PCI DSSなんか怖くない～良いQSAパートナーの見つけ方～
上野洋一

QSA、 ISMS主任審査員
国際マネジメントシステム認証機構株式会社

代表取締役社長

Copyright International Certificate Authority of Management System All rights Reserved.

1

国際マネジメントシステム認証機構について
略称：ICMS（International Certificate authority of Management System Co., Ltd.）1999年設立。
2003年ISMS-AC（旧JIPDEC）から認定を受けたISO27001/JISQ27001審査認証機関としてISMS審査事業、2008年PCI SSCの認定セキュリティ評価機関（QSAC）としてPCI DSS監査事業を始めました。PCI DSS監査の実績は国内最多クラスとなります。P2PEについては2016
年に認定取得し、2018年国内初であるP2PE準拠の実績を挙げました。
ISMS、PCIともに規格の制定早期より携わる審査スキルを強みとし、ITエンジニアスキルをベースとした審査・監査事業を中心に、情報セキュリティ関連の教育、サービスを提供しています。

ICMSは、セキュリティプロ集団として機密情報を保護し、ビジネスパフォーマンスの向上を支援します。

Copyright International Certificate Authority of Management System All rights Reserved.

2

ICMS サービスの紹介• 審査/監査◼ ISO/IEC 27001：2013◼ ISO/IEC 27017：2015◼ PCI DSS Qualified Security Assessor Company◼ PCI P2PE Qualified Security Assessor Company• 【実績国内最多クラス>国内の主要イン
ターネット決済代行事業者のオンサイト
監査実績を持つ• Solution◼ PCI DSS/P2PE 準拠支援、SAQ策定支援◼ PCI DSS セキュリティサービス

• Education◼ PCI DSS eラーニング◼ ISMS/PCI DSS トレーニング◼ 書籍PCI DSS Version3.2
Copyright International Certificate Authority of Management System All rights Reserved.

3

1. QSAに要求される13の行動
2. 監査現場
3. オンサイト監査成功の鍵
4. QSAの有効活用
5. まとめAgenda
Copyright International Certificate Authority of Management System All rights Reserved.

1. QSA 13 の行動

Copyright International Certificate Authority of Management System All rights Reserved.

Asia PacificのQSA会社数

53*グローバルにAPをカバーしている会社を除く

全登録数 ALL：382
Area①Global(2大陸以上）

社数114

アジア太平洋14%⑤ 5%②USA, Canada

123

欧州

③LAC

817%

④Europe63⑤CEMEA

18⑥AP(2018年3月現在 )Global(2大陸以上)

30%
北米

③ 5%

53
Copyright International Certificate Authority of Management System All rights Reserved.
Source: PCI SSC web32%

QSAにどのようなイメージを持ちますか？

No!

No!

No!

不適合

不適合
不適合・・・

こんな顔のイメージが浮かびませんか?
Copyright International Certificate Authority of Management System All rights Reserved.

不適合QSAにのぞましい行動は？
ISO 19011:2012
マネジメントシステム監査のための指針
7.2.2 個人の行動”専門家としての行動を示すことが望ましい“として13個の行動が示されています。

Copyright International Certificate Authority of Management System All rights Reserved.

QSAにのぞましい行動は？
➢ 倫理的である。すなわち，公正である，信用できる，誠実である，正直である，そして分別がある。

➢ 心が広い。すなわち，別の考え方又は視点を進んで考慮する。
➢ 外交的である。すなわち，目的を達成するように人と上手に接する。

Copyright International Certificate Authority of Management System All rights Reserved.

QSAにのぞましい行動は？
➢ 観察力がある。すなわち，物理的な周囲の状況及び活動を積極的に観察する。
➢ 知覚が鋭い。すなわち，状況を認知し，理解できる。
➢ 適応性がある。
すなわち，異なる状況に容易に合わせることができる。

Copyright International Certificate Authority of Management System All rights Reserved.

QSAにのぞましい行動は？

➢ 粘り強い。すなわち，根気があり，目的の達成に集中する。
➢ 決断力がある。すなわち，論理的な理由付け及び分析に基づいて，時宜を得た結論に到達することができる。
➢ 自立的である。すなわち，他人と効果的なやりとりをしながらも独立して行動し，役割を果たすことができる。
Copyright International Certificate Authority of Management System All rights Reserved.

QSAにのぞましい行動は？
➢ 不屈の精神をもって行動する。すなわち，その行動が，ときには受け入れられず，意見の相違又は対立をもたらすことがあっても，進んで責任をもち，倫理的に行動することができる。
➢ 改善に対して前向きである。すなわち，進んで状況から学び，よりよい監査結果のために努力する。

Copyright International Certificate Authority of Management System All rights Reserved.

QSAにのぞましい行動は？

➢ 文化に対して敏感である。すなわち，被監査者の文化を観察し，尊重する。
➢ 協働的である。すなわち，監査チームメンバー及び被監査者の要員を含む他人と共に効果的に活動する。

Copyright International Certificate Authority of Management System All rights Reserved.

目立つイメージ

公正倫理的Fair

Ethical

観察力
粘り強い

ObservantTenacious

プラス

QSA
サーバー、ネットワーク機器、暗号化、データベース、プログラムコーディング、最新ＩＴテクノロジー/脅威などの専門家としての知識
Copyright International Certificate Authority of Management System All rights Reserved.

不屈の精神

ObservantQSAのイメージは厳しい

厳格
緻密教育指導者？？

先生！

先生！

蛇ににらまれた蛙？
Copyright International Certificate Authority of Management System All rights Reserved.

2. 監査現場

Copyright International Certificate Authority of Management System All rights Reserved.

監査前

こんな顔になっていませんか?

心配不安
Copyright International Certificate Authority of Management System All rights Reserved.

監査前日こんなことをしていませんか ?

➢ クライントPC内のPAN検索➢ 問題ないサンプリングデータを用意する➢ カード情報管理状況確認➢ メンバーへの整理整頓実施依頼➢ メンバーへの前日教育（余計なことはしゃべらない？）

Copyright International Certificate Authority of Management System All rights Reserved.

18

監査中こんなことしていませんか ?

➢ 聞かれたことだけ答える➢ なるべく現場を見られないようする➢ サンプリングは用意したものを見てもらうようにする➢ できる限りデータは隠す➢ 質問はしない

Copyright International Certificate Authority of Management System All rights Reserved.

19

監査後皆さんこんな顔になっていませんか?

これで本当によいですか?

お客様QSA

Copyright International Certificate Authority of Management System All rights Reserved.

20

3.

成功するオンサイト監査への鍵

Copyright International Certificate Authority of Management System All rights Reserved.

QSA13の行動に１つ追加します

Copyright International Certificate Authority of Management System All rights Reserved.

22監査中の雰囲気が変化します

Copyright International Certificate Authority of Management System All rights Reserved.

23

こんなことがありました

Copyright International Certificate Authority of Management System All rights Reserved.

24

4. QSAの有効活用

Copyright International Certificate Authority of Management System All rights Reserved.

QSAの有効活用

Copyright International Certificate Authority of Management System All rights Reserved.

26

PCI DSSの最新情報、今後の動向・展望
PCI SSCのブログ

Copyright International Certificate Authority of Management System All rights Reserved.

27

非保持化対策

どのような非保持化対策がウチの会社に合ってるのだろう？

非保持化対策したけど本当にカード情報は残ってないのだ
ろうか。。。

Copyright International Certificate Authority of Management System All rights Reserved.

28

中小加盟店のPCI DSS
非保持化対策はウチには難しい

PCI DSS準拠はもっと難しい
どうすればいいの

Copyright International Certificate Authority of Management System All rights Reserved.

29

5. まとめ

Copyright International Certificate Authority of Management System All rights Reserved.

QSAは皆さんの味方です！

Copyright International Certificate Authority of Management System All rights Reserved.

31

QSAを選ぼう!

Copyright International Certificate Authority of Management System All rights Reserved.

32

QSAを選ぼう!

Copyright International Certificate Authority of Management System All rights Reserved.

33

QSAを選ぼう!

もう監査は怖くありませんね！

Copyright International Certificate Authority of Management System All rights Reserved.

34

お問い合わせ国際マネジメントシステム認証機構株式会社〒141-0021
東京都品川区上大崎2-24-11 目黒西口M2号館 5階
TEL： 03-5719-7533
mail： suishin@icms.co.jp
URL： https://www.icms.co.jp/

Copyright International Certificate Authority of Management System All rights Reserved.

35