PCIDSS対応～ グローバル事情から見た日本企業への示唆

ベライゾンジャパン合同会社
プロフェッショナルサービス
土屋 喜嗣 (Yoshitsugu TSUCHIYA)2014年7月29日© 2013 Verizon. All Rights Reserved.

本プレゼンテーションの構成
1. グローバルでのPCIDSS対応の状況
2. PCIDSSに関連したデータ侵害・漏洩事案の動向
3. 適切なセキュリティ・リスク管理につながるPCIDSS対応–

POS等の脆弱性対応–

定期的なテスト（脆弱性、システム強度）の重要性–

モニタリング・ログ管理

4. まとめ：各企業で必要となる対策とは© 2013 Verizon. All Rights Reserved.

2

ベライゾンの情報セキュリティ関連調査報告書

verizonenterprise.com/jp/pcireport/2014© 2013 Verizon. All Rights Reserved.

verizonenterprise.com/jp/DBIR/2014
3

PCIDSS準拠調査：調査方法及び対象
調査方法• QSAとしてのベライゾンがPCIDSS準拠のベースライン評価で収集したデータに基づく• 対象年：2011年～2013年• PCIDSS2.0 （※PCIDSS 3.0を用いた評価は2014年から）
調査対象• 調査対象となっている数値データは、2009年以来ベライゾンが評価・審査を行った対象企業500以上（評価案件4,000件以上）をベースとする• 調査対象企業のプロフィール：© 2013 Verizon. All Rights Reserved.

※「ベライゾン2014年ペイメントカード業界コンプライアンス調査報告書」より 4

企業種別ごとのPCIDSS準拠率(1)
ベライゾン調査対象企業のPCIDSS準拠率（企業割合及びコントロールの割合）は上昇した：

比較項目

準拠している企業／準拠したコントロールの割合【2012年】【2013年】

企業が準拠していたｺﾝﾄﾛｰﾙの割合

52.9%

85.2% (+32.3pt)

完全準拠(100%)の企業の割合

7.5%

11.1% ( +3.4pt)

ほぼ準拠(81%～)の企業の割合

24.6%

71.1% (+46.5pt)

準拠率に基づく企業の分布© 2013 Verizon. All Rights Reserved.

※「ベライゾン2014年ペイメントカード業界コンプライアンス調査報告書」より

5

企業種別ごとのPCIDSS準拠率(2)
ベライゾン調査対象企業のPCIDSS準拠企業の割合（2011～2013年）：

業種別
項目

地域別

PCIDSS準拠企業の比率

項目（80%以上準拠）

PCIDSS準拠企業の比率（80%以上準拠）

小売業

69.7%

アジア・太平洋地域

75.0%

一般サービス
企業

35.0%

北米地域

56.2%

欧州地域

31.3%

© 2013 Verizon. All Rights Reserved.

※「ベライゾン2014年ペイメントカード業界コンプライアンス調査報告書」より

6

PCIDSS各要件（1～12）毎の準拠率
PCIDSS要件（1～12）毎の平均準拠率[2012年/2013年]
4

2

5

3

準拠率から見える状況

1• 対象企業において、2013年のPCIDSS準拠率は、全要件において前年度よりも上昇• 2013年の準拠率が依然として低い要件は下記：• 要件11： 定期的なﾃｽﾄ• 要件3： 暗号化• 要件10：ﾓﾆﾀﾘﾝｸﾞ・ﾛｸﾞ管理• 要件2： ﾃﾞﾌｫﾙﾄ値の不使用• 要件5： ｱﾝﾁｳｲﾙｽ【準拠率下位20入り】
・2.2.2a・2.2.2b【準拠率下位20入り】
・6.1a【準拠率下位20入り】
・---© 2013 Verizon. All Rights Reserved.

【準拠率下位20入り】
・10.4.1a・10.4.2a【準拠率下位20入り】
・11.3.a～b・11.2.3.a～b・11.2.1.a～b・11.3.1～11.3.2
・11.2.1.c・11.3.c• 上記５要件中、中でも要件11においては、準拠率ワースト20位以内のサブコントロール項目を多く出している※「ベライゾン2014年ペイメントカード業界コンプライアンス調査報告書」より-.平均準拠率：PCIDSS各要件のｻﾌﾞｺﾝﾄﾛｰﾙの特定の集合に準拠した企業の割合-.準拠率下位20： 2011年から2013年までの全データに基づく

7

データ漏洩/侵害を実際に経験した企業・組織とPCIDSS準拠率
データ侵害が発生した企業におけるPCIDSS各要件の準拠状況
PCIDSS要件-5低←-4

ベライゾン PCI 相対準拠インデックス-1-3-2→高0

1. ファイアウォール
2. デフォルト値の不使用
3. 暗号化

データ侵害を受けた企業のう
ち、カード情報へのアクセスを「必要なときのみ」に限定していなかった企業がかなりの数を占めた

4. 安全な通信
5. アンチウイルス
6. ｱﾌﾟﾘ運用・ｼｽﾃﾑﾊﾟｯﾁ
7. 必要最小限のアクセス
8. 一意のID

データ侵害を受けた企業のうち、ログ管理に関するポリシーが脆弱だった企業が非常に多数あった準拠率のワー
スト５要件（11, 3, 10,2, 5）とは、必ずしも一致しない...

2

9. 物理アクセス
1

10. ﾓﾆﾀﾘﾝｸﾞ・ﾛｸﾞ管理
11. 定期的なテスト
12. 人・ｾｷｭﾘﾃｨﾎﾟﾘｼｰ© 2013 Verizon. All Rights Reserved.

※ベライゾン「2014年度データ漏洩/侵害調査報告書」より

8

PCIDSSに関連したデータ侵害・漏洩事案の動向© 2013 Verizon. All Rights Reserved.

9データ侵害/漏洩におけるパターンの推移

主なインシデント分類パターンの件数と推移
内部者による不正使用

POSへの侵入

カードスキミング© 2014 Verizon. All Rights Reserved.

Web
アプリ
ケーション
攻撃

国家サイバースパイ活動※ベライゾン「2014年度データ漏洩/侵害調査報告書」より

10

脅威の発生元の推移

脅威実行者別のデータ漏洩/侵害事案の件数と推移「外部リスク」への対応：
・ｼｽﾃﾑﾊﾟｯﾁ・ﾓﾆﾀﾘﾝｸ
・定期的なﾃｽﾄ
・必要最小限のｱｸｾｽ、...

外部「内部リスク」への対応：
・人・ｾｷｭﾘﾃｨﾎﾟﾘｼｰ
・必要最小限のｱｸｾｽ
・ｱｶｳﾝﾄ管理・ﾓﾆﾀﾘﾝｸﾞ、...

内部パートナー© 2014 Verizon. All Rights Reserved.

※ベライゾン「2014年度データ漏洩/侵害調査報告書」より

11

漏洩・侵害パターンの発生頻度
POSへの侵入、カードスキミングの各事案は、インシデント件数としては少ないが漏洩/侵害事案の件数が多い
2013年のデータ漏洩/侵害件数（n=1,367）

2013年のインシデント件数（n=63,437）

POSへの侵入Webアプリケーション攻撃
内部者による不正使用

ｲﾝｼﾃﾞﾝﾄ件数に比して漏洩/侵害件数が多い

物理的窃取/損失
人的ミス
クライムウェア
カードスキミング
DoS攻撃
国家サイバースパイ活動
その他すべて© 2014 Verizon. All Rights Reserved.

※ベライゾン「2014年度データ漏洩/侵害調査報告書」より

12

漏洩・侵害の対象となったデータタイプ
漏洩情報の種類別によるデータ漏洩/侵害事案の件数と推移
銀行口座情報個人情報

企業秘密

ペイメントカード情報

内部情報

認証情報

© 2014 Verizon. All Rights Reserved.

13

過去5年間の脅威アクションの推移：
脅威アクション上位20位の推移

タンパリング[物理的]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]スパイウェア/キーロガー[マルウェア]
エクスポートデータ[マルウェア]スパイウェア/キーロガー[マルウェア]
盗んだ認証情報の使用[ハッキング]

バックドアまたはC2の使用[ハッキング]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]RAMスクレーパー[マルウェア]

バックドア[マルウェア]

バックドア[マルウェア]

アドミンウェア[マルウェア]

バックドアまたはC2の使用[ハッキング]

バックドアまたはC2の使用[ハッキング]コントロール無効化[マルウェア]ブルートフォース
[ハッキング]
バックドア[マルウェア]

盗んだ認証情報の使用[ハッキング]スパイウェア/キーロガー[マルウェア]スパイウェア/キーロガー[マルウェア]

盗んだ認証情報の使用[ハッキング]

バックドア[マルウェア]

エクスポートデータ[マルウェア]

盗んだ認証情報の使用[ハッキング]フィッシング[ソーシャル]

保存データの捕捉[マルウェア]
バックドアまたはC2の使用[ハッキング]

RAMスクレーパー[マルウェア]コントロール無効化[マルウェア]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]タンパリング[物理的]C2[マルウェア]

フィッシング[ソーシャル]

フィッシング[ソーシャル]

バックドアまたはC2の使用[ハッキング]スパイウェア/キーロガー[マルウェア]
ダウンローダー[マルウェア]
保存データの捕捉[マルウェア]

バックドア[マルウェア]

タンパリング[物理的]フットプリンティング[ハッキング]
盗んだ認証情報の使用[ハッキング]

権限の不正使用[不正使用]

権限の不正使用[不正使用]

C2[マルウェア]ダウンローダー[マルウェア]

C2[マルウェア]

SQLインジェクション
[ハッキング]SQLインジェクション
[ハッキング]ダウンローダー[マルウェア]

ネットワークのスキャン[マルウェア]SQLインジェクション
[ハッキング]ダウンローダー[マルウェア]

アドミンウェア[マルウェア]

保存データの捕捉[マルウェア]パスワードダンパー[マルウェア]ブルートフォース
[ハッキング]ネットワークのスキャン[マルウェア]RAMスクレーパー[マルウェア]SQLインジェクション
[ハッキング]
パスワードダンパー[マルウェア]

ダウンローダー[マルウェア]
権限の不正使用[不正使用]

ダウンローダー[マルウェア]

フットプリンティング[ハッキング]ダウンローダー[マルウェア]

権限の不正使用[不正使用]

タンパリング[物理的]C2[マルウェア]

C2[マルウェア]

ダウンローダー[マルウェア]

アドミンウェア[マルウェア]

コントロール無効化[マルウェア]フィッシング[ソーシャル]

アドミンウェア[マルウェア]

RAMスクレーパー[マルウェア]パスワードダンパー[マルウェア]
権限の不正使用[不正使用]

ネットワークのスキャン[マルウェア]
ダウンローダー[マルウェア]

保存データの捕捉[マルウェア]RAMスクレーパー[マルウェア]SQLインジェクション
[ハッキング]ネットワークのスキャン[マルウェア]

ダウンローダー[マルウェア]

パスワードダンパー[マルウェア]パスワードダンパー[マルウェア]ネットワークのスキャン[マルウェア]フットプリンティング[ハッキング]コントロール無効化[マルウェア]フットプリンティング[ハッキング]

保存データの捕捉[マルウェア]フィッシング[ソーシャル]© 2014 Verizon. All Rights Reserved.

タンパリング[物理的]コントロール無効化[マルウェア]アドミンウェア[マルウェア]
フットプリンティング[ハッキング]14過去5年間の脅威アクションの推移：
フィッシング
脅威アクション上位20位の推移

タンパリング[物理的]ブルートフォース
[ハッキング]スパイウェア/キーロガー[マルウェア]
エクスポートデータ[マルウェア]スパイウェア/キーロガー[マルウェア]
盗んだ認証情報の使用[ハッキング]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]

バックドア[マルウェア]

バックドア[マルウェア]

タンパリング[物理的]バックドアまたはC2の使用[ハッキング]コントロール無効化[マルウェア]フットプリンティング[ハッキング]
盗んだ認証情報の使用[ハッキング]

権限の不正使用[不正使用]

権限の不正使用[不正使用]SQLインジェクション
[ハッキング]ダウンローダー[マルウェア]
保存データの捕捉[マルウェア]SQLインジェクション
[ハッキング]アドミンウェア[マルウェア]

ダウンローダー[マルウェア]

ブルートフォース
[ハッキング]
バックドア[マルウェア]
エクスポートデータ[マルウェア]
バックドアまたはC2の使用[ハッキング]
RAMスクレーパー[マルウェア]アドミンウェア[マルウェア]
盗んだ認証情報の使用[ハッキング]スパイウェア/キーロガー[マルウェア]スパイウェア/キーロガー[マルウェア]

盗んだ認証情報の使用[ハッキング]

バックドア[マルウェア]

エクスポートデータ[マルウェア]

盗んだ認証情報の使用[ハッキング]フィッシング[ソーシャル]

保存データの捕捉[マルウェア]
バックドアまたはC2の使用[ハッキング]

RAMスクレーパー[マルウェア]

バックドアまたはC2の使用[ハッキング]
コントロール無効化[マルウェア]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]タンパリング[物理的]C2[マルウェア]

フィッシング[ソーシャル]

フィッシング[ソーシャル]

バックドアまたはC2の使用[ハッキング]
スパイウェア/キーロガー[マルウェア]
ダウンローダー[マルウェア]
保存データの捕捉[マルウェア]

バックドア[マルウェア]

C2[マルウェア]

保存データの捕捉[マルウェア]

ダウンローダー[マルウェア]
ネットワークのスキャン[マルウェア]パスワードダンパー[マルウェア]ネットワークのスキャン[マルウェア]RAMスクレーパー[マルウェア]SQLインジェクション
[ハッキング]
パスワードダンパー[マルウェア]

ダウンローダー[マルウェア]
権限の不正使用[不正使用]

ダウンローダー[マルウェア]

フットプリンティング[ハッキング]ダウンローダー[マルウェア]

権限の不正使用[不正使用]

タンパリング[物理的]コントロール無効化[マルウェア]C2[マルウェア]

C2[マルウェア]

コントロール無効化[マルウェア]フィッシング[ソーシャル]

ダウンローダー[マルウェア]
アドミンウェア[マルウェア]

アドミンウェア[マルウェア]
RAMスクレーパー[マルウェア]パスワードダンパー[マルウェア]
権限の不正使用[不正使用]

保存データの捕捉[マルウェア]RAMスクレーパー[マルウェア]ネットワークのスキャン[マルウェア]

ダウンローダー[マルウェア]
パスワードダンパー[マルウェア]ネットワークのスキャン[マルウェア]フットプリンティング[ハッキング]SQLインジェクション
[ハッキング]コントロール無効化[マルウェア]フットプリンティング[ハッキング]フィッシング[ソーシャル]

ネットワークのスキャン[マルウェア]
ダウンローダー[マルウェア]
パスワードダンパー[マルウェア]© 2014 Verizon. All Rights Reserved.

C2[マルウェア]

SQLインジェクション
[ハッキング]ブルートフォース
[ハッキング]タンパリング[物理的]アドミンウェア[マルウェア]
フットプリンティング[ハッキング]15過去5年間の脅威アクションの推移：
RAMスクレーパー
脅威アクション上位20位の推移

タンパリング[物理的]ブルートフォース
[ハッキング]スパイウェア/キーロガー[マルウェア]
エクスポートデータ[マルウェア]スパイウェア/キーロガー[マルウェア]
盗んだ認証情報の使用[ハッキング]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]RAMスクレーパー[マルウェア]

バックドア[マルウェア]

バックドア[マルウェア]

アドミンウェア[マルウェア]

バックドアまたはC2の使用[ハッキング]

バックドアまたはC2の使用[ハッキング]

盗んだ認証情報の使用[ハッキング]スパイウェア/キーロガー[マルウェア]タンパリング[物理的]コントロール無効化[マルウェア]フットプリンティング[ハッキング]
盗んだ認証情報の使用[ハッキング]

権限の不正使用[不正使用]

権限の不正使用[不正使用]SQLインジェクション
[ハッキング]ダウンローダー[マルウェア]
保存データの捕捉[マルウェア]SQLインジェクション
[ハッキング]アドミンウェア[マルウェア]

ダウンローダー[マルウェア]

ブルートフォース
[ハッキング]
バックドア[マルウェア]
エクスポートデータ[マルウェア]
バックドアまたはC2の使用[ハッキング]

スパイウェア/キーロガー[マルウェア]

盗んだ認証情報の使用[ハッキング]

バックドア[マルウェア]

エクスポートデータ[マルウェア]

盗んだ認証情報の使用[ハッキング]フィッシング[ソーシャル]

保存データの捕捉[マルウェア]
バックドアまたはC2の使用[ハッキング]

RAMスクレーパー[マルウェア]コントロール無効化[マルウェア]ブルートフォース
[ハッキング]エクスポートデータ[マルウェア]タンパリング[物理的]C2[マルウェア]

フィッシング[ソーシャル]

フィッシング[ソーシャル]

バックドアまたはC2の使用[ハッキング]
スパイウェア/キーロガー[マルウェア]
ダウンローダー[マルウェア]
保存データの捕捉[マルウェア]

バックドア[マルウェア]

C2[マルウェア]

保存データの捕捉[マルウェア]

ダウンローダー[マルウェア]
ネットワークのスキャン[マルウェア]パスワードダンパー[マルウェア]ネットワークのスキャン[マルウェア]RAMスクレーパー[マルウェア]SQLインジェクション
[ハッキング]
パスワードダンパー[マルウェア]

ダウンローダー[マルウェア]
権限の不正使用[不正使用]

ダウンローダー[マルウェア]

フットプリンティング[ハッキング]ダウンローダー[マルウェア]

権限の不正使用[不正使用]

タンパリング[物理的]コントロール無効化[マルウェア]C2[マルウェア]

C2[マルウェア]

コントロール無効化[マルウェア]アドミンウェア[マルウェア]
RAMスクレーパー[マルウェア]パスワードダンパー[マルウェア]
権限の不正使用[不正使用]SQLインジェクション
[ハッキング]コントロール無効化[マルウェア]フットプリンティング[ハッキング]ネットワークのスキャン[マルウェア]フィッシング[ソーシャル]

C2[マルウェア]

フィッシング[ソーシャル]

ダウンローダー[マルウェア]
アドミンウェア[マルウェア]

ネットワークのスキャン[マルウェア]
ダウンローダー[マルウェア]

保存データの捕捉[マルウェア]RAMスクレーパー[マルウェア]

ダウンローダー[マルウェア]

パスワードダンパー[マルウェア]パスワードダンパー[マルウェア]ネットワークのスキャン[マルウェア]フットプリンティング[ハッキング]© 2014 Verizon. All Rights Reserved.

SQLインジェクション
[ハッキング]ブルートフォース
[ハッキング]タンパリング[物理的]アドミンウェア[マルウェア]
フットプリンティング[ハッキング]

16

適切なセキュリティ・リスク管理につながるPCIDSS対応© 2014 Verizon. All Rights Reserved.

17

POS等の機器の脆弱性への対応RAMスクレーパー等の事案が示すPOS機器に関連する漏洩・侵害事案と教訓：• 典型的な手口：POSシステムの脆弱性を突き、マルウェア等を使ってシステム内で暗号化されているがメモリ上では展開されているカード会員情報を読み出す手口が多く識別された• 識別された主な侵入経路：

識別された
主な侵害・漏洩の方法• POS端末自体（OS、通信処理等）の脆弱性• 通信方法（Remote Desktop Protocol等）の脆弱性• 通信アクセス手段（WiFi等）の脆弱性• POS用メンテナンス業者用PCの脆弱性を突いた侵入→その後POSに侵入• 管理ｻｰﾊﾞにおけるクレデンシャルの盗難、...
• 組み込み機器を想定したPOSシステム（＝多くの場合、機器導入後の定期的な脆弱性への対応がされていない）について、定期的な脆弱性のチェックをプロセス化する

PCIDSS準拠に際して留意すべき対応指針例• システム監視の対象として上記POSシステムが対象となるよう運用プロセスを改善• 漏洩/侵害の発生状況に鑑み、特に認証・アクセス管理についてはクレデンシャルの盗難等を想定した多要素認証等を考慮する© 2014 Verizon. All Rights Reserved.

18

【参考】 脆弱性と攻撃難易度

初回攻撃及び後続攻撃の「むずかしさ」

攻撃難易度からの示唆
攻撃難易度からの示唆• 実際の漏洩事例においては、難しい手法の駆使は圧倒的に少ない。
• 金銭目的の攻撃である場合、難易度は殆どが「極低」から「低」• スパイ活動では、後続攻撃にやや多くの難易度「高」攻撃が使われる⇒ 防御にあたっては、まずは意識せずに開けてい意識せずに開けていたドア（たドア（脆弱性）脆弱性）を無くすことが肝要を無くす

攻撃の手口をつぶすための対策
攻撃の手口をつぶすための対策（例）の手口をつぶすための対策（例）システム基準・手順の策定
重要情報の所在識別と管理情報に対する適切なアクセス・コントロール
アプリ・インフラの脆弱性チェック
パッチ適用・ウイルス対策の最新化
不要I/Fの閉塞／ネットワーク分離...
※上記で捉えきれない事象をモニタする© 2014 Verizon. All Rights Reserved.

※ベライゾン「2013年度データ漏洩/侵害調査報告書」より

19

システム監視の側面～ 攻撃手口・手法のタイプに見る監視方法
攻撃の手口/手法の種別
図20: 攻撃の手口（※重複カウントあり）

傾向と対策• 攻撃の手口はいくつかにわかれ、大多数を占める手口は無い• 毎年、基本はマルウェア、ハッキング、物理が主流であるが、年によってはソーシャルも1～3割を占める• 目的別に多く見られた手口・経路の組合せとして下記が識別される：
i.共通して見られる手口

マルウェアの感染経路• 直接ｲﾝｽﾄｰﾙ
直接ｲﾝｽﾄｰﾙによるｲﾝｽﾄｰﾙによるﾏﾙｳｪｱによるﾏﾙｳｪｱ• 盗んだ認証情報によるﾊｯｷﾝｸﾞ
盗んだ認証情報によるﾊｯｷﾝｸﾞ
ハッキングのタイプ

ii.
ii.「金銭目的」
金銭目的」で多く見られる手口• ﾌﾞﾙｰﾄﾌｫｰｽによるﾌﾞﾙｰﾄﾌｫｰｽによるﾊｯｷﾝｸﾞによるﾊｯｷﾝｸﾞ

iii.
iii.「ｽﾊﾟｲ活動ｽﾊﾟｲ活動」
活動」で多く見られる手口• 電子ﾒｰﾙ
電子ﾒｰﾙの添付
ﾒｰﾙの添付ﾌｧｲﾙの添付ﾌｧｲﾙにﾌｧｲﾙによるﾏﾙｳｪｱ
よるﾏﾙｳｪｱ
• ﾊﾞｯｸﾄﾞｱによるﾊﾞｯｸﾄﾞｱによるﾊｯｷﾝｸﾞによるﾊｯｷﾝｸﾞ© 2014 Verizon. All Rights Reserved.

※ベライゾン「2013年度データ漏洩/侵害調査報告書」より

20

セキュリティモニタリング～ 情報システムの各領域とセキュリティ対策
侵入を前提として早期発見・封じ込めが可能なモニタリングの検討が必要
管理対象のレイヤ

各レイヤの管理対象及び監視・制御対象（例）
外部/ﾓﾊﾞｲﾙ環境

共通基盤
共通基盤
（認証ﾃﾞﾊﾞｲｽ等）

基幹・ｻｰﾊﾞ環境

認証・アクセス制御

ﾕｰｻﾞ業務・ﾕｰｻﾞ業務・
ｱﾌﾟﾘｹｰｼｮﾝ
多重認証

ﾓﾊﾞｲﾙ
環境

Proxy/ APP GW

マルウェア対策

業務プロセス＆アプリケーション

ﾕｰｻﾞIT環境

業務
ｱﾌﾟﾘｹｰｼｮﾝ

共通基盤
共通基盤
（DB、ﾌｧｲﾙ共有、認証、ｱｸｾｽ制御など）

システム

一般ﾈｯﾄﾜｰｸ

論理的分離・隔離

基幹ﾈｯﾄﾜｰｸ

物理区画

入退室

物理区画

VPN
入退室

(管理対象外ｴﾘｱ）

Firewall/IDS/IPS

外部ﾈｯﾄﾜｰｸ

インフラストラクチャ

ﾕｰｻﾞ機器（PC・端末・その他）

ｻｰﾊﾞ機器物理環境© 2014 Verizon. All Rights Reserved.

...監視・制御手段

21

セキュリティモニタリング～ 現状において得られているモニタ対象情報
侵入を前提として早期発見・封じ込めが可能なモニタリングの検討が必要管理対象のレイヤ

各レイヤの管理対象及び監視・制御対象（例）
外部/ﾓﾊﾞｲﾙ環境

ｱﾌﾟﾘﾛｸﾞ

機器ﾛｸﾞ

共通基盤
共通基盤
（認証ﾃﾞﾊﾞｲｽ等）

基幹・ｻｰﾊﾞ環境

認証・アクセス制御

ﾕｰｻﾞ業務・ﾕｰｻﾞ業務・
ｱﾌﾟﾘｹｰｼｮﾝ
多重認証

ﾓﾊﾞｲﾙ環境

Proxy/ APP GW

マルウェア対策

業務プロセス＆アプリケーション

ﾕｰｻﾞIT環境

業務
ｱﾌﾟﾘｹｰｼｮﾝ
ｱﾌﾟﾘﾛｸﾞ

共通基盤
共通基盤（DB、ﾌｧｲﾙ共有、認証、ｱｸｾｽ制御など）
認証ﾛｸﾞ

システム

DBｱｸｾｽﾛｸﾞ

機器ﾛｸﾞ

ｱｸﾃｨﾋﾞﾃｨﾛｸﾞ(DLP)

一般ﾈｯﾄﾜｰｸ
機器ﾛｸﾞ

物理区画

ｻｰﾊﾞ機器ｼｽﾃﾑﾓﾆﾀ

基幹ﾈｯﾄﾜｰｸ
機器ﾛｸﾞ

接続記録
入退室

入退室

(管理対象外ｴﾘｱ）

論理的分離・隔離（PC・端末・その他）
VPN

外部ﾈｯﾄﾜｰｸ

インフラストラクチャ

Firewall/IDS/IPS

ﾃﾞﾊﾞｲｽ管理

ﾕｰｻﾞ機器ﾈｯﾄﾜｰｸﾓﾆﾀ

物理区画

物理環境
入退室記録

© 2014 Verizon. All Rights Reserved.

...監視・制御手段...証跡（多くの企業で取得可・実施済み）

入退室記録

監視ｶﾒﾗ

...証跡（未実施が多い）22

セキュリティモニタリング～ 識別される手口と経路
現状システム構成・セキュリティ対策に対して、想定される手口・経路をマップし、必要な監視事項を識別
管理対象のレイヤ

各レイヤの管理対象及び監視・制御対象（例）
外部/ﾓﾊﾞｲﾙ環境

ﾕｰｻﾞIT環境

基幹・ｻｰﾊﾞ環境

ソーシャル
ﾏﾙｳｪｱ（ﾒｰﾙ）

認証・アクセス制御

ﾕｰｻﾞ業務・
ｱﾌﾟﾘｹｰｼｮﾝ
多重認証

ﾓﾊﾞｲﾙ
環境

Proxy/ APP GW

マルウェア対策

業務プロセス＆アプリケーション

共通基盤（認証ﾃﾞﾊﾞｲｽ等）

不正使用

業務
ｱﾌﾟﾘｹｰｼｮﾝ

共通基盤（DB、ﾌｧｲﾙ共有、認証、ｱｸｾｽ制御など）

ﾊｯｷﾝｸﾞ

システム

一般ﾈｯﾄﾜｰｸ

論理的分離・隔離

基幹ﾈｯﾄﾜｰｸ

物理区画

入退室

物理区画

ﾕｰｻﾞ機器（PC・端末・その他）
VPN

外部ﾈｯﾄﾜｰｸ

インフラストラクチャ

Firewall/IDS/IPS

ﾏﾙｳｪｱ(ﾏﾙｳｪｱ(ｲﾝｽﾄｰﾙ)ｲﾝｽﾄｰﾙ)

不正使用

不正使用

(盗んだ認証情報)
盗んだ認証情報)

ﾊｯｷﾝｸﾞ

ｻｰﾊﾞ機器(ﾌﾞﾙｰﾄﾌｫｰｽ)
ﾌﾞﾙｰﾄﾌｫｰｽ)

入退室(管理対象外ｴﾘｱ）
管理対象外ｴﾘｱ）

物理環境
物理© 2014 Verizon. All Rights Reserved.

...監視・制御手段

23

セキュリティモニタリング～ 必要な対策箇所、モニタリングのポイント対象とする侵入・漏洩事象毎に監視の対象となる行為も異なり、それぞれに監視手法・体制の検討が必要
管理対象のレイヤ

各レイヤの管理対象及び監視・制御対象（例）外部/
外部/ﾓﾊﾞｲﾙ環境

ﾕｰｻﾞIT
ﾕｰｻﾞIT環境
IT環境

基幹・ｻｰﾊﾞ環境

ソーシャル
ﾏﾙｳｪｱ（ﾒｰﾙ）ｱﾌﾟﾘﾛｸﾞ

機器ﾛｸﾞ

共通基盤
（認証ﾃﾞﾊﾞｲｽ等）

認証・アクセス制御

ﾕｰｻﾞ業務・
ｱﾌﾟﾘｹｰｼｮﾝ
多重認証

ﾓﾊﾞｲﾙ環境

Proxy/ APP GW

マルウェア対策

業務プロセス＆アプリケーション

不正使用

業務
ｱﾌﾟﾘｹｰｼｮﾝ
ｱﾌﾟﾘﾛｸﾞ

共通基盤（DB、ﾌｧｲﾙ共有、認証、ｱｸｾｽ制御など）
不正使用
認証ﾛｸﾞ

ﾊｯｷﾝｸﾞ

システム

不正使用(盗んだ認証情報)
盗んだ認証情報)DBｱｸｾｽﾛｸﾞ

外部ﾈｯﾄﾜｰｸ（PC・端末・その他）
機器ﾛｸﾞ

ｱｸﾃｨﾋﾞﾃｨﾛｸﾞ

VPN

インフラストラクチャ

ﾕｰｻﾞ機器(DLP)

一般ﾈｯﾄﾜｰｸ

ﾊｯｷﾝｸﾞ

論理的分離・隔離ﾃﾞﾊﾞｲｽ管理

Firewall/IDS/IPS

ﾏﾙｳｪｱ(ﾏﾙｳｪｱ(ｲﾝｽﾄｰﾙ)ｲﾝｽﾄｰﾙ)

ｻｰﾊﾞ機器ｼｽﾃﾑﾓﾆﾀ

基幹ﾈｯﾄﾜｰｸ(ﾌﾞﾙｰﾄﾌｫｰｽ)
ﾌﾞﾙｰﾄﾌｫｰｽ)

機器ﾛｸﾞ

入退室

入退室

物理環境

機器ﾛｸﾞ

接続記録

物理区画

ﾈｯﾄﾜｰｸﾓﾆﾀ

物理区画(管理対象外ｴﾘｱ）
入退室記録

入退室記録

監視ｶﾒﾗ

物理

機械的攻撃を含む侵入予兆の監視© 2014 Verizon. All Rights Reserved.

...監視・制御手段

人を中心とする操作に関する監視...証跡（多くの企業で取得可・実施済み）...証跡（未実施が多い）24

ベライゾンとPCIDSS認証取得© 2014 Verizon. All Rights Reserved.

25

PCIDSS取得推進体制（例）PCIDSS取得成功だけでなく、リスク回避のための運用体制確立のための体制例：
取組み視点
PCIDSS対応に必要な役割

ｱﾄﾞﾊﾞｲｻﾞﾘのﾚﾍﾞﾙ

役割の概要
PCIDSS 個別ｼｽﾃﾑ
範囲全体
視点

要件
対策・実行案のﾚﾍﾞﾙのﾚﾍﾞﾙ

取得企業
PCIDSS
ベンダー
コンサルタント
PCIDSS

ｾｷｭﾘﾃｨ／PCIDSS
ｾｷｭﾘﾃｨ／PCIDSS
取りまとめ担当（ﾌﾟﾛｾｽ・規程等）

社内規程類・プロセスの整備を担う
プロセス・規程に関わるPCIDSS観点からの指摘に対して、社内調整を行い、必要な修正施策の実施を管理する■■

ｾｷｭﾘﾃｨ／PCIDSS
ｾｷｭﾘﾃｨ／PCIDSS
取りまとめ担当（情報ｼｽﾃﾑ）

PCIDSS審査対象について情報システム側の対応を担う
PCIDSS観点からの情報システムの修正等に関わる指摘に対して、社内調整を行い、修正施策の実施を管理する

■

■

取得企業側
ﾍﾞﾝﾀﾞｰ対応PM
ﾍﾞﾝﾀﾞｰ対応PM

各ベンダーのPCIDSS対応のためのアクションを管理する
PCIDSS準拠の全体スケジュールに基づき、対象となる複数ベンダーのアクションを管理する■

ベンダー【例：ｼｽﾃﾑ毎】

PCIDSS指摘要件に対して、システム側の修正策の提示合意された修正策の実行を担う
各ベンダーの対応範囲は、担当するシステムの範囲内■

ITｱﾄﾞﾊﾞｲｻﾞﾘ
ITｱﾄﾞﾊﾞｲｻﾞﾘ

立案されたPCIDSS対応策について、監査者の立場から施策の妥当性を検討し、適切なアドバイスを行う※ 貴社の監査企業としての制約あり■■

PCIDSSｺﾝｻﾙﾀﾝﾄ
PCIDSSｺﾝｻﾙﾀﾝﾄ

PCIDSS対象のシステム・プロセス全体視点での設計・導入支援を実施。お客様側のセキュリティ／PCIDSS取りまとめ担
当の視点での支援を実施■■

PCIDSS QSAPCIDSS適合の審査者
設計・導入支援の過程においては、PCIDSSの規程への適合の視点からアドバイスを実施■■© 2014 Verizon. All Rights Reserved.

■■■

26

まとめ～ 各企業で必要となる対策とは

1.

PCIDSS準拠の動向•PCIDSS各要件への準拠率と、実際に漏洩・侵害が起こった企業における未準拠項目とのｷﾞｬｯﾌﾟ：••2.

情報漏洩事案の調査による示唆–

3.

アクセス管理モニタリング/ログ管理

近年の動向：外部からの脅威の増加、POSやカードシステムへの侵害事例の増加

必要な対策は– 侵入/ｸﾚﾃﾞﾝｼｬﾙ盗難等を前提としたシステム作りを– それぞれの監視目的・監視対象により取りうる手段が異なる•人を中心とする操作に関する監視•

機械的攻撃を含む侵入予兆の監視– PCIDSS取得のための体制づくり© 2013 Verizon. All Rights Reserved.

27