JCDSCPCIDSSセキュリティフォーラム 201506)本部セッション

PCIDSS導入義務のウソとホント●本当にPCIDSSに準拠しなければいけないのか。同業他社は現在どれくらい準拠済みなのか。カード情報を持たなければ、PCIDSSに準拠する必要はない？等々、国が定めた法令ではないせいか、加盟店からするとどうも判然としない点が多々あります。
●JCDSC運営委員会を構成する各社合同で、PCISSC(国際評議会)や、カードブランド、アクワイアラ、担当行政機関等からの情報に基づき、総合的に分析・解説します。

2015年7月28日(火)JCDSC運営委員会
Copyright 2015 © JCDSC■1.日本国内のPCIDSS浸透状況は？

JCDSC①PCIDSS訪問審査の必要な企業数と、認証済み企業数は②認証取得企業名の公表サイトは③広く公表されているサイトは
VISA/MasterCard/JCB/AmericanExpress/・・・

Copyright 2015 © JCDSC

Page-2

■2.割賦販売法でPCIDSS準拠は進んだ？

JCDSC

日本クレジット協会によるPCIDSS準拠の実行計画 2012年5月31日公表●2018年
2018年3月末までに、PCIDSSへの準拠を要請、指導責任はカード会社に。
月末
Copyright 2015 © JCDSC

Page-3

JCDSC

参考/国内セキュリティツールの市場推移
セキュリティ製品には各企業が右肩上がりで投資を増やしている。

（引用）JNSA2015年6月発行 情報セキュリティ市場調査報告書
Copyright 2015 © JCDSC

Page-4

JCDSC■3.レベル2企業もPCIDSS準拠してきている？

年間決済取扱い件数によるレベル分類 (VISA)
レベル １
必須

年600万件超必須※ｻｰﾋﾞｽﾌﾟﾛﾊﾞｲﾀﾞｰは年30万件以上

レベル ２
QSA による訪問監査推奨（Qualified Security Assessors:認定審査機関）※適用基準はカードブランドによって異なります。また、加盟店とサービスプロバイダーでは異なります。

・内部、外部ネットワー
クのぜい弱性スキャン（ASVで四半期ごと）
・ネットワーク層とアプリケーション層への、内部、外部ペネトレーショ
ペネトレーションテスト（年1回）
ンテスト必須年100万～600万件※ｻｰﾋﾞｽﾌﾟﾛﾊﾞｲﾀﾞｰは、年30万件未満はすべて

レベル ３
必須
年2万～100万件

自己問診票（SAQ）(Self-Assessment Questionnaire)

レベル ４
必須

年2万件未満四半期ごとに、ASVによる外部ネットワークの脆弱性スキャン(Approved Scanning Vendors : 認定スキャンベンダー)●MasterCardの適用基準は、VISAとほぼ同じ。JCBは、年間100万件以上をレベル1とし、ｻｰﾋﾞｽﾌﾟﾛﾊﾞｲﾀﾞｰには件数に関わらず監査とスキャンを要請。
Copyright 2015 © JCDSC■4.レベル3-4企業はSAQの自己申告で“準拠”？

Page-5JCDSC

PCI DSS自己評価問診票 （Self-Assessment Questionnaire）
A： カードを提示しない、電子商取引または通信販売加盟店で、すべてのカード会員データ機能を外部委託
B1： インプリントのみの加盟店、カード会員データを電子形式で保存しない
B2： スタンドアロン型ダイアルアップ端末の加盟店、カード会員データを電子形式で保存しないC： ペイメントアプリケーションシステムがインターネットに接続されている加盟店
D： ペイメントブランドによって SAQ を完了する資格があると定義されたその他のすべての加盟店とサービスプロバイダー■SAQガイドラインと各問診票
https://ja.pcisecuritystandards.org/minisite/en/saq-v3.0-documentation.php
Copyright 2015 © JCDSC

Page-6

JCDSC■5. 専門コンサルなしでは認証を得られない？

①PCIDSS認証取得済み企業のコンサル支援比率はコンサルに依頼する際の注意点は②QSA(審査会社)はアドバイスしてくれるか
審査会社によって、どの程度異なるか③数あるセキュリティ商材の切り札（オールインワン）はあるか

Copyright 2015 © JCDSC

Page-7JCDSC■6. カード情報非保持ならPCIDSS準拠は不要？

①決済代行業者からのカード売上げ明細報告データに、カード情報は入っていない？
②委託する決済代行業者が、PCIDSSに準拠していることの確認は、加盟店の責任？
③カード決済を扱う店舗従業員の教育は、どこまで求められる？

Copyright 2015 © JCDSC

Page-8JCDSC■7. カード情報非保持の認証制度はある？

①QSAは、カード情報非保持の審査をして証明を出せる？

②審査工程は少ないからPCIDSS準拠認定は安く済む？

③「カード情報非保持」を自社宣言で表示してよい？

持ってませんCopyright 2015 © JCDSC

Page-9JCDSC■8. PCIDSS準拠の認定統一マークは？

①QSA各社が独自に、認定マークを発行している。

②PCISSC（国際評議会）の考えは？

JCDSC/QSA部会に同席した、PCISSCのマーケティング・マネージャー・J.King氏
2015.5.27 NTTデータ先端技術社にてCopyright 2015 © JCDSC

Page-10

JCDSC■9. PCIDSS準拠2018年3月期限は見直される？

改正割賦販売法が施行後5年を迎え、経産省の産業構造審議会は見直し検討結果の報告書を今月3日に公表した。
【カード情報セキュリティに関する部分】
1) 法令等により、特定の技術的手段を求めることには、なじまない面がある。…PCIDSSに特定することに疑問を提起
2) 各加盟店のシステム更改・改修期に配慮した現実的な対応を求めることが必要。…“2018年3月“のPCIDSS準拠期限を見直し？
3) カード番号に対する当事者意識が低い加盟店もあり、加盟店にも直接の責任を負担させる制度整備が必要。…加盟店への規制強化
4) 2015年3月発足の「クレジット取引セキュリティ対策協議会」における具体的・実効的な取組を推進することが適切である。…日本クレジット協会が1年かけて練ったナショナルプランを見直し？
Copyright 2015 © JCDSC

Page-11JCDSC■10. PCIDSS準拠は法令化なしでは達成できない？

①米国では州によっては、PCIDSS準拠が法律で義務になっている②米国ターゲット社はPCIDSS認証取得していた日本のB社も、プライバシーマーク認証企業・・・③認証合格が目的化する弊害もCopyright 2015 © JCDSC

Page-12JCDSC

セキュリティは短距離走じゃなくて、マラソンだ

Maintaining Security is Running a Marathon, not a Sprint●PCIDSSセキュリティフォーラム2014（7/29）
PCISSC-General Manager Bob Russo氏の基調講演より

Copyright 2015 © JCDSC

Page-13

JCDSC

すべては、カード利用者の安全のためにインターネット社会には国境がない。サイバーテロは明日にも襲う。

日本カード情報セキュリティ協議会（JCDSC）
代表事務局：NTTデータ先端技術株式会社
メール jcdsc@intellilink.co.jp
事務局：日本オフィス・システム株式会社
メール forum@jcdsc.org

Copyright 2015 © JCDSC

Page-14