2014年7月29日(火) 11:10〜11:55
東京国際フォーラムガラス棟6F会議室「G602」「PCI DSSv3.0新規要件
委託先管理強化への対応」〜RSA Archer eGRC Platformのご紹介〜

テクマトリックス株式会社
セキュリティソリューション技術部
1

榎本有子

Copyright © 2014 TechMatrix Corporation. All rights reserved.

セッション内容• カード決済環境の複雑化に伴い、カード会員データに関わる業務を委託する場合の情報管理⽅法が深堀りされました。
委託先契約書、業務内容、手順の保持の他、定期的な確認を⾏うことができるサポートツール「 RSA Archer eGRC Platform 」をご紹介いたします。

2

Copyright © 2014 TechMatrix Corporation. All rights reserved.

アジェンダⅠ．PCI DSS バージョン2.0 から3.0への変更点
Ⅱ．委託先管理で要求されている事項
Ⅲ．要求事項への対応方法（現状）Ⅳ．理想的な委託先管理を実現するためのRSA Archer eGRC Platform
Ⅴ．RSA Archer eGRC Platformについて

3

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点

4Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
1）改定概要：概念

引用元:PCI Security Standards Council
PCI COUNCIL PUBLISHES PCI DSS AND PA-DSS VERSION 3.0
Why PCI DSS 3.0?
https://www.pcisecuritystandards.org/pdfs/PCIDSS.pdf

5

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
1）改定概要：概念
1. 教育と意識の向上–Increased Education and Awareness2. 更なる柔軟性–

Greater Flexibility

3. セキュリティ責任の共有–

Security as a Shared Responsibility

カード会員データを取り扱う環境の新しい脅威や技術にも対応していく
引用元:PCI Security Standards Council
PCI COUNCIL PUBLISHES PCI DSS AND PA-DSS VERSION 3.0
Why PCI DSS 3.0?
https://www.pcisecuritystandards.org/pdfs/PCIDSS.pdf

6

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
1）改定概要：基準ドキュメントの変更内容• ドキュメント構成の変更
要件へのガイドラインの追記– 要件– テスト手順– ガイドライン• 要件項目数の精査– v2.0：280項目 ⇒v3.0：399項目

ガイドライン追記によるテスト手順の具体化、充実化
引用元:PCI Security Standards Council
PCI DSS v3.0
PCI DSS v2.0
https://ja.pcisecuritystandards.org/minisite/en/

7

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
2）要件12：情報セキュリティポリシーの維持

引用元:PCI Security Standards Council
Payment Card Industry（PCI）データセキュリティ基準
PCI DSS バージョン 2.0 からバージョン 3.0 への変更点のまとめ 2013年11月
https://ja.pcisecuritystandards.org/_onelink_/pcisecurity/en2ja/minisite/en/docs/PCI_DSS_v3_Summary_of_Changes.pdf

8

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点2）要件12：情報セキュリティポリシーの維持
要件番号

12.8

v2.0
要件

v3.0

テスト手順

要件

テスト手順

ポリシーと手順の観察とレビュー、関連文書のレビュー
事業体がカード会員データをを通して、カード会員データ
カード会員
カード会員
サービスプロバイダ（バックを共有するか、カード会員
データをサー
データがサー
データのセキュリティに影響
アップテープ保管施設、Web
ビスプロバイビスプロバイを及ぼす可能性のあるサービ
ホスティング企業やセキュリ
ダと共有するダと共有されティサービスプロバイダなど
スプロバイダ（たとえば、場合は、サーる場合は、次の管理対象サービスプロバイ
バックアップテープ保管施設、ビスプロバイの項目を含め、Web ホスティング企業やセダ、または不正モデリング⽬
ダを管理する
サービスプロキュリティサービスプロバイ
的でデータを受信するサービためのポリバイダを管理スプロバイダなど）と共有す
ダなどの管理対象サービスプ
シーと手順をするポリシー
る場合は、観察、ポリシーとロバイダ、または不正モデリ維持および実と手順を維持ング目的でデータを受信する
手順のレビュー、および関連施して、以下および実装すサービスプロバイダなど）を文書のレビューを通じて、以を含める。
る。
下を実⾏する。
次のように管理するプロセスが実装されていることを確認する。

引用元:PCI Security Standards Council
PCI DSS v3.0
PCI DSS v2.0
https://ja.pcisecuritystandards.org/minisite/en/

9

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
2）要件12：情報セキュリティポリシーの維持
要件番号

v2.0
要件

v3.0
テスト手順

要件

テスト手順

サービスプロバイダ
は、プロバイダが、 書面による契約を調べて、顧客に代わって所有、サービスプロバイダが、顧サービスプロバ
保存、処理、送信す 客に代わって所有、保存、イダが自社の所 書面による契約に、るカード会員データ 処理、送信するカード会員有するカード会 カード会員データののセキュリティにつ データのセキュリティにつ員データのセ
セキュリティに対しいて、または顧客の いて、または顧客のカード
12.8.2 キュリティに対 て責任を負うことへ
カード会員データの 会員データのセキュリティして責任を負う のサービスプロバイ
セキュリティに影響 に影響を与える範囲についことに同意した、ダの同意が含まれてを与える範囲につい て責任を持つことを認める書面での契約を いることを確認する。て責任を持つことを 内容の書面による契約書を維持する。
認める内容の書面に 維持していることを確認す
よる契約書を維持す る。
る。

引用元:PCI Security Standards Council
PCI DSS v3.0
PCI DSS v2.0
https://ja.pcisecuritystandards.org/minisite/en/

10

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
2）要件12：情報セキュリティポリシーの維持要件番号v2.0
要件v3.0
テスト手順

12.8.5――12.9

インシデント対応計画の実施

―要件

テスト手順

各サービスプロバイ 各サービスプロバイダに対ダに対し、どのPCI し、どのPCI DSS 要件がDSS 要件がサービス サービスプロバイダによっプロバイダによって て管理され、どのPCI DSS管理され、どのPCI が事業体によって管理されDSS が事業体によっ るかについての情報を事業て管理されるかにつ 体が維持していることを確いての情報を維持す 認する。
る。
12.10に移動

引用元:PCI Security Standards Council
PCI DSS v3.0
PCI DSS v2.0
https://ja.pcisecuritystandards.org/minisite/en/

11

Copyright © 2014 TechMatrix Corporation. All rights reserved.

―

Ⅰ．PCI DSS バージョン2.0 から3.0への変更点
2）要件12：情報セキュリティポリシーの維持
要件番号

12.9

v2.0
要件v3.0
テスト手順

――要件

テスト手順

サービスプロバイダのポリシーと手順をレビューし、
サービスプロバイダ
書面による契約のテンプ用の追加要件:顧客にレートを読んで、サービス代わって所有、保存、プロバイダが、顧客のカー処理、送信するカード会員データや機密の認証
ド会員データのセデータを取り扱う、アクセキュリティについて、スする、または他の方法でまたは顧客のカード保存、処理、送信するか、会員データのセキュ
顧客のカード会員データ環
リティに影響を与え境を顧客に委託されて管理る範囲について責任するという業務範囲においを持つことを認めるて該当するすべてのPCI内容の書面による契DSS 要件を順守するという約書を維持する。
同意を書面にて顧客に提示したことを確認する。

引用元:PCI Security Standards Council
PCI DSS v3.0
PCI DSS v2.0
https://ja.pcisecuritystandards.org/minisite/en/

12

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅱ．委託先管理で要求されている事項

13

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅱ．委託先管理で要求されている事項「カード会員データを共有している、またはカード会員データのセキュリティに影響を与える可能性があるサービスプロバイダー」「委託先」• カード会員データを取り扱う業務やシステムを外部に委託している場合の委託先を全て洗出しリスト化する。
• カード会員データの取り扱いや、PCI DSS準拠に関する責任分岐点を明確にし、書面上で契約を締結する。
（取り扱う情報の種類や、委託する業務の内容によって異なる。）• 委託先のPCI DSS準拠ステータスを最低年１回確認する。

カード会員データ委託元としての委託先管理責任14

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅲ．要求事項への対応方法（現状）15

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅲ．要求事項への対応方法（現状）■

委託先管理に必要な情報• 委託先情報– 企業情報– 階層

委託先⇒再委託先⇒再々委託先…（責任分岐の明確化）– カード会員データ取扱い範囲、業務内容、影響先• 契約書情報– 締結有無– 法規制変更に伴う⾒直し実施有無• PCI DSS準拠ステータス、確認結果
– 確認表

■

– 現場確認、証跡

委託先にPCI DSS準拠状況を確認するための手段• チェックシートの配付• 現場確認チェックシートの集計、報告書作成
16

人的作業で手間がかかっている？！

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅲ．要求事項への対応方法（現状）■手間となっている事項• 委託先内容取り纏め、情報更新– 重複した情報を管理している– 最新情報が連携されていない• 委託先へのPCI DSS準拠状況 質問– ⼀⻫配信– 質問受付– 期⽇管理• 準拠状況確認結果の集計、報告書作成作業– 条件に応じたデータ集計• 要件番号毎• 委託先グループ毎• 取り扱っているカード会員データ毎• 業種毎など

17

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅳ．理想的な委託先管理を実現するための
RSA Archer eGRC Platform18

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅳ．理想的な委託先管理を実現するための
RSA Archer eGRC Platform• 「RSA Archer eGRC Platform（Archer）」は、『マネジメントシステム』を効率的に運⽤するためのソフトウエアツールです。
• 委託先に関する様々な情報を⼀元的に管理し、様々な情報に活⽤することができます。

PCI DSSチェック
アセスメント配信
Archer⼊⼒
••
•
•

企業情報
• 階層 委託先⇒再委託先⇒再々委託先• カード会員データ取扱い範囲、業務内容、影響先
契約書情報• 締結有無• 法規制変更に伴う⾒直し実施有無
PCI DSS準拠ステータス、確認結果• 確認表• 現場確認、証跡
PCI DSS準拠事項
19

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅳ．理想的な委託先管理を実現するための
RSA Archer eGRC Platform
管理名
ベンダー管理••数

データベース名

登録内容

1

ベンダー
プロファイル

各ベンダーに関する情報を管理します。ベンダー名、役割、担当者、契約内容、アセスメント結果、事業影響度分析など様々な情報がリンクされます。

2

担当者

連絡先および担当者情報のセントラル リポジトリとして機能し、デバイス管理者や業務プロセス管理責任者などの組織内の主要なタスクに関与する担当者の情報を文書化するものです。

3

契約

ベンダーと顧客に関連づけられた契約リストを管理します。

4

契約事項

5

施設

6

ベンダー財務アセスメント「ベンダープロファイル」に登録されたベンダーに対して財務状況のアセスメント、アセスメント結果の取り纏めを⾏います。

7

第1階層
アセスメント「ベンダープロファイル」に登録されたベンダーに対して「委託先」向けのアセスメント、アセスメント結果の取り纏めを⾏います。

8

第2階層
アセスメント「ベンダープロファイル」に登録されたベンダーに対して「再委託先」向けのアセスメント、アセスメント結果の取り纏めを⾏います。

9質問ライブラリ アセスメント作成時の参考となる質問集

ベンダーと、社内の個々のビジネス ユニットの間の契約事項のリストを管理します。
組織のすべての施設のリストを管理します。

委託先の階層は、初期値は2階層ですが、レベルに応じた階層にカスタマイズを⾏います。
「PCI DSSアセスメント」データベースや、「個人情報保護ガイドラインアセスメント」データベースなどを作成し管理します。
20

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅳ．理想的な委託先管理を実現するための
RSA Archer eGRC Platform21

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて

22

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて• 「RSA Archer eGRC Platform（Archer）」は、『マネジメントシステム』を効率的に運⽤するためのソフトウエアツールです。
• 企業では、「法令、規程、契約、⼿順などの要求事項の管理」を初めとし、「コンプライアンス管理」や「リスク管理」「内部監査管理」「教育管理」「(個人)情報管理」「委託先管理」など様々な『マネジメントシステム』が運用されています。
社内活動の他にも、「ISO9001：品質/14001：環境/27001：ISMS/JISQ15001：Pマーク」などのISO規格や「PCIDSS、FISC」などの業界標準の『マネジメントシステム』を運用している場合があります。
これら『マネジメントシステム』の運用では、同⼀の情報が複数の部⾨で管理されていたり、同じ対象や事象について、マネジメントシステム毎に、リスクアセスメント、手順の⾒直し、内部監査やマネジメントレビューを⾏うなど、重複運用されていることが多いです。

• 「Archer」 は、「情報の⼀元化・共有管理」を⾏うことで『様々な情報を、役割・責任に応じて⾒たい形に整理し、業務の効率化を実現』していきます。
23

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて
マネジメントシステムに関係する様々な情報ニーズに沿った可視化
業務効率化の実現

要求事項

役割、責任に応じたダッシュボードの利⽤

法令、規程、契約、⼿順

リスクアセスメント情報

経営陣向

アセスメント対象資産/事象

リスク情報

リスク結果、リスク対応計画、残留リスク
事業への影響度、発⽣の可能性「RSA Archer eGRC 」による情報の⼀元化・共有管理

監査情報

監査結果、是正・予防要求

インシデント情報

事件・事故内容、是正・予防要求、教育活動

管理者向

有効性評価情報

目標値、測定結果

財務情報

予算、実績、格付関係先情報

社内（責任者、関係者）、外部委託先

ISO規格/業界標準

ISO9001 ：品質
ISO14001 ：環境
ISO27001 ：情報セキュリティ
JISQ15001 ：個人情報保護
ISO22301 ：事業継続
ISO20000 ：ITサービス
PCIDSSFISCガイドライン ・・・

利⽤者向24

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて•「管理ソリューション」と「基本機能」の組み合わせと設定により、マネジメントシステムのご要望に応じた内容に作り上げていきます。

10個の管理ソリューション

8個の基本機能 (プラットフォーム)

１

Policy Management

ポリシー管理①

Application Builder

アプリケーションビルダー

２Enterprise Management

エンタープライズ管理②

Reports & Dashboard

レポート＆ダッシュボード

３

Risk Management

リスク管理

③

Access Control

アクセスコントロール

４Compliance Management

コンプライアンス管理④

Workflow

ワークフロー５

Incident Management

インシデント管理⑤

Notifications

通知、レポート管理

６

Vendor Management

委託先管理

⑥

Integration

情報統合

７

Threat Management

脅威管理

⑦

User Experience

教育・訓練、意識向上

８

Business Continuity Management

事業継続管理⑧

Globalization

複数言語対応９

Audit Management

監査管理

10

Security Operation Management(SecOps)

SOC運⽤管理

Issue Management

問題管理

Task Managementタスク管理※※Issue, Task Managementは、共通Solutionです。
25

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて■ 10個の管理ソリューション
• 管理ソリューションには、ソリューション運⽤に⾒合った標準アプリケーション（データベース群）が設定されています。
1. ポリシー管理–

規程類を集中的に管理します。法令やガイドラインと、社内規程、契約、⼿順について、該当項⽬番号へのマッピングを⾏い、企業内におけるポリシー管理をサポートします。

2. エンタープライズ管理–

企業情報（部⾨、事業部、関係会社）と資産・インフラ情報を⼀元管理します。業務プロセスが適切に運⽤されていることを管理します。

3. リスク管理–

風評、財務、業務、セキュリティなど全てのリスクについて、アセスメント、リスク対応計画の作成、進捗や有効性評価などの⼀連の流れについて管理することが出来ます。

4. コンプライアンス管理–

コントロールフレームワーク、管理⼿順やテスト計画を管理します。また、⽋陥の識別、改善計画の管理を⾏います。

5. インシデント管理–

サイバー攻撃や物理的な事故の記録を取得し、エスカレーション⽅法の確⽴、インシデントの分析や改善事項を管理します。

26

Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて■ 10個の管理ソリューション
6. 委託先管理–

委託先企業のデータを集中的に管理し、委託先企業のリスク評価や規程類、法令、ガイドラインへの準拠性と、関係性を明確にします。

7. 脅威管理–

既存の脅威情報の分析、管理を⾏い、企業に対する攻撃や不安要素を早期に検知します。

8. 事業継続管理–

非常事態発⽣時に、必要な事業継続や災害復旧計画を指⽰し、迅速な対応のサポートを⾏います。

9. 監査管理–監査計画、優先度判断、⼈員、⼿順、および、報告書作成の管理を⼀元的に⾏い、監査⼯程の効率性を高めます。

10.SOC運用管理–

セキュリティ監視機器からSOCに送られるアラートの集中管理とインシデント対応のワークフローの⾃動化により、インシデント処理に必要な情報の共有、担当者間のプロセス フローの管理、インシデント対応状況のモニタリングや稼働管理などを⾏い、SOC運用を可視化します。

※問題管理 ：それぞれのマネジメントソリューションで発⽣している問題事項、例外事項改善計画を管理します。
タスク管理：Todo 事項を管理します。
27Copyright © 2014 TechMatrix Corporation. All rights reserved.

Ⅴ．RSA Archer eGRC Platformについて
■

基本機能

•

RSA Archer各モジュールには、それぞれ自由に基本設定を⾏うことが可能です。⾃社の組織体系や管理フローに⾒合ったArcherを構築することが出来ます。

•主な機能– アクセス制御（設定単位例：グループ / モジュール / レコード / レコード内にある⼊⼒フィールドなど）– 画面設定（ワークシート / ダッシュボード / レポート、コーポレートカラーの利⽤など）– フィールド作成（テキスト / 数値（計算式含む） / 値リスト / 相互参照 / ユーザリストなど）– アセスメント（質問ライブラリ / 自己質問の登録）– 連携（csvファイルからのデータ一括登録 / Active Directory連携 / Web Services API– 教育訓練（掲示板 / クイズ■

システム要件•

サーバ：など）Windows Server（2008 R2、2012）– Web Tier

: Microsoft Internet Information Server (IIS)– Services Tier

: .NET Framework.

– Database Tier : Microsoft SQL Server（2008 R2、2012）•

クライアント ： Internet Explorer , Firefox , Chrome– プラグイン

: Microsoft Silverlight28

Copyright © 2014 TechMatrix Corporation. All rights reserved.など）

Ⅴ．RSA Archer eGRC Platformについて
事業継続管理BIABC/DRﾌﾟﾗﾝ

監査管理
監査区分

BC/DRﾃｽﾄ

脅威管理

委託先管理

監査ﾘｰﾀﾞ担当者

監査ﾌﾟﾛｼﾞｪｸﾄ

インシデント管理

ﾌﾟﾛﾌｧｲﾙ

契約内容

脅威情報

ｽｷｬﾝ結果ｲﾝｼﾃﾞﾝﾄ情報

ﾒｰﾙ・電話連絡ｺﾝﾀｸﾄ情報

ｱｾｽﾒﾝﾄ結果

脆弱性情報

ﾊﾟｯﾁ情報ｲﾝｼﾃﾞﾝﾄ対応

調査結果

ポリシー管理コンプライアンス管理

リスク管理

社内規程

実施基準

評価基準

ﾘｽｸ登録質問ﾘｽﾄ

ﾏﾆｭｱﾙﾃｽﾄ

実施手順

当局法規制

損失ｲﾍﾞﾝﾄ

ｱｾｽﾒﾝﾄ結果

ｼｽﾃﾑﾃｽﾄｱｾｽﾒﾝﾄ結果

エンタープライズ管理部門
ﾋﾞｼﾞﾈｽﾕﾆｯﾄ

ﾋﾞｼﾞﾈｽﾌﾟﾛｾｽ

BIA

業務ｱﾌﾟﾘ
29

IT関連資産Copyright © 2014 TechMatrix Corporation. All rights reserved.

管理者
担当者

個人/機密情報

ご清聴ありがとうございました。
RSA Archerを利⽤して、情報の効果的な活⽤、運⽤の効率化を実感してください。

＜デモご要望、問い合わせ先＞
テクマトリックス株式会社
セキュリティソリューション技術部

RSA Archer担当

archer-info@techmatrix.co.jp
30

Copyright © 2014 TechMatrix Corporation. All rights reserved.

榎本