HPセキュリティソリューショ
ン for PCI DSSのご紹介

日本ヒューレット・パッカード株式会社
テクノロジーコンサルティング統括本部
セキュリティソリューション
担当マネージャー増田 博史©2011 - 2012 Hewlett-Packard Development Company, L.P.
1
© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.
The information contained herein is subject to change without
notice

本日のAGENDA
１．HPセキュリティソリューションHPセキュリティソリューション全体像
セキュリティソリューション全体像

２．HPのHPのPCI

DSSへのDSSへの取への取り組み

３．事例のご事例のご紹介のご紹介

2

2

HP Confidential© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

125 July 2012

HPセキュリティソリューション
全体像のご紹介3© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

HPの戦略ｸﾗｳﾄﾞSolutions

Services

Software

Infrastructure

44

HP Confidential

ｾｷｭﾘﾃｨｰ

ヘルスケア

エネルギー

ハイブリッド
デリバリ

セキュリ
ティ

ITアウトソーシング

アプリケーションとインフラ管理

パーソナルシステム

通信

ﾋﾞｯｸﾞﾃﾞｰﾀ
公共

Information
Optimization

製造

流通

Converged
Infrastructure

アプリケーションとビジネスサービス

インフォメーション
マネジメントエンタープライズ
サーバ、ストレージネットワーク

ｽﾏｰﾄｼﾃｨｰファイ
ナンス

アプリケーション
変革

テクノロジーサービス

セキュリティとインフラ管理

イメージング＆プリンティング© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

225 July 2012

HPのセキュリティ・ソリューション・ファミリー
HPの目指す『ITセキュリティ・インフラ』の全体像• セキュリティ・アセスメ
ント• セキュリティ・ポリシー
体系策定支援• アイデンティティ&アクセス・マネジメントアー
キテクチャ・コンサル• 統合ログ管理コンサ
ル• 情報漏洩シナリオ診断サービス• シングル・サインオン• アクセス制御• 統合ID管理• 認証連携• イベント・インシデント
管理ソリューション• 統合ログ管理ソリューション• 脆弱性管理• 変更・構成管理

ビジネス目標ビジネス目標リスク・マネジメント

コンプライアンス

セキュリティ・プランニング&ガバナンス

アイデンティティ&アクセス・マネジメント• HP製品群のビルトイ
ン・セキュリティ機能• ネットワーク仮想閉域
網ソリューション• ネットワーク・アクセス
制御ポリシ・統合管理ソリューション
• クライアント認証・検疫
ソリューション
• HPシンクライアント・ソ
リューション

プロアクティブ・
セキュリティ・マネジメント

トラステッド・インフラストラクチャ

55© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

HP Enterprise Security Solutionマップ（技術カテゴリ）
ServerNetwork

ClientOS

ApplicationDB

アイデンティティ&アクセス・マネジメント

高強度の認証

認証

PKI

認証ネットワーク
Clientアクセス制御

アクセス制御（認可）OSアクセス制御

Webアクセス制御

アイデンティティ管理

アイデンティティ管理
ディレクトリ

リスク管理

プロアクティブ・セキュリティ・マネジメント

変更構成管理・自動化

リアルタイムモニタリング
Network構成管理・自動化

Client 構成管理・自動化

Server構成管理・自動化

ワークフロー自動化
イベント・インシデント管理

イベント・インシデント管理

Network監査

Client監査

Server監査

DB監査

各システムのイベント機能
統合ログ管理統合ログ管理各システムのログ機能

アーカイブ
脆弱性診断

メールアーカイブ
Network検査

トラステッド・インフラストラクチャ

ファイアウォール・侵入検知/防
御ファイアウォール、IDS/IPS

ウィルス対策・スパム対策
コンテンツフィルタ

アンチウィルス、アンチス
パム
URLフィルタ

DLP（Data Loss Prevention）

ゲートウェイ型情報漏洩対策

デスクトップ・ファイアウォー
ルWebアプリ検査・
セキュアコーヂング

OSハーデニング

WAF

DBファイアウォー
ル

アンチウィルス

持ち出し制御検疫
暗号化

ホスト型検査DB情報漏洩対策
検疫ネットワーク

VPN、SSL、S-MIME

クライアント暗号化

改ざん検知

セキュリティ・プランニング&ガバ
ナンス
6© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

サーバ暗号化

メール暗号化

DB暗号化

改ざん検知
プランニング&ガバナンス・コンサルティング及びアウトソーシングサービス

6

HP Confidential

3

25 July 2012

業界をリードするソリューション
HP-Enterprise Security Products solution=HP

IPSにより仮想的にパッチが適
Magic Quadrant for用されたネットワークを構成し、Network Intrusion
パッチの適用が難しい、またはPrevention Systems
時間を要するシステムを保護
6 December 2010.

静的アプリ・ソースコード分析
Magic Quadrant for
によりコード実装段階から脆
Static Application
Security Testing
弱性を検知し品質とセキュリ
13 December 2010.
ティを担保

圧倒的なログ収集能力と複数のログの相関分析によりハイリスクイベントを総合的に検知

IDS/IPS
世界7,000社以上
社以上
世界

セキュリティテスト/セキュリティテスト
ソース解析
ソース解析
世界1,000社以上
社以上
世界

リスク監視
リスク監視
世界2,000社以上
社以上
世界

The Magic Quadrant graphic was published by Gartner, Inc. as part of a larger research note andshould be evaluated in the context of the entire report. The Gartner report is available upon request from HP.
77© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

2011 Top Cyber Security Risks Report
HP のセキュリティ研究グループHP DV Labs とHP Web Security Research Group により、全世界へ向けて、「2011 年トップ サイバー セキュリティ リスクレポート」が配信されております。
このレポートは、毎年、年間を通じたサイバー攻撃や脆弱性の傾向分析結果として報告されており、半期毎にも、中間報告レポートが配信されております。

88HP Confidential© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

425 July 2012

HPコアセキュリティソリューション
HPトータルセキュリティソリューション
HPコアセキュリティソリューション
コアセキュリティソリューションはクラウド/オンプレミスすべてのシステムにおいて最適化を提供
効率的アウトソース
効率的アウトソース
監視サービス制御（制御（防御）
防御）

セキュリティ
インテリジェンス

モニタリング防御

認証（ブラックリスト）
ブラックリスト）（ホワイトリスト）
ホワイトリスト）

TippingPoint(IPS）

IceWall(SSO/アクセス制御/ID管理）

HP
SIEM

アプリ強化
アプリ強化

監視

Fortify(脆弱性管理）ArcSight(セキュア監視/ログ管理）

Internet

モバイルPC9

スマートフォン

デスクトップPC© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

9

Web DB・アプリ
サーバ サーバ

HPのPCI DSSへの取り組み
グローバルでのクレジットカード分野の分野の豊富な豊富な実績

グローバルなパートナーシップ• Bank of America, Wells Fargo, Barclays,
HSBC, Royal Bank of Scotlandなど多くのリテールバンクで採用• 年間100億件以上のクレジットカードトランザクション処理を実施• PCI DSS関連のソフトウェア製品などをフレキシブルに組み合わせて提供• MasterCard, Visa Internationalとの連携

十分なセキュリティ
十分なセキュリティ製品なセキュリティ製品の製品の提供

海外・でのPCI DSSのDSSの導入実績
海外・日本での日本でのPCI• セキュリティ・ソリューション・マップによる対応• 先行する欧米などでの充分な実績– PCI DSSの要件に対応するソリューション・マップを策定– 自社・パートナー製品による網羅的な対応• 国内大手カード会社2社へもPCI DSS関連システムの提供– PCI DSS Council メンバー

セキュリティ分野
セキュリティ分野でのシステム分野でのシステム
コンサルティング能力
コンサルティング能力グローバル アウトソーシング• セキュリティ専門部隊の存在• PCI DSS準拠の物理/システム運用監視を国内外にご提供• RCU（Regional Cards and PaymentsUtility）として、PCI DSS対応のクレジット
カード業務アウトソーシングの提供– 「製品」ではなく、「ソリューション」を取り扱うチーム– 国際セキュリティ資格CISSPの保持者多数• PCI DSS準拠のセキュリティポリシー策定支援**英語でのご提供のみ
10

10HP Confidential© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

525 July 2012

HP PCI DSS対応インフラ全体像
ネットワーク層
ネットワーク層

クライアント層
クライアント層•FW、IDS/IPS、WAF•NWセグメンテーション•VPN、無線LAN（IDS/IPS）•アンチウイルス、パーソナルFW•セキュリティパッチ対応•持ち出し制御

パートナ

デスクトップPC
IDS ワークステーション モバイルPC
/IPS

VPN

FW

サーバ層
サーバ層
• OS要塞化• アンチウィルス• セキュリティパッチ対応
メール
サーバ

ファイル
サーバ

ストレージ
カード会員
データInternet

顧客
外部
脆弱性
スキャン ASV

ログﾞ管理

WAF

NW
機器
無線LAN

開発者
運用者

脆弱性
ID管理
検査

Web DB・アプリ
サーバ サーバ

オペレーション層
オペレーション層• 情報セキュリティポリシーの整備• 雇用、教育• インシデント対応計画
11

11

プラットフォーム層
プラットフォーム層• 監査証跡、ログ取得• 変更管理プロセス、インシデント対応• ID管理、アクセス制御（特権含む）• 暗号鍵のライフサイクル管理• 脆弱性検査対応（コーディング含む）•改ざん対策
•データ暗号化•物理アクセス制御© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

HPの提供するPCI DSS対応セキュリティ・ソリューション・マップ（技術カテゴリ）
PCI DSS要件

安全なネットワークの構築と維持

1. カード会員データを保護するために、ファイアウォールをインストールして構成を維持すること

サーバ

ネットワーククライアントOS

MW

AP

脆弱性管理プログラムの整備

強固なアクセス制御手法の導入

ネットワークの定期的な監視およびテスト12

12

HP Confidential

バックアップメディアFWパーソナルFW

IDS/IPSWAF
OSハーデニング

2. システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しないこと

サーバ拡張保護（FW、IDS/IPS、WAF、改ざん検知）
管理アクセスの通信暗号

3.保存されたカード会員データを保護すること
カード会員データの保護DB

4. オープンな公共ネットワーク経由でカード会員データを伝送する
場合、暗号化すること

VPN

暗号化

鍵管理

鍵管理

SSL

5.アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新すること
6.安全性の高いシステムとアプリケーションを開発し、保守すること

暗号化

アンチウィルス

アンチウィルスセキュアコーディ
ング

セキュリティパッチ管理

7. カード会員データへのアクセスを、業務上必要な範囲内に制限すること
8. コンピュータにアクセスできる各ユーザに一意のIDを割り当てる

アクセス制御

ID管理

ID管理

強固な認証

強固な認証

10. ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
11. セキュリティシステムおよびプ
ロセスを定期的にテストする© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

セキュリティパッチ管理

監査証跡出力統合ログ管理
改竄検知
脆弱性診断・ペネトレーションテスト

625 July 2012

HPの提供するPCI DSS対応
セキュリティ・ソリューション・マップ（製品）PCI DSS要件

安全なネットワークの構築と維持

1. カード会員データを保護するために、ファイアウォールをインストールして構成を維持すること

サーバ

ネットワーククライアントOSMWAPFortigate、Juniper、
HP Networking

脆弱性管理プログラムの整備

強固なアクセス制御手法の導入

ネットワークの定期的な監視およびテスト13

13

バックアップメディア

HP Quarantine
System、パーソナルFW

HP Tipping Point
SecureSphere、Citrix
OSハーデニング

2. システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使用しないこと

HP Tipping Point、TrendMicro DeepSecurity
SSL、SSH、Sxxx、RDP
暗号化

3.保存されたカード会員データを保護すること
カード会員データの保護DB

4. オープンな公共ネットワーク経由でカード会員データを伝送する
場合、暗号化すること

データ暗号化/HSM
鍵管理
Fortigate、F5、JuniperSSL

5.アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新すること
6.安全性の高いシステムとアプリケーションを開発し、保守すること

HP NetworkAutomation

HP ServerAutomation、、 HP Tipping
Point、Trendmicro DeepSecurity

7. カード会員データへのアクセスを、業務上必要な範囲内に制限すること
8. コンピュータにアクセスできる各ユーザに一意のIDを割り当てる10. ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
11. セキュリティシステムおよびプロセスを定期的にテストする

HP ThinClient、Trendmicro。
McaFee、Symantec

TrendMicro DeepSecurity
TrendMicro ServerProtect
HP Fortify

HP Client Automation、
WSUS

アクセス制御OIM、FIM、LDAP Manager

OIM、FIM、LDAP Manager
HP IceWall
強固な認証
NW機器のログ機能

強固な認証
SecureSphere DAM

AccessCheck、ESS REC

CWATHP ArcSight Logger、Logstorage
Tripwire、TrendMicro DeepSecurity© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

Retina Network Security Scanner

HP WebInspect

事例のご紹介14

HP Confidential© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

7

25 July 2012

事例：金融業界A社様
PCI-DSS対応全体像とご提供範囲
ネットワーク層
ネットワーク層

赤字：からのご提供部分
赤字：HPからのごからのご提供部分

クライアント層
クライアント層

本システ
ム対象外•FW、IDS/IPS、WAF•NWセグメンテーション
セグメンテーション•VPN、無線LAN（IDS/IPS）
本システム対象外
システム対象外サーバ層
サーバ層• OS要塞化
要塞化• アンチウィルス
運用にて運用にて対応
にて対応• セキュリティパッチ対応•アンチウイルス、パーソナルFW•セキュリティパッチ対応
本システム対象外
システム対象外•持ち出し制御

パートナ
VPN

FW

デスクトップPC
IDS ワークステーション モバイルPC
/IPS

メール
サーバ

ファイル
サーバ

ストレージ
カード会員
データ

Internet

顧客
外部
脆弱性
スキャン ASV

ログﾞ管理

WAF

NW
機器
無線LAN

開発者
運用者

脆弱性
ID管理
検査

Web DB・アプリ
サーバ サーバ

オペレーション層
オペレーション層• 情報セキュリティポリシーの整備• 雇用、教育• インシデント対応計画
15

15

プラットフォーム層
プラットフォーム層• 監査証跡、監査証跡、ログ取得
ログ取得• 変更管理プロセス、インシデント対応
運用にて運用にて対応
にて対応• ID管理、アクセス制御（特権含む）• 暗号鍵のライフサイクル管理• 脆弱性検査対応（コーディング含む）
脆弱性検査対応 アプリ担当
アプリ担当にて担当にて対応
にて対応•改改ざん対策
ざん対策•データ
データ暗号化
データ暗号化
データセンターの•物理アクセス制御
物理セキュリティ
物理セキュリティ© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

事例：金融業界A社様
PCI-DSS要件に対する適用ソリューション
番号

セキュリティ機能
セキュリティ機能

導入製品

1.

WAF

Citrix Application Firewall

4.

公衆ネットワーク上でカード会員データを送信する場合、暗号化すること

通信暗号化

F5 Networks BIG-IP（SSLアクセラレータ）

5.

アンチウィルスソフトウェアまたはプログラムを利用し定期的に更新すること

アンチウィルス

Trend Micro ServerProtect for Linux（Linuxサーバ用）
Symantec Endpoint Protection（Windowsサーバ用）DB監査ログ取得

Imperva SecureSphere Database Activity
Monitoring

10.

ネットワーク資源及びカード会員データに対するすべてのアクセスを追跡し監視すること操作ログ取得

エンカレッジ ESS REC

統合ログ管理インフォサイエンス LogStorage

セキュリティシステムおよびプロセスを定期的にテストする
こと

脆弱性診断

Retina Network Security Scanner（NW/OS/MW用）
HP WebInspect software（WebAP用）

改竄検知

Tripwire Enterprise

11.

16

16

HP Confidential

PCI-DSS要件
要件
カード会員データを保護するためにFirewallを導入し最適な設定を維持することFireWall

Fortinet Fortigate / Juniper SRX© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

825 July 2012

Thank You!

17HP Confidential© Copyright 2010 - 2012 Hewlett-Packard Development Company, L.P.

925 July 2012