2023年1⽉ JCDSC ベンダー部会

株式会社KDTS（KDTSTH）代表取締役社⻑ 宮沢純⼀
株式会社ブロードバンドセキュリティ（取締役韓国管掌/事業開発本部⻑） 雲野康成
ykumono@bbsec.co.jp

PCI DSS関連ビジネスのアジアにおける取組とPCI DSS.4.0システム要件

リモートアクセス時のPANコピーペースト禁⽌ソリューションのご紹介

本資料の内容は講演者の見解であって㈱ブロードバンドセキュリティの公式な見解を示すものではございません。
本資料の内容について講演者宛てご意見・ご質問をお待ちしています。ykumono＠bbsec.co.jp/gb@bbsec.co.jp

1

©2023
© 2022 BroadBand Security, Inc.

ブロードバンドセキュリティ 会社概要
2022年9⽉現在

会社名

株式会社ブロードバンドセキュリティ（略称︓BBSec）
BroadBand Security, Inc.

本社所在地東京都新宿区⻄新宿8-5-1 野村不動産⻄新宿共同ビル4F

URL

https://www.bbsec.co.jp/

設⽴

2000年11⽉30⽇



資本⾦293百万円



決算期

6⽉



株式公開情報市場︓東京証券取引所 スタンダード市場
上場⽇︓2018年9⽉26⽇
株式コード︓4398



従業員数222名（2022年6⽉末現在）代表者

代表取締役社⻑
滝澤 貴志
代表取締役副社⻑ 森澤 正⼈

事業内容

1.
2.
3.

事業所

国内︓天王洲オフィス、⼤阪⽀店、名古屋⽀店、東北セキュリティ診断センター
海外︓韓国⽀店
セキュリティオペレーションセンター︓1拠点（東京都内）



セキュリティ監査・コンサルティングサービス
脆弱性診断サービス
情報漏えいIT対策サービス

2

©2023
© 2022 BroadBand Security, Inc.

BBSEC ⽇本で2番⽬に古参のQSA、2014年〜韓国・アジアにPCIDSS準拠⽀援を展開
2008年〜QSA、 2014年〜KRにおいてオンサイト評価シェアNo.1維持
2019年〜KR/TH拠点においてPCIDSS/ QPA/ CPSAビジネスの展開

2022年5⽉現在

 情報セキュリティマネジメントシステム︓ISO/IEC 27001:2013=JIS Q 27001:2014
 プライバシーマーク︓JISQ 15001︓2006
 PCI DSS認証監査機関︓QSA(Qualified Security Assessor Company) 2008年〜JCDSC草創期メンバの1社
 P2PE認証監査機関︓Point-to-Point Encryption Assessor Company
 3Dセキュア認定評価機関︓PCI 3DS Assessor Company
 カード情報漏えい事故を取り扱う調査機関︓PFI（PCI Forensic Investigator）

 クレジットカード製造におけるセキュリティ評価機関︓CPSA（Card Production Security Assessor）韓国中⼼ PIN Security におけるセキュリティ評価機関︓QPA（Qualified Pin Security Assessor）韓国・アジア中⼼ 情報セキュリティサービス基準適合サービス登録︓• 情報セキュリティ監査サービス（サービス登録番号︓018-0038-10）• 脆弱性診断サービス（サービス登録番号︓018-0038-20）• デジタルフォレンジック（サービス登録番号︓018-0038-30）• マネージドセキュリティサービス（サービス登録番号︓018-0038-40）

3

その他多数
©2023
© 2022 BroadBand Security, Inc.

AGENDA
はじめにBBSec (KR/TH)〜PCI DSS関連ビジネスのアジアにおける取組〜KDTS/KDTS THのご紹介

KDTS〜リモートアクセス時のPANコピーペースト禁⽌ソリューション

4

©2023
© 2022 BroadBand Security, Inc.

はじめに背景 (１)
多くのPCI DSS 準拠対象事業者がPCI DSSv4要件 3.4.2 に対応する必要がある。

 たとえ、従業員が拠点でカード情報 を扱っている場合でも、リモートディスクトップや VPNなどのリモートアクセステクノロジーを使っていればこの要件の対象になる。
 拠点とデータセンターが地理的に別の場所にある場合にはこの要件の対象になりうる。



本資料の内容は講演者の見解であって㈱ブロードバンドセキュリティの公式な見解を示すものではございません。
本資料の内容について講演者宛てご意見・ご質問をお待ちしています。ykumono＠bbsec.co.jp/gb@bbsec.co.jp

5

©2023
© 2022 BroadBand Security, Inc.

はじめに
背景 (２)
現状でこの要件を満たす技術は存在しない。

 VPN やリモートディスクトップでは、要件 3.4.2 で要求される細かい制御は不可能。
 個別に開発しようとすると開発ごとに多額の費用が発生する可能性もある。



本資料の内容は講演者の見解であって㈱ブロードバンドセキュリティの公式な見解を示すものではございません。
本資料の内容について講演者宛てご意見・ご質問をお待ちしています。ykumono＠bbsec.co.jp/gb@bbsec.co.jp

6

©2023
© 2022 BroadBand Security, Inc.

はじめに今回ご紹介するソリューションの特徴

Windows OS の端末に常駐し、クリップボードに copy されたカード番号(PAN) をトランケート (一部の数字を「＊」で置き換える) する。
テキスト、Word、Excel に対応
端末が Windows なら、汎用的に利用できる。

カード番号を表示するクライアントのクリップボードを操作する。


カード番号が存在するシステム

本資料の内容は講演者の見解であって㈱ブロードバンドセキュリティの公式な見解を示すものではございません。
本資料の内容について講演者宛てご意見・ご質問をお待ちしています。ykumono＠bbsec.co.jp/gb@bbsec.co.jp

7

©2023
© 2022 BroadBand Security, Inc.

BBSec (KR/TH)〜PCI DSS関連ビジネスのアジアにおける取組KR
2014年よりPCIDSS準拠が加速、2022年はPIN Security強化の動きあり
PCI DSSv4準拠に取り組む企業も新興企業中⼼に積極的TH
2022年11月3年ぶりに来日したKRQSAメンバ
当初よりPCI DSSと PIN Security 同時準拠・維持の傾向あり
PCI DSSｖ４システム要件にも着⼿

APAC市場ではタイで20年間技術展開を継続してきたKDTS/THと協業を展開中
2022年8月 KDTS宮沢社長とタイ会社を訪問

8©2023© 2022 BroadBand Security, Inc.

KDTS 様のご紹介
200x年〜バンコクにKDTS THを設⽴。イリーガルビュー等の展開をAPACに展開中2008年〜⾦融機関を中⼼に不正抑⽌、内部統制対策を⽬的としたイリーガルビューを展開
 事故発⽣原因の検証
 リアルタイム監視 ⾮不正使⽤の画像による証跡
 外部攻撃に対するエンドポイントセキュリティ
 画像を利⽤した社内教育、研修
 働き⽅改⾰、⾃宅勤務者のモニター不正検知
 2018年よりJCDSC ベンダー部会

2008年〜イリーガルビューのAPAC展開開始・タイ法⼈の設⽴
2018年〜ネットチャート・協和エクシオ・タイ現法他と通信インフラのJVを⽴上げ2018年〜JCDSCインフラ部会に参加
2022年11⽉

BBSECがタイで展開したORBイベントに参加

9

©2023
© 2022 BroadBand Security, Inc.

PCI DSS Version4.0移行タイムライン
2021年6月

2022年2月

2022年4月

2022年6月

2024年3月

2025年3月※上記四角内の引用元：PCI SSC（Payment Card Industry Security Standards Council） 上段の月度は各情報から入手した想定見込みであり弊社記載となります。

10©2023© 2022 BroadBand Security, Inc.

10

PCI DSS V4.0の主な変更点
PCI DSS v4.0 には、多数の新しい要件が含まれています。
PCI DSS の新しい要件は、以下のいずれかです。
•すべてのPCI DSS v4.0評価に対して直ちに発効します。
•2025 年 3 月 31 日までのベストプラクティス。その後、これらの要件は必須となり、PCI DSS評価中に十分に考慮する必要があります。
PCI DSS v3.2.1 のすべての要件は、2024年3月31日に v3.2.1 がリタイアするまで有効であり続けます。
変更の種類

定義

進化する要件

新たな脅威や技術、決済業界の変化に対応し、規格を最新のものにするための変更。 例としては、要件やテスト手順の新規追加や変更、要件の削除などがあります。

明確化またはガイダンス

特定のトピックに関する理解を深めるため、またはさらなる情報やガイダンスを提供するために、言葉遣い、説明、定義、追加のガイダンス、および/または指示を更新する。

構造または形式

要求事項の内容を揃えるための結合、分離、番号の付け直しなど、内容の再編成。

「進化する要件」が新規要件、または既存要件が一部変更削除されたものに該当します。
「明確化またはガイダンス」がガイダンスの強化、用語の修正等が行われたものになります。

11

©2023
© 2022 BroadBand Security, Inc.

11

主たるシステム要件
要件3.2.1：アカウントデータの保管システム投資の影響

PCI DSS要件

テスト手順

3.2.1 アカウントデータの保管は、少なくとも以下を含むデー

3.2.1.a データ保持と廃棄のポリシー、手順、プロセスを調査し、担当者にインタビューして、タ保持・廃棄ポリシー、⼿順、プロセスの実施により、最⼩限 この要件で指定されているすべての要素を含むようにプロセスが定義されていることを確認する。に抑えられている。
• アカウントデータが保存されているすべての場所を対象とす

3.2.1.b アカウントデータが保存されているシステムコンポーネント上のファイル及びシステる。

ム記録を調査し、データの保存量及び保存期間がデータ保持ポリシーに定義された要件を超• 保存されているアカウントデータのすべての場所を対象とすえないことを確認する。

る。この箇条は、発効⽇まではベストプラクティスである。詳細については、以下の「適⽤上の注意」を参照。
• データの保存量及び保存期間を、法律、規制、及び／⼜は事

3.2.1.c アカウントデータを復元不可能にするためのメカニズムを監視し、データが復元できないことを確認する。

業上の要件に必要なものに限定する。
• 保存されたアカウントデータの保存期間を定義し、⽂書化されたビジネス上の正当な理由を含む、特定の保存要件。
• 保持ポリシーに基づき、不要になったアカウントデータを安全に削除する、または復元不可能にするためのプロセス。
• 定義された保存期間を超えた保存されたアカウントデータが安全に削除されたこと、⼜は復元不可能にされたことを少なくとも3ヶ⽉に⼀度、検証するためのプロセス。

3.2.1.c の復元できない方法について追加要素が付加された。
ガイダンスには「ほとんどのOSの削除機能は、削除したデータを復元できるため「安全な削除」ではない。そのため、代わりに専用の安全な削除機能またはアプリケーションを使用してデータを復元不可能にする必要がある。」と案内がある。OSやDBごとに細かく削除方法を定義して対応する必要がある。

12©2023© 2022 BroadBand Security, Inc.

12

主たるシステム要件
要件3.4.2：リモートアクセス技術を使用する場合のPAN のコピー

システム投資の影響（移動）防止
定義されたアプローチの要件

テスト手順

3.4.2 リモートアクセス技術を使用する場合、技術的な管理

3.4.2.a リモートアクセス技術を使用する際に、PAN をローカルのハードドライブまたにより、文書化された明示的な承認と正当かつ定義されたビはリムーバブル電子メディアにコピーおよび/または再配置することを防止する技術的コ

ジネスニーズを持つ者を除き、すべての人員の PAN のコ

ントロールについて、文書化したポリシーおよび手順、文書化した証拠を調べ、以下を検ピーおよび/または再配置を防止すること。

証します。
• 技術的な管理により、特に許可されていないすべての要員が PAN をコピーおよび/または再配置することを防止している。
• PAN のコピーおよび/または移設を許可された要員のリストが、文書化された明示的な権限および正当かつ定義されたビジネスニーズとともに維持されていること。
3.4.2.b リモートアクセス技術の構成を調査し、明示的に許可された場合を除き、すべての要員に対して PAN のコピーや移転を防止するための技術的な制御が行われていることを確認する。
3.4.2.c プロセスを観察し、要員にインタビューして、リモートアクセス技術を使用する
場合、文書化された明確な権限と、正当で定義されたビジネスニーズを持つ要員のみが、PAN のコピーおよび/または再配置の許可を持っていることを確認する。

リモートアクセステクノロジーを使用する場合に、PANのコピーや再配置を防止するための技術的な制御に関する新しい要件です。以前の要件12.3.10から拡張されました。

13

©2023
© 2022 BroadBand Security, Inc.

13

主たるシステム要件
要件8.4.2： CDEへのすべてのアクセスに対する多要素認証
定義されたアプローチの要件

システム投資の影響

テスト手順

8.4.2 CDEへのすべてのアクセスにMFAが実装されている。 8.4.2.a ネットワークおよび/またはシステム構成を調べ、CDEへのすべてのアクセスにMFAが実装されていることを確認する。
8.4.2.b CDEにログインする人員を観察し、MFAが必要であることを検証するための証拠を調査する。

v3.2.1では管理者によるCDEへの非コンソールアクセス（要件8.4.1）のみのMFAが求められていましたが、2025年4月1日からはCDEへのすべてのアクセスに対してMFAが必要となります。
また、事業体外からスコープへのリモートアクセスに対して求められるMFA（要件8.4.3）両方のタイプのアクセスにそれぞれMFAが必要とされています。

14©2023© 2022 BroadBand Security, Inc.

14

主たるシステム要件
要件8.5.1： 多要素認証についてシステム投資の影響定義されたアプローチの要件

テスト手順

8.5.1 MFAシステムは、以下のように実装されています。

8.5.1.a ベンダーのシステム文書を調べ、MFA システムがリプレイ攻撃の影響を受けな• MFA システムはリプレイアタックの影響を受けない。

いことを確認する。

• MFA システムは、特に文書化され、例外的に管理者によって許可されない限り、管理者ユーザーを含むいかなるユーザーによっても、期間限定でバイパスすることができない。

8.5.1.b MFA実装のシステム構成を調べ、この要件で指定されたすべての要素に従って構成されていることを確認する。

• 少なくとも2種類の認証要素が使用されている。

8.5.1.c 担当者にインタビューし、プロセスを観察して、MFA を迂回する要求が具体的• アクセスが許可される前に、すべての認証要素に成功するこに文書化され、期間限定で例外的に管理者によって承認されることを確認する。とが要求される。
8.5.1.d CDE のシステムコンポーネントにログインする要員を観察し、すべての認証要素が成功した後にのみアクセスが許可されることを検証する。
8.5.1.e 組織のネットワーク外からリモートで接続する要員を観察し、すべての認証要素が成功した後にのみアクセスが許可されることを検証する。

多要素認証システムの安全な実装のための新しい要件となります。MFA システムがリプレイ攻撃の影響を受けないシステムであることを求めています。

15

©2023
© 2022 BroadBand Security, Inc.

15

今回ご紹介するソリューションの動作イメージ
文字列ベースの copy-pasute4569-0319-2990-7023
4583-9524-9488-7966
4599-0008-2977-4505

Copy-paste

4569-03**-****-7023
4583-95**-****-7966
4599-00**-****-4505

ファイルベースの copy-pasuteCopy-paste

PAN を含むファイル

PAN はトランケートされる

16

©2023
© 2022 BroadBand Security, Inc.