クレジットカード情報 セキュリティフォーラム講演資料

加盟店向けＰＣＩ ＤＳＳ準拠支援サービス～ 効果的な現状分析と対策のご紹介 ～2012年 7月25日© TOPPAN FORMS 2012 : CONFIDENTIAL

１．はじめにトッパンフォームズの取り組み
 セキュリティ対策ソリューションを展開

 「課題の抽出」から「対策の実施」を効率的にトータルサポート
 マルチベンダーだからこそできるトータルサービスを提供

セキュリティ対策ソリューションの事例紹介
 ワンタイムパスワード認証サービス
 機密文書回収、溶解処理装置

 監視カメラ
 鍵管理システムなど
1© TOPPAN FORMS 2012 : CONFIDENTIAL

 ＰＣＩ ＤＳＳ（Ｖｅｒ2.0）要件に対応するソリューション（事例１）
ＰＣＩ ＤＳＳ要件
要件８ コンピュータにアクセスできる各ユーザーに一意のIDを割り当てる。
（８．３）従業員、管理者、及び第三者によるネットワークへのリモートアクセスには２因子認証を組み込む。
テスト手順（８．３）すべてのリモートネットワークアクセスに２因子認証が実装されていることを確認するために、ネットワークにリモート接続する従業員（管理者など）を観察し、パスワードと追加認証アイテム（スマートカード、トークン、PINなど）の両方が要求されていることを確認する。

要件に対応するためのアプリケーションと特徴

カード型トークン

本要件は、カード会員データへのリモート接続をする際の認証強化を要求
この要求に対して、ワンタイムパスワード認証サービスをご提案

ワンタイムパスワード認証サービスの特長①ハードトークン（キーホルダ、カード）、ソフトトークンを提供②トークンの申込受付、製造、発行、認証までトータルでサポート
導入実績
・ 国内製造業・ 韓国投資証券会社
・ 国内オンラインゲーム

Ｂ２Ｂ ＥＣサイトのログイン
インターネットバンキング用パスワードトークン
オンラインゲームのログイン

キーホルダー型トークン

ソフトトークン

2© TOPPAN FORMS 2012 : CONFIDENTIAL

 ＰＣＩ ＤＳＳ（Ｖｅｒ2.0）要件に対応するソリューション（事例２）
ＰＣＩ ＤＳＳ要件（９．１０．１）

カード会員データを再現できないよう、ハードコピー資料を裁断、焼却、またはパルプ化する。

テスト手順（９．１０．１.ａ） ハードコピー資料が、再現できないことを合理的に保証するように、クロスカット裁断、焼却、パルプ化されていることを確認する。
（９．１０．１．ｂ） 破棄される情報に使用される保管コンテナを調査して、コンテナが安全であることを確認する。たとえば、”裁断予定“のコンテナに、中身にアクセスする鍵がつけられていることを確認する。

要件に対応するためのアプリケーションと機能

オフィスにおける機密文書の回収パターン

本要件は、ハードコピー資料（紙媒体）の廃棄の管理について要求
この要求に対して、機密文書回収ＢＯＸによる管理方法と溶解装置による廃棄方法について提案

セキュリティソリューションの特長①機密文書を確実に回収・溶解することで、情報漏えいを防ぎ、情報セキュリティーを確保②機密文書を古紙として再利用することで、廃棄コストの削減を見込む③再生した紙を使用し印刷物を製造することで、環境貢献や企業ブランドの向上につながる
3© TOPPAN FORMS 2012 : CONFIDENTIAL

お客さまご担当者の声
 Ｐマーク、ＩＳＭＳは取得しているがＰＣＩＤＳＳはどこが違うのか?
 セキュリティ評価基準が理解しにくい
 コンサルに依頼するとかなりの費用がかかる
 どのように社内に展開していけばよいのか?
 社内に説明するための材料がない
 準拠するためにかかる費用は?
 なるべく費用をかけないで出来ないか?
何から進めたらよいか、わからない。
コストを抑えたい。

「加盟店向け ＰＣＩ ＤＳＳ準拠支援サービス」をご利用ください！
4© TOPPAN FORMS 2012 : CONFIDENTIAL

２．加盟店向けPCI DSS 準拠支援サービスの概要
ＰＣＩ ＤＳＳ準拠の導入ステップとトッパンフォームズのサポート範囲です。
Ⅰ 課題の抽出サポート範
囲・ 簡易版自己問診票
・ ネットスキャン テストサービス

１

現状確認

２

自己診断

３

脆弱性のスキャンテスト

特長１

・ 外部ネットワークスキャンテスト
・ ペネトレーションテスト
他

Ⅱ 対策の実施４

準拠範囲縮小の検討と対策

５

改善活動（ユーザー支援／コンサルティング）

６

ＱＳＡ訪問監査

７

ＰＣＩ ＤＳＳ認定

特長２

5© TOPPAN FORMS 2012 : CONFIDENTIAL

３．現状確認

課題の抽出
特長１

現状の確認
簡単に、早く、安く行う現状確認方法を２つ提案

１） 簡易自己問診票
２） ネットスキャン テストサービス
6© TOPPAN FORMS 2012 : CONFIDENTIAL

１）簡易版自己問診票
簡易版自己問診票のコンセプト注） 簡易版のなりますので、ＰＣＩＤＳＳの要求を全て網羅したものではありません。

 簡易版自己問診票は、PCIデータセキュリティ基準で定めた約２９０項目の評価手順から２０項目を抜粋し、わかり易い言葉に置き換えて作成
 ＰＣＩ ＤＳＳの要件に対して、対応できているかのレベル感を認識する＜簡易版自己問診票（一部）＞

7© TOPPAN FORMS 2012 : CONFIDENTIAL

簡易版自己問診票の設問の紹介（抜粋）
簡易自己問診票の設問

PCIDSSの要件（原文）【12.6】

１

正式なセキュリティに関する認識を高め

店頭でクレジットカードを取り扱う場合、カードるプログラムを実施して、すべての担当をお客様の視界の範囲内で取り扱わなけれ者がカード会員データセキュリティの重ばならないことをルールに定めていますか。

（12.6）

要性を認識するようにする。
２（12.6）を教育する。

クレジットカードの取扱いガイドラインを含めて、関係する従業者（アルバイトを含む）全員に、採用時および年１回以上の、個人情報保護・セキュリティ研修を行っていますか。

（12.6.2）

３

セキュリティポリシーおよび手順に目を従業者への研修は、アンケートや確認テストなどで理解度を測定し、理解不足の人にはフォローアップ教育を行っていますか。

（12.6.1）

雇用時および少なくとも年に一度担当者通して理解したことについての同意を、少なくとも年に一度担当者に求める。

（12.6）

8© TOPPAN FORMS 2012 : CONFIDENTIAL

２）ネットスキャンテストサービス
ネットスキャンテストサービス
ネット環境が ＰＣＩ ＤＳＳ の要件を満たしているかを確認いただくＡＳＶスキャニング※ 日本オフィス・システム株式会社が日本国内で展開
ツール「バルネラ・アセッサー」
バルネラ・アセッサーの特長★コンプライアンス上も価値のあるリスク対策
 ＰＣＩセキュリティ基準審議会（ＰＣＩＳＳＣ）認定スキャニングベンダ（ＡＳＶ）
 Control Case 社が開発したスキャンニングツール。米国を中心に世界で100社以上の訪問監査実績★日本語の診断レポート

 ギャップ分析と対策のアドバイスを、英文と日本語にまとめたレポートを提出

・１ＩＰアドレス １回のみに限り 無料診断 実施中（２０１２年１２月末日迄 有効）
9© TOPPAN FORMS 2012 : CONFIDENTIAL

バルネラ・アセッサー結果報告レポート＜詳細結果のイメージ（一部抜粋）＞

解決策
脆弱性名称と判明した事象
影響
脆弱性レベル
脅威と状況
レベル５ Urgent（緊急を要す）
侵入者は容易にホストに侵入できてしまい、結果、ネットワークセキュリティ全体の侵害につながります。
レベル４ Critical（重大）侵入者はホストへの侵入の可能性があり、重要情報の漏えいにつながります。
レベル３ Highl（高い）侵入者は、セキュリティのセットなどホスト上の特定の情報にアクセスできる可能性があります。

ApacheHTTPサーバーがクロスサイﾄスクリプティングに対し脆弱です。
この問題は、４１３ＨＴＴＰエラーになってしまうような、巧みに工作されたＨＴ
ＴＰリクエストをアプリケーションがうまく識別処理できなかったときに起こります。４１３エラーはリクエスト自体のデータストリームが大きすぎてサーバー処理できないときにおこります。サーバーはこの問題に対したとき起こった自称を記述したページを送り返します。

攻撃者はこのことを利用してクッキーの認証コードを盗み、更ななる攻撃をしかける。

この問題はApache2.2.8では解決されています。この脆
弱性はApacheのデフォルト４１３エラーメールメッセージを使用不能することで緩和できます。
あるいは、アプリケーション用のファイアーウォールを使用することもあわせて考慮してください。

レベル２ ネットワークに脆弱性存在の可能性
10© TOPPAN FORMS 2012 : CONFIDENTIAL

バルネラ・アセッサーのサービス手順

お申込
み（約款）

検査
内容説
明ス
キ
ャ
ン
検査

結果レ
ポー
ト

脆弱性
Level3以上

PCI認定まで改善コンサルを実施。

脆弱性の改善⇒再スキャン※ Level2以下は、基準を満たすレベル

・申込みからスキャン実施まで約10日・スキャン実施からレポート到着まで約10日
主なテスト項目
1)不正操作しているパラメータ
2)クッキーPoisoning
3)セッションハイジャック
4)ユーザー特権エスカレーション
5)認証のごまかし

6)バックドアとデバッグオプション7) Configuration Subversion8) Input validation bypass
9) SQL インジェクション
10)クロスサイト・スクリプティング など
11© TOPPAN FORMS 2012 : CONFIDENTIAL

４．準拠範囲縮小の検討と対策対策の実施
特長２

準拠範囲縮小化の検討と対策準拠範囲を絞り、対策を取り組むことで早期実現を可能にする

12© TOPPAN FORMS 2012 : CONFIDENTIAL

準拠範囲縮小の考え方（イメージ）
セキ
ュリ
テ
ィレ
ベル

高要求レベル

Ａ

Ｂ

Ｃ

Ｄ

Ｅ

Ｆ

ＧＨ

Ｉ

現状レベル

対策ソリューション

低カード情報の保持する範囲

範囲の縮小化
セキ
ュ
リ
テ
ィレ
ベル

高要求レベル

ＡＢ

Ｃ

Ｄ

Ｅ

Ｆ

ＧＨ

Ｉ

現状レベル

低
カード情報の保持する範囲①

カード情報の保持する範囲②

ＰＣＩＤＳＳの要件とギャップ分析後、カード情報の範囲縮小をすることで時間短縮とコスト低減
13© TOPPAN FORMS 2012 : CONFIDENTIAL

範囲縮小の具体的方法
１．カード情報の非保持 オーソリ処理から決済処理までをアウトソースすることで準拠範囲を縮小
 クレジット端末での処理

２．トークナイゼーションの導入 トークンサーバーでカード番号（情報）をトークン番号に変換
 トークン番号が保存、通過するシステムは、準拠範囲外

３．カード情報の縮小化
 ファイアーウォールなどにより、カード情報が必要とされてない範囲へカード情報が流れないように再構築し準拠範囲を縮小
14© TOPPAN FORMS 2012 : CONFIDENTIAL

５．まとめ期待できる効果【特長１】現状確認
 ＰマークやＩＳＭＳとＰＣＩＤＳＳの違いや、ＰＣＩＤＳＳで定めてる基準を理解 簡易自己問診票およびネットスキャン テストサービスを利用により、ＰＣＩＤＳＳの要件に対するギャップを発見【特長２】準拠範囲縮小の検討対策
 トータルコストの削減が可能
 早期にＰＣＩＤＳＳ準拠
15© TOPPAN FORMS 2012 : CONFIDENTIALご清聴ありがとうございます。

下記お問い合わせ先まで、ご連絡ください。

お問い合わせ先
トッパン・フォームズ株式会社
東京都港区東新橋１－７－３
企画本部

ＴＥＬ （０３）６２５３－６６９７

営業推進本部ＴＥＬ （０３）６２５３－９３６６© TOPPAN FORMS 2012 : CONFIDENTIAL