オンプレじゃなくても大丈夫！
パブリッククラウド利⽤でのPCI DSS準拠の勘所

2015.7.28

株式会社エクシード
サービス開発グループ 杉森 貴博
Xseed Co., Ltd. All rights reserved.

はじめに〜会社紹介、⾃⼰紹介〜© Xseed Co., Ltd. All rights reserved.

会社概要・沿革
株式会社エクシード （Xseed Co., Ltd.）設⽴

2006年9月21日

資本⾦7420万円

所在地

東京都品川区東五反田3-20-14 ⾼輪パークタワー7F

電話

03-6422-0021

FAX

03-6422-0022

代表者

代表取締役社⻑ ⽴川 健児

従業員数
事業内容
認証資格

沿革
■ 2006

株式会社エクシード 設⽴
OSSサーバホスティング事業開始■ 2008㈱ワイズノット・ソリューション・テクノロジーズ
よりネットワークソリューション事業譲受
OSSサーバホスティング、レンタルサーバ事業強化
ネットワンシステムズ（株）との資本提携
クラウド･サーバサービス「myDC」リリース（国内初）■ 2009

運⽤管理システムSaaSリリース（NRIと協業）パブリック・クラウド「Libra」リリース■ 2010

ISMS認証、PCI DSS認証同時取得（国内初）

65名 （2015年1月末現在)*パートナーを含む：約150名在籍■ 2013

APN スタンダードコンサルティングパートナー認定
運⽤⾃動化フレームワーク「Cloudrop」リリース

マネージドサービスプロバイダー事業
ITプラットフォームインテグレーション事業■ 2014

ネットワンシステムズ（株）へ全株式譲渡

ISMS 認証基準：JIS Q 27001:2014（ISO/IEC27001:2013）

IBM Softlayerパートナー登録
ID統合管理システム運⽤サービス「XIDM」をリリース

認証番号：ICMS-SR0078

PCI DSS 適合基準：PCI DSS Version3.0
監査対象範囲：「PCI DSS 準拠マネージド・サーバサービス」のためのインフラ© Xseed Co., Ltd. All rights reserved.

p. 3

⾃⼰紹介

杉森 貴博

株式会社 エクシード
サービス企画部門 サービス開発グループ グループマネージャ
t-sugimori@xseed.co.jp
外資系ハードウェアベンダ、コンサルティング会社を経て2009年1月にエクシードに参画。
その後、システム仮想化、VDI構築、仮想環境の運用設計等のインフラ系案件のPMを担当。
2015年2月から現職。
PCI DSSに関しては、2010年の認定取得活動から関与。社内情報セキュリティ管理者も兼任。

© Xseed Co., Ltd. All rights reserved.

p. 4

パブリッククラウドの話をする前に・・© Xseed Co., Ltd. All rights reserved.

PCI DSSにおける第三者サービスの利⽤に関して• Third-Party Security Assurance

https://www.pcisecuritystandards.org/documents/PCI_DSS_V3.0_
Third_Party_Security_Assurance.pdf
PCI DSS準拠における3rdParty製品、サービスを利用する際に注意する点、順守すべき点をPCI SSCがまとめたドキュメント。
以下4つの内容が記載されている• Third-Party Service Provider Due Diligence• Engaging the Third-Party Service Provider• Written Agreements, Policies, and Procedures• Maintaining Relationships with and Monitoring
Third-Party Service Providers© Xseed Co., Ltd. All rights reserved.

p. 6

PCI DSSにおける第三者サービス、製品の利⽤に関して• Payment Card Industry（PCI）データセキュリティ基準
要件とセキュリティ評価手順 バージョン3.1「第三者サービスプロバイダ/アウトソーシングの使用」から抜粋
第三者サービスプロバイダの準拠確認には2 つのオプションがあります。
1) 自ら PCI DSS 評価を⾏い、その証拠を顧客に提出して準拠していることを示すことができます。

PCI DSSに準拠したサービスを利用する
2) 自ら PCI DSS 評価を⾏わない場合は、顧客の各PCI DSS 評価期間中にサービスのレビューを受ける必要があります。

PCI DSS審査の際に準拠しているかを確認する© Xseed Co., Ltd. All rights reserved.

p. 7

PCI DSSにおける第三者サービス、製品の利⽤に関して
PCI DSS準拠・運用を容易にするためには、PCI DSS準拠済みのサービスを使うことが理想。

パブリッククラウドにおいても、同様に考える必要がある。
© Xseed Co., Ltd. All rights reserved.

p. 8

パブリッククラウドのPCI DSS準拠〜ホントに⼤丈夫なんです！〜© Xseed Co., Ltd. All rights reserved.

パブリッククラウドのPCI DSS準拠状況(2015/7/28時点)

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 10

日本リージョンを使う場合日本リージョンを使う場合、以下２つのサービスが対象となります。

日本リージョンは
PCI DSSVer3.0準拠済み

日本リージョンは
PCI DSS Ver3.1取得準備中

審査時にAoCを提示する

事前に日本MSに確認・相談
Amazon Web Services、AWSおよびAmazon Web Servicesロゴは、Amazon.com, Inc.またはその関連会社の商標です。

© Xseed Co., Ltd. All rights reserved.

p. 11

PCI DSS準拠に関して提供される情報
AWS, Azure共にPCI DSS適用範囲を記載したレポートを提供しています。まずこのレポートを入手し、内容を確認することになります。

・・・が、それぞれ入手方法が違うため、注意が必要です。

© Xseed Co., Ltd. All rights reserved.

p. 12

PCI DSSに関する情報提供サイト

AWS

AWS PCI DSS レベル 1 よくある質問
http://aws.amazon.com/jp/compliance/pci-dss-level-1faqs/

Azure

Payment Card Industry (PCI) Data Security Standard (DSS)
Level 1
http://azure.microsoft.com/ja-jp/support/trustcenter/compliance/pci-dss/© Xseed Co., Ltd. All rights reserved.

p. 13

関係資料の⼊⼿

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 14

関係資料の⼊⼿

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 15

説明資料の違い

AWS

ドキュメントは120ページ程度。
詳細に要件項目でユーザが何をやるべきかを「詳細」に記載している。

Azure

ドキュメントは13ページ。
AoCなので、要件項目毎の対応状況が「概要」で記載されている。

© Xseed Co., Ltd. All rights reserved.

p. 16

どこに対応しているか？

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 17

お話できる範囲で・・• 要件で必要とされている「機能」については提供されている。
Firewallのステートフルインスペクション機能やウィルスチェック機能等
ただし、一部未対応なものもあるため、詳細はドキュメントを確認。
• システムを設置しているデータセンターの物理セキュリティ部分は担保される。→審査時のデータセンタ確認がなくなる！

設計・設定要件や運用要件対応は、利用者側の責任となる。
© Xseed Co., Ltd. All rights reserved.

p. 18

導⼊効果
PCI DSS特有の環境ではなく、他のユーザも使っている環境ですので、パブリッククラウドのメリットは十分に享受できます。
メリット①：初期投資コストの削減
メリット②：柔軟なリソースの増減
メリット③：高い可用性を安価に実現© Xseed Co., Ltd. All rights reserved.

p. 19

実際に利⽤する際のポイントは？

次項では、AWSを例にとって、利用する際のポイントを紹介します。

© Xseed Co., Ltd. All rights reserved.

p. 20

AWSでの利⽤ポイント© Xseed Co., Ltd. All rights reserved.

AWSの責任共有モデル
AWSは責任共有モデル(shared responsibility model)を採用しています。この方式はAWS,利用ユーザそれぞれの責任範囲を明確にしており、PCI DSSとの相性が良いです。
ユーザ

• OS
• アプリケーション• セキュリティグループ

• OSファイアウォール• ネットワーク設定• アカウント管理• ファシリティ• 物理セキュリティ• 物理インフラ• ネットワークインフラ• 仮想インフラ

AWS© Xseed Co., Ltd. All rights reserved.

p. 22

AWS利⽤のポイント

方法その1：AWSサービスを使う

方法その2：その他サービス・製品を使う© Xseed Co., Ltd. All rights reserved.

p. 23

AWSでサービスを使う
AWSで提供しているPCI DSS準拠サービスは以下となります。(*1)••••••••••AWS Auto Scaling
AWS CloudHSM
AWS CloudTrailAWS Direct Connect
Amazon DynamoDB (DDB)
Amazon Elastic Block Store (EBS)
Amazon Elastic Compute Cloud (EC2)Elastic Load Balancing (ELB)
Amazon Elastic MapReduce (EMR)
Amazon Glacier•••••••••AWS Identity and Access Management (IAM)
Amazon RedshiftAmazon Relational Database Service (RDS)
Amazon Route 53
Amazon SimpleDB (SDB)
Amazon Simple Storage Service (S3)Amazon SQS
Amazon SWF
Amazon Virtual Private Cloud (VPC)

上記以外のサービスの利用はお勧めしません。
(*1)https://s3.amazonaws.com/awsmedia/jp/wp/AWS_Risk_and_Compliance_Whitepaper.pdfの情報を基に記載© Xseed Co., Ltd. All rights reserved.

p. 24

AWSサービスを使う
PCI DSS環境上で利用を推奨するサービスは以下となります。
••
•
•
•
•
•
•
•
•

AWS Auto Scaling
AWS CloudHSM
AWS CloudTrailAWS Direct Connect
Amazon DynamoDB (DDB)
Amazon Elastic Block Store (EBS)
Amazon Elastic Compute Cloud(EC2)Elastic Load Balancing (ELB)
Amazon Elastic MapReduce (EMR)
Amazon Glacier•••••••••AWS Identity and Access Management (IAM)
Amazon Redshift
Amazon Relational Database Service(RDS)
Amazon Route 53
Amazon SimpleDB (SDB)
Amazon Simple Storage Service (S3)Amazon SQS
Amazon SWF
Amazon Virtual Private Cloud (VPC)

各サービス毎に要件項目への対応状況が違う場合があり、前出のコンプライアンスパックでの詳細確認が必要です。
© Xseed Co., Ltd. All rights reserved.

p. 25

他サービス・製品を使うAWSで対応していない部分に関しては、オンプレと同様にサービス、製品の導入を検討します。
製品： 各要件で求められている「機能」を提供している製品
サービス： PCI DSSに関するコンサル、設計構築、運用サービス等© Xseed Co., Ltd. All rights reserved.

p. 26

Trend Micro社 DeepSecurity

概要

脆弱性対策（仮想パッチ）
IDS / IPS

Webアプリケーションの脆弱性を保護

Webアプリケーション保護
アプリケーションコントロール

OSや100以上のアプリケーションの脆弱性を保護
アプリケーションを可視化し、コントロールファイアウォールにより攻撃を受ける機会を軽減

ファイアウォール

ウイルス対策

不正プログラム攻撃から保護

重要なセキュリティイベントをログから効率的に発⾒

セキュリティ
ログ監視

変更監視

ディレクトリ、ファイル、レジストリなどの不正な変更を検知

仮想環境
エージェント型ソフトによるサーバ単位の保護© Xseed Co., Ltd. All rights reserved.

p. 27

AWS構成例

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 28

構成のポイント

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 29

まとめ
準拠済みのクラウドサービス利⽤

準拠範囲の確認• 現時点では、日本での利用としてはAmazon AWSを推奨。
• PCI DSS取得範囲に入っているサービスを活用する。

• クラウドサービス側で用意しているドキュメントの確認が必要。
• わからない部分はクラウドベンダに確認。（思い込みは禁物）

明確な• ベンダ側と自社側の責任分担範囲を明確にしておく。

セキュリティ責任分担• 審査での説明だけではなく、有事の際の対応でも有用。

© Xseed Co., Ltd. All rights reserved.

p. 30

もっと効率化を図るには？

PCI DSSの要件を紐解くと・・
機能PCI DSS
要件設計・設定

運⽤© Xseed Co., Ltd. All rights reserved.

採用する製品等について○○な機能を持っている事など。

●●な設定をすること、▽▽な制限を⾏う事など。

XXな運用をする事、△△を維持する事など。
p. 31

運⽤がタイヘン・・

PCI DSSでは運用に関する準拠事項が多い• セキュリティソフトウェアを使った運用・設定の維持

IPS・IDS/改ざん検知/Firewall/WAF/ログ監視/ウイルス対策• アカウント管理• アクセス記録、ログ集約管理• 脆弱性検査、対策、管理• ドキュメント作成・維持• 担当者の教育とその記録等々・・・

パブリッククラウドを活用するだけでは、効率化できない運用作業は多数発⽣します。
© Xseed Co., Ltd. All rights reserved.

p. 32

エクシードが提供するPCI DSS準拠サービスの紹介〜PCI DSSシステムをより効率的に構築・運⽤するために〜© Xseed Co., Ltd. All rights reserved.

PCI DSS準拠セキュアマネージドサービスのご紹介
弊社の運⽤チームにてお客様のPCI DSSシステム環境における運⽤をご提供するサービスとなります。
PCI DSS順守に必要な基本サービスに加え、監視、運⽤管理系のオプションサービスを提供しています。

システム環境

エクシード

技術担当者

ご担当者様

アカウント担当者© Xseed Co., Ltd. All rights reserved.

弊社監視・一次対応担当者(24時間365日)

ホスティングクラウドp. 34

得意分野へ集中
PCI DSS準拠セキュアマネージドサービスを利用することにより、インフラ運用部分の要件を当社にお任せいただき、該当分野におけるお客様の対応を減らすことが可能です。

DSSの取得要件ーPCIアプリ
要 ケ件ション

イ
運 シン
用 スフ
要 テラ
件 ム・

お客様はアプリケーション要件に注⼒いただけます。
インフラ・システム運⽤部分をワンストップでサポートします。

ログ監査、脆弱性検査等のセキュリティ運⽤
ログ収集、アクセス制御、ウィルスチェック等のセキュリティ機能の提供
or

ファシリティ・基盤部分の提供
Amazon Web Services、AWSおよびAmazon Web Servicesロゴは、Amazon.com, Inc.またはその関連会社の商標です。

© Xseed Co., Ltd. All rights reserved.

p. 35対応すべき要件を減らす○：全て弊社にて対応 △：一部お客様にて対応が必要 ×：全てお客様にて対応

PCI DSS要件

対応

1 カード会員データを保護するために、ファイアウォールをインストールして維持する
システムパスワードおよびその他のセキュリティパラメータにベンダ提供のデフォル2 ト値を使用しないカード会員データの保護
3 保存されるカード会員データを保護する

オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化

4 する脆弱性管理プログラムの維持

すべてのシステムをマルウェアから保護し、ウィルス対策ソフト

5 ウェアまたはプログラムを定期的に更新する

安全性の高いシステムとアプリケーションを開発し、保守する強⼒なアクセス制

6 御手法の導入© Xseed Co., Ltd. All rights reserved.

p. 36対応すべき要件を減らす○：全て弊社にて対応 △：一部お客様にて対応が必要 ×：全てお客様にて対応

PCI DSS要件
7

カード会員データへのアクセスを、業務上必要な範囲内に制限する

8

システムコンポーネントへのアクセスを識別・認証する

9

カード会員データへの物理アクセスを制限するネットワークの定期的な監視およびテスト

10

ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する11

セキュリティシステムおよびプロセスを定期的にテストする情報セキュリティポリシーの維持

対応

12 すべての担当者の情報セキュリティに対応するポリシーを維持する© Xseed Co., Ltd. All rights reserved.

p. 3712要件に対する準拠率７１％
弊社AoC,RoC記載内容に準じて算出© Xseed Co., Ltd. All rights reserved.

p. 38

ドキュメント整備・管理の省略化

サービス提供範囲のドキュメントは弊社にて維持管理を実施© Xseed Co., Ltd. All rights reserved.

p. 39

エクシードが提供するPCI DSS準拠サービスの全容
インフラとシステム運⽤においてワンストップでサービス提供を⾏います。
コンサルティング
サービス

システム設計構築サービス

セキュアマネージドサービス

基本サービス
ギャップ分析
アドバイザリオプションサービス

システム設計

侵入検知

レポーティングサービス

システム監視システム構築ウイルス対策

アカウント
管理

障害対応

セキュリティ設定

改ざん検知

ログ管理

保守管理

運用設計

脆弱性検査

WEBアプリケー
ション保護

運用管理

クラウド
調達代⾏

セキュリティ
パッチ適用

設定代⾏

24h7dSEサービス

文書整備支援
教育・研修
脆弱性検査
審査機関紹介インフラ提供ファシリティ

or
クラウド

ホスティングセキュリティソフト

PCI DSS準拠セキュリティ製品

Amazon Web Services、AWSおよびAmazon Web Servicesロゴは、Amazon.com, Inc.またはその関連会社の商標です。

© Xseed Co., Ltd. All rights reserved.

p. 40

導⼊効果

導⼊期間の短縮

弊社コンサルティング、設計・構築サービスにより、PCI DSSの導⼊期間短縮が可能。
PCI DSS取得
ノウハウが無い状態での取得期間6か月
システム構築テンプレートの活用

コンサルティング・設計構築サービスをご利⽤された場合の取得期間

当社既存運用チームによるサービス提供

ポリシー策定やドキュメント記述
ノウハウの共有

3か月

導入期間を50％に短縮可能※上記期間は弊社の実績から算出したものであり、お客様のシステムによって実際の期間は異なります。
© Xseed Co., Ltd. All rights reserved.

p. 41

設計品質の担保：審査資格保持者のサポート
弊社のPCI DSSシステム基盤構築では、PCI DSS審査資格保持者により適宜レビューを実施します。
その結果、PCI DSS準拠のシステム設計構築品質を保ちつつ、迅速に設計・構築を進めることが可能となっております。
システム基盤設計構築時の審査資格保持者の作業内容

基本設計時点での仕様検討フォロー© Xseed Co., Ltd. All rights reserved.

設計が固まった段階でのPCI DSS適用のレビュー
p. 42

運⽤品質の担保
2010年よりISMS、PCI DSSのデュアル運⽤を実施。5年間の運⽤実績があります。

対応規格バージョン

適⽤時期

ISMS

JIS Q 27001:2006（ISO/IEC27001:2006）

2010〜2014

JIS Q 27001:2014（ISO/IEC27001:2013）2014〜

Ver 1.2

2010〜2011

Ver 2.0

2011〜2012

Ver 2.1

2012〜2014

Ver 3.0

2015〜

Ver 3.1

2015/9対応予定

PCI DSS© Xseed Co., Ltd. All rights reserved.

p. 43

まとめ準拠済みのクラウドサービス利⽤• PCI DSSに準拠しているパブリッククラウドを利用可能です。
• 弊社にはクラウドシステム構築のノウハウがあります。

信頼できる• 弊社の運用サービスはPCI DSS Ver3.0準拠済みです。

運⽤サービス• PCI DSSシステムのインフラ部分の運用は全てお任せください。

明確なセキュリティ責任分担• システム設計、運用設計を経て、お客様とのセキュリティ責任分担を漏れなく明確にします。その結果を基に運用サービスを提供します。

的確な• 弊社のコンサルティングサービスにて認定取得のためのご支援をします。

準拠対応コンサルティング© Xseed Co., Ltd. All rights reserved.

• PCI DSS審査の経験者がお客様の対応について助言します。

p. 44

私達がサービスをお届けします！

内容は講演にてご紹介します© Xseed Co., Ltd. All rights reserved.

p. 45

© Xseed Co., Ltd. All rights reserved.