはネットワーク内部からシステムを検査するもので、有資格の社内要員が実施できます。外部脆弱性スキャンはインターネット上の攻撃者の視点を模して特定のサービス（HTTPS など）をスキャンするため、PCI DSS は PCI SSC 認定スキャニングベンダー（ASV）による実施を求めています。

PCI DSS が定める実施頻度

PCI DSS v4.0.1 では、脆弱性スキャンを要件 11.3、ペネトレーションテストを要件 11.4 で扱います。どの要件が適用されるかは、自社の環境と検証方法（自己問診票（SAQ）を用いる場合はその種類を含む）によって異なります。テスト計画を立てる前に、アクワイアラーまたは審査機関に確認してください。

これらの要件が適用される加盟店の場合、定義されたアプローチにおける主な実施頻度は次のとおりです。

＊ ネットワークセグメンテーションによって PCI DSS の適用範囲を縮小している場合は、セグメンテーション制御に対するペネトレーションテストを少なくとも 12 か月ごと（サービスプロバイダーは少なくとも 6 か月ごと）に実施し、さらにセグメンテーション方式を変更した際にも実施する必要があります（要件 11.4.5）。

内部スキャン、変更後の外部スキャン、ペネトレーションテストは、組織的な独立性を備えた有資格者が実施する必要があります（組織の内部・外部いずれでも可）。重大な変更の後に追加で行う外部スキャンは、ASV による実施を必須とはしません。

本物のペネトレーションテスト報告書を見分けるには

二つの文書は見た目が似ています。どちらも外部の事業者から届き、どちらも弱点を列挙し、どちらも日付と範囲が記載されています。ペネトレーションテストの報告書であることを示すのは、次の三点です。

• 方法論と経過の記述があるか：テストをどう計画し、どう実施したかを説明したうえで、テスターが何を試み、何に阻まれ、何が成功したかを記述しているか。PCI DSS は OSSTMM や OWASP を認められた方法論の例として挙げています。
• 発見事項に経路が示されているか：弱点ごとに、それが決済環境に対して利用され得るのか、どのように利用され得るのかを説明しているか。参照番号とスコアの羅列で終わっていないか。
• 要件 11.4.1 に見合う網羅性があるか：CDE の境界全体と重要システム、内部テストと外部テスト、アプリケーション層とネットワーク層、そしてセグメンテーションおよび適用範囲縮小のための制御の検証。これらは別々の文書として提出されることもあります。

見積依頼と報告書の保管で確認すべきこと

見積を依頼する際は、同じ事業者が両方を提供する場合でも、脆弱性スキャンとペネトレーションテストを別個の作業として明示してください。手動テストの実施者、範囲、テスト実施期間、受け取る文書を確認します。脆弱性スキャンについては、対象システム、発見事項、修正内容、該当する再スキャンの証跡を求めてください。

事後対応はテストと同時に計画します。要件 11.4.4 に基づき、悪用可能な脆弱性とセキュリティ上の弱点は評価されたリスクに応じて修正し、修正を検証するためにペネトレーションテストを再実施する必要があります。要件 11.4.1 に基づきペネトレーションテストと修正の結果を少なくとも 12 か月保管し、二種類の報告書は分けて保管して、次回の審査で適切な証跡をすぐ提示できるようにしてください。

出典：PCI DSS v4.0.1 要件 11.3、11.4 および関連するガイダンス（PCI SSC ドキュメントライブラリ）。要件番号は要求事項の要約であり、店舗の例は説明のための例示、調達に関する提案は編集上の推奨です。

よくある質問

脆弱性スキャンとペネトレーションテストは何が違いますか。
脆弱性スキャンは、自動化ツールが定期的にシステムを検査し既知の弱点を一覧化するものです。ペネトレーションテストは、有資格のテスターが実際にその弱点の悪用を試み、カード会員データに到達できるかを確認するものです。PCI DSS は両方を求めており、目的が異なります。

PCI DSS では脆弱性スキャンをどのくらいの頻度で実施する必要がありますか。
内部・外部の脆弱性スキャンはいずれも少なくとも 3 か月ごと、加えて環境に重大な変更があった後にも実施が必要です。

PCI DSS ではペネトレーションテストをどのくらいの頻度で実施する必要がありますか。
内部・外部のペネトレーションテストはいずれも少なくとも 12 か月ごと、加えてインフラまたはアプリケーションの重大なアップグレードや変更があった後にも実施が必要です。

外部脆弱性スキャンは必ず ASV が実施しなければならないのですか。
四半期ごとの定例の外部脆弱性スキャンは、PCI SSC 認定スキャニングベンダー（ASV）が実施しなければなりません。重大な変更の後に追加で必要となるスキャンは、QSA や ASV による実施を必須とはしません。

PCI DSS に適合したペネトレーションテスト報告書とは、どのようなものですか。
認められた方法論（OSSTMM や OWASP など）を記述し、発見事項ごとに悪用経路を説明し、CDE の境界、内部・外部テスト、アプリケーション層とネットワーク層、セグメンテーション制御の検証を、要件 11.4.1 に沿って網羅しているものです。