PCI DSS

1）カード会員データを保護するために、ファイアウォールをインストールして維持する

まず、事業者はファイアウォールのセキュリティを適切に設定する必要があります。一連の作業には、ファイアウォールのトポロジーマップ、ファイアウォールポリシーの設定説明が含まれます。PCI DSSでは、カード会員データを守るため、少なくとも一つのDMZネットワークと一つの内部ネットワーク（Internal Network）のセキュリティ設定を備えるよう定めています。

（2）ベンダ提供のシステムパスワードおよびその他のセキュリティパラメータのデフォルト値を変更する

システム、機器、アプリケーション、ソフトウェアを購入し、セキュリティの設定をした後、メーカー、ベンダ、デベロッパから提供されたデフォルトのアカウント、パスワード、パラメータは、ネットワークにアクセスする前に、変更しなければなりません。

（3）保存されるカード会員データを保護する

保存するカード会員データに関して、事業者は「データの最小化」の原則に則り、カードシステムで扱う会員データは伝送、処理のプロセスで保護するだけでなく、保存の際も暗号化と厳格なアクセス制御を施さなければなりません。さらに、カード会員データを適切に管理するため、データの処理および保存に関する手順を定め、定めた手順に沿って暗号化とプロセスの管理を行わなければなりません。

（4）公共ネットワーク経由でカード会員データを伝送する場合の保護

個人情報を公共ネットワーク（オープン、パブリック）で伝送する必要がある場合は、伝送プロセスにおける未承認のアクセスや漏洩を防ぐため、強固な暗号化アルゴリズムとセキュリティプロトコルで保護しなければなりません。

（5）情報システムをマルウェアから保護し、ウィルス対策ソフトウェアのウィルスシグネチャとプログラムを定期的に更新する

重要なシステムには必ずウィルス対策ソフトをインストールし、常にウィルスシグネチャを最新のものに更新しておかなければなりません。ウィルス対策ソフトは、トロイの木馬とスパイウェアも同時に検出できるものが望ましく、また、定期的にログを生成し、チェックすることが望まれます。

（6）安全性の高いシステムとアプリケーションを開発し、保守する

アプリケーションの自社開発においては、セキュア開発ライフサイクル（SDLC）、OWASPセキュアコーディングプラクティスなど業界のベストプラクティスを実施し、情報セキュリティをソフトウェア開発のライフサイクルに組み込む必要があります。また、既知の脆弱性をなくし、既知の悪意ある攻撃を防ぐため、すべてのアプリケーションにセキュアなソースコードを使用しなければなりません。OWASP TOP10に挙げられたセキュリティリスクへの対策は必須です。

（7）カード会員データへのアクセスを業務上必要な範囲内に制限する

アクセス制御の点では、コンピューター上の個人に関する情報にアクセスできる従業員を業務上必要な範囲内に制限し、無関係の者がアクセスできないようにしなければなりません。PCI DSSでは、システムおよびアプリケーションに強固なアクセス制御を実装するよう求めています。

（8）情報システムへのアクセスを識別・認証する

個人情報へのアクセス権限を与えるユーザーには、アクセスを許可する前に、一意のIDを割り当てなければなりません。これは情報セキュリティインシデントが発生した場合に問題を追跡し、責任を明らかにするためです。システム内で使用するパスワードを保存、送信する際には、必ず暗号化して保護する必要があります。

（9）カード会員データやシステムへの物理アクセスを制限する

カード会員データへの物理アクセスについては、監視システムや入退室管理など適切なセキュリティ対策によって、適切な制限を実施する必要があります。また、すべての訪問者が適切に管理されなければなりません。そのため、訪問中のログは少なくとも3か月間保管し、必要に応じて訪問者のあらゆる活動が確認できるようにしておかなければなりません。

（10）ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する

カード会員データへのすべてのアクセスを記録、追跡する必要があります。記録内容には、ユーザーID、イベントの種類、日時、アクセス成功または失敗、イベントの発生元、影響を受けるデータの範囲、システムコンポーネント、そのデータのIDまたは識別名を含めなければなりません。

また、データの漏洩やセキュリティインシデントに即座に対応するため、24時間365日の対応体制を構築する必要があります。

（11）セキュリティシステムおよびプロセスを定期的にテストする

情報セキュリティ対策の有効性を確保するため、毎年定期的にテストを実行する必要があります。四半期ごとに少なくとも1回の内部・外部脆弱性スキャンのほか、ネットワークでの大幅な変更があった場合も、必要なスキャンおよびテストを実行しなければなりません。なお、外部脆弱性スキャンは、PCI SSCの認定を受けたASVが行う必要があります。また、外部に接続するIPと内部のネットワーク境界、管理される重要なネットワーク境界は、毎年、内部・外部ペネトレーションテスト（侵入テスト）が必要です。

（12）すべての担当者（内部の従業員および外部の委託業者）の情報セキュリティに対応するポリシーを整備する

事業者は情報セキュリティポリシーを策定、公開、維持、周知し、すべての従業員と外部協力企業やサービスプロバイダに情報セキュリティについての責任を十分に理解させるとともに、一連の手順要件に関する文書を策定する必要があります。また、リスク評価、リスク処理、毎年のセキュリティ訓練、インシデント対応訓練を実施し、かつ適切な調査記録を残さなければなりません。