PCI 3D Secure

PCI 3DSとは、EMVCoのEMV 3-Dセキュアプロトコルの安全な実装をサポートするため、PCIセキュリティ基準審議会（PCI SSC）によって新たに公開された2つのセキュリティ基準のことです。EMV 3-Dセキュアはカード保持者が未承認の非対面決済（Card not present、CNP）を防ぐのに有効な手段であり、PCのブラウザやモバイル端末を通じたオンライン取引における非対面不正利用被害から加盟店を守ります。EMVCoとPCI SSCは、3Dセキュアサービス全体の安全性を確保するため、EMV 3-Dセキュアサービスの機能の検証、および環境やデータのセキュリティ評価が確実に行われるよう共同で取り組んでいます。

EMV® 3DS solutions make it increasingly difficult for criminals to obtain cardholder data (CHD) in online payment channels. "As CNP fraud continues to be a challenge globally, PCI SSC is pleased to be able to provide support for the secure implementation of these solutions."

"Dynamic authentication is becoming increasingly important to securing payments in an omni-channel world," added PCI SSC Chief Technology Officer Troy Leach. "A new and improved EMV® 3DS protocol supported by PCI Security Standards will enhance the security of 3DS infrastructures and transactions and improve dynamic authentication for e-commerce and m-commerce environments."

3Dセキュア（EMV®3-D Secure – Protocol and Core Functions Specification v2.0）は、EMVCoによって策定された製品および機能のフレームワークで、3Dセキュア取引におけるACS、DS、3DSSのプロダクトとメッセージの規格を定めたものです。加えて、PCIセキュリティ基準審議会（PCI SSC）によって、PCI 3DSコアセキュリティ基準（Security Requirements and Assessment Procedures for EMV®3-D Secure Core Components: ACS,DS and 3DS Server）が策定され、3DSシステムの運用環境とデータのセキュリティ保護のために利用されています。また、モバイル装置向けには、EMVCoによって3DS SDK規格が定められ、PCI SSCによってその審査が行われています。運用面においては、すべての3Dセキュアプロダクト（ACS、DS、3DSS）はEMVCoの製品テストに合格し、各カードブランド（American Express、JCB、Discover、MasterCard、Union Pay、Visa）の運用テストを経て、はじめて相互運用性（Interoperability）が保証されます。PCI SSCのセキュリティ要件とは、3Dセキュア製品の運用環境におけるセキュリティの要件ということであり、PCI SSCの認可を受けたQSAによって審査されます。通常、3Dセキュア製品がカードブランドの運用テストに合格し、アクワイアラや加盟店（Acquirers、Merchants）がPCI 3DSの審査に合格してはじめて、正式にオンラインで3Dセキュアサービスを運用することが許可されます。

3Dセキュアプロダクト（ACS、DS、3DSS、3DS SDK）は、プロダクト間の相互運用性（Interoperability）を確保するため、EMVCoが策定したEMV® 3-D Secure–Protocol and Core Functions Specification v2.0（EMV 3-Dセキュア2.0）に基づいて機能と規格が審査されます。審査に合格するとEMVCoから承認書（Letter of Approval）が発行され、プロダクトはEMVCoのウェブサイトに掲載されます。

PCI 3DSコアセキュリティ基準（Security Requirements and Assessment Procedures for EMV® 3-D Secure Core Components: ACS, DS, and 3DS Server）は、Part1とPart2に分かれています。Part1の3DSベースラインセキュリティ要件には、3DSシステムの運用環境に求められるセキュリティ基準が記載されています。一方、Part2の3DSセキュリティ要件では、3Dセキュアシステムの運用そのもののシステムやデータのセキュリティが定められています。事業者によって対応するシステムおよび適用されるPCI 3DSコアセキュリティ基準の要件は異なります。決済事業者やサービスプロバイダは、環境、人員、システム、データのセキュリティを、自社に適用される技術要件や管理要件に準拠させる必要があります。なお、決済事業者やサービスプロバイダの使用する環境、または3Dセキュアシステムが運用される環境が、すでにPCI DSSの認証を受けており、PCI 3DSの運用に必要な対象範囲がPCI DSS認定審査の対象範囲と同一である（排除項目が存在しない）場合、PCI 3DSではPart2の要件にのみ対応すればよいとされています。

処理される3Dセキュア取引データは、いずれもPCI 3DSの要件に準拠していなければなりません。したがって、決済事業者やサービスプロバイダは、既存の、または運用を計画している3Dセキュアシステムのデータフローやデータの保存方法がPCI 3DS Data Matrixのデータの保存と保護に関する各要件に準拠しているかどうか、チェックする必要があります。これには認証データ、鍵データ、暗号鍵（ACS、DSに適用）の保護と保存の規定が含まれます。準拠要件において保存が禁止されているデータは、システムの取引処理プロセスにおいて非保持が徹底される必要があります。ベンダが提供または設置に協力したシステムであっても、ベンダに3Dセキュアデータの取り扱い方法を確認しなければなりません。

PCI 3DSは、決済事業者やサービスプロバイダに対し、アクセス制御ポリシーやソフトウェア開発手順等の管理ポリシーおよび管理手順を定め、3Dセキュアサービスのセキュリティ管理をPCI 3DSに準拠させるよう求めています。また、PCI 3DSでは、運用上のリスクの存在を前提として、対応するセキュリティ対策と実施レベルを定めており、リスク評価結果、ハードウェア・ソフトウェア目録、ネットワーク構成図およびデータフロー図（Network Diagrams、Data Flow Diagrams）、各テストおよび実施記録など、管理に必須の文書や記録を作成し、保存するよう求めています。

PCI 3DSでは以下のテクニカルテストが求められています。

• ソフトウェア・セキュリティテスト（Software Security Tests）
• 四半期に1回の内部・外部脆弱性スキャン（Vulnerability Scans）
• 毎年1回のペネトレーションテスト（侵入テスト）

これらのテストは、専門のテストプロバイダに委託しても、社内の専門技術者が行ってもかまいません。ただし、外部脆弱性スキャンは、PCI SSCから認定されたASVが行う必要があります。

PCI 3DSの認定サービスプロバイダがPCI 3DS QSAです。リストはPCI SSCのウェブサイトで検索できます。セキュアベクターズ・インフォメーション・テクノロジーズは、現在アジア太平洋地域においてPCI 3DS審査サービスを提供している数少ないQSAです。審査作業は組織の規模や3Dセキュアシステムの実装方法によって異なります。一般に、審査前または審査開始段階でスコープ（対象範囲）を確認します。審査期間中は3～5日間かけてオンサイト評価（訪問審査）を実施し、さらにオフサイトで評価担当者のレポートとエビデンスをチェックします。審査完了後、QSA企業が準拠報告書（Report On Compliance、ROC）に署名し、審査を受けた事業者が準拠証明書（Attestation of Compliance、AOC）に署名すれば、認定となります。決済事業者やサービスプロバイダは、カードブランドやアクワイアラの求めに応じてAOCまたはROCを提出しなければならず、これにより、その年の審査が完了となります。PCI 3DSコアセキュリティ基準では毎年1回審査を受けるよう定めています。