PCIDSS 準拠の現実とベストプラクティス〜よくある誤解や課題、陥りがちな落とし⽳の事例解説〜

2014年7⽉
⼩川 真毅, PCI QSA, CISSP, CISA, CISM, CBCI, CCSK, PMP
プリンシパル コンサルタント
セキュリティ＆リスク コンサルティング
Dell SecureWorks

Dell SecureWorksについて

2

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

Dell SecureWorks の概要• 15年以上のサービス提供実績• 2009年、VeriSign社からマネージドセキュリティサービス（MSS）事業を買収• 2011年、Dell のサービス事業部⾨に統合• 全世界で3,800社以上のお客様にサービスを提供• マネージドセキュリティサービス、コンサルティング、情報分
析に関してあらゆるサービスをグローバルで提供• 世界有数の調査チーム 「Counter Threat UnitSM」（セキュリティ上の脅威への対策部隊）を保持• 1⽇あたり380億件のログ処理実績を誇るMSSを、世界7箇所のSOC（セキュリティ・オペレーション・センター）で運営• GIAC GCIA など各種の専⾨認定を取得したセキュリティ・アナリスト• ベンダー・ニュートラルのサポート• 業界での⾼い評価とアワードの受賞
3

セキュリティ脅威をグローバル規模で可視化
Edinburgh, Scotland

LondonQuincy, WA

Bucharest, Romania
Kawasaki, Japan

Providence, RI
Myrtle Beach, SC
Atlanta, GA

Plano, TX
Round Rock, TX
Guadalajara, Mexico

Noida, India

Bangalore, India•

SOC and Data Center

•SOC

•

Additional Staff

Hyderabad, India
Sydney200+ 15万台+ 760億+ 3,000+70+ 3,800+ 1,000+ のソフトウェア
ヶ国社のお客様のセキュリティ
専⾨家

エンジニア

24 X 7 X 365
4Confidential

7/31/2014

デバイス監視1⽇のサイバーイベント

1⽇の報告

Dell SecureWorks サービスの全容CTUConsulting

マネージド・
セキュリティ・サービス

スレット・インテリジェンス

セキュリティ＆リスク・コンサルティング

世界最⼤級の監視サービス

世界有数の調査チーム

豊富な経験と実績

MSS IDS/IPS 管理

 脅威&脆弱性情報

 テスト&アセスメント

 Firewall 管理 アドバイザリ情報

 Web Application Firewall
管理 拡⼤中の脅威速報

 コンプライアンス &セキュリティ認定

 ログ・モニタリング

 マイクロソフト更新
プログラムの分析

 脆弱性管理 情報分析ブリーフィング

 Web Appスキャニング

 隔週の総合サイバー
セキュリティニュース

 オンデマンドのSIM(セキュリティ情報管理)5 マルウェアの分析

 HIPS CTU サポート

 ログ管理 攻撃者DBの提供

 インシデント対応&原因調査
 ポリシー開発・実装
 アーキテクチャ・デザイ
ンと実装
 専⾨家の常駐

PCI 業界における Dell SecureWorks の強み
世界最⼤規模のPCI業界認定機関

QSA (Qualified Security Assessor:認定審査機関)
ASV (Approved Scanning Vendor: 認定スキャニングベンダー)
PFI (Payment Forensics Investigator: 認定フォレンジック調査機関)

PCI業界リーダーとしての活動と実績

PCI業界コミュニティにおけるグローバルな活動参
画と世界中でのPCIDSS関連サービス提供実績

業界プロフェッショナル集団

平均10年以上の業界経験を持つセキュリティコン
サルタントが持つ豊富なナレッジを融合して、最適な改善案やアドバイザリーを提供

セキュリティリスク分析
における専⾨性

インシデント対応やフォレンジック解析サービスを通じたセキュリティリスクと技術動向に関する深い理
解とPCI要件の柔軟な解釈に基づく的確な分析

6

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません数字で⾒る Dell SecureWorks PCI サービス実績
Dell SecureWorksは、豊富な PCI DSS 準拠⽀援および審査実績に基づき、多様なお客様環境にとって最適な対策と運⽤環境の構築を⽀援することができます

100社＋ 100社＋QSAとして過去に審査し、準拠報告書を提供したPCIDSS準拠企業の数QSAとして過去に準拠⽀援コンサルテーション(ギャップ分析)サービスを提供した企業の数

300社＋ 50名＋ASVとして脆弱性スキャンを提供したPCIDSS準拠企業の数(マネージドセキュリティサービス
利⽤企業含む)7

Confidential

PCIDSS準拠⽀援コンサルテーションを提供可能なQSA
有資格者およびセキュリティコンサルタントの数

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません

PCIDSS 準拠にあたり、よくある誤解

8

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

PCIDSS への準拠はなぜ重要か

損害賠償

顧客信頼低下

ブランドイメージ低下

取引停⽌• 不正被害や漏えい事件が発⽣した場合、影響を受けた顧客への補償や法的責任が追及される。
• 新たな脅威と犯罪⾏為の増加に伴い、漏えい事件は即座にメディアに取り上げられ、センセーショナルな報道によりブランドイメージの失墜が懸念される。
• ⾮準拠状態の場合、国・地域によっては罰⾦、罰則、取引停⽌などの措置を採られる場合がある。
• ⽇本国内では、JCA(⽇本クレジット協会)が、2017年度末までにすべての加盟店が準拠すべきという⽅針(ナショナルプラン)を打ち出しており、EC事業者の準拠期限はすでに過ぎている(2013年3⽉末)• また、PCIDSS への準拠は、改正割賦販売法(2010年12⽉施⾏)に基づく事実上の法的義務になりつつある。
9

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できませんよくある誤解①準拠が必要なほどクレジットカードは取り扱っていない

ある加盟店担当者の声『ほとんどが現⾦決済または銀⾏振り込みなので、クレジットカードでの決済は週に1回ぐらいしかありません。この場合は対象外でいいですよね？』

10

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません加盟店／決済サービスプロバイダの要件
PCIDSS はカード会員データを保存、処理、伝送するすべての加盟店やサービスプロバイダが準拠する必要がある
業態

11

レベル決定条件

準拠要件

認定機関

加盟店レベル 1

年間トランザクション600万件以上• 毎年のオンサイト審査• 外部IPアドレスに対する四半期ごとのスキャン• 認定セキュリティ機関 (QSA:
Qualified Security Assessor)
または内部監査者(組織の役員の署名がある場合)• 認定スキャニングベンダー (ASV:Approved Scan Vendor)

加盟店レベル 2

年間トランザクション100万件以上600万件未満

加盟店レベル 3

年間電⼦商取引トランザクション2万件以上100万件未満• 毎年の⾃⼰問診票• 外部IPアドレスに対する四半期ごとのスキャン• 加盟店 (⾃⼰査定)• 認定スキャニングベンダー (ASV:
Approved Scan Vendor)

加盟店レベル 4

年間トランザクション100万件未満または電⼦商取引2万件未満• 毎年の⾃⼰問診票• 外部IPアドレスに対する四半期ごとのスキャン• 加盟店 (⾃⼰査定)• 認定スキャニングベンダー (ASV:
Approved Scan Vendor)

サービスプロバイダ
レベル 1

年間トランザクションが30万件を超える• 毎年のオンサイト審査• 外部IPアドレスに対する四半期ごとのスキャン• 認定セキュリティ機関 (QSA:
Qualified Security Assessor)• 認定スキャニングベンダー (ASV:Approved Scan Vendor)

サービスプロバイダ
レベル 2

年間トランザクション30万件以下• 毎年の⾃⼰問診票• 外部IPアドレスに対する四半期ごとのスキャン• サービスプロバイダ (⾃⼰査定)• 認定スキャニングベンダー (ASV:Approved Scan Vendor)

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できませんよくある誤解②
すべてアウトソースしているので⾃社として準拠の必要はないある加盟店担当者の声『弊社のECサイトはシステムから運⽤まですべてアウトソースしていて、社内にはカード番号も保管していません。この場合は準拠する必要がないですよね？』

12

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できませんアウトソース先サービスプロバイダに対する要件
アウトソース先サービスプロバイダの PCIDSS 準拠状態を管理・監督する義務は残る
No要件

12.8

カード会員データがサービスプロバイダと共有される場合は、次の項⽬を含め、サービスプロバイダを管理するポリシーと⼿順を維持および実装する。

12.8.1

サービスプロバイダのリストを維持する。

12.8.2

サービスプロバイダは、プロバイダが、顧客に代わって所有、保存、処理、送信するカード会員データのセキュリティについて、または顧客のカード会員データのセキュリティに影響を与える範囲について責任を持つことを認める内容の書⾯による契約書を維持する。
注: 同意の正確な⾔葉づかいは、提供されるサービスの詳細、各事業体に割り当てられる責任など、2 つの事業体間の同意よって異なります。同意の正確な⾔葉づかいに、この要件で提供されているのと同じものを含める必要はありません。

12.8.3

契約前の適切なデューデリジェンスを含め、サービスプロバイダとの契約に関するプロセスが確⽴されている。

12.8.4

少なくとも年に⼀度、サービスプロバイダのPCI DSS準拠ステータスを監視するプログラムを維持する。

12.8.5

各サービスプロバイダに対し、どのPCI DSS要件がサービスプロバイダによって管理され、どのPCIDSSが事業体によって管理されるかについての情報を維持する。

13

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できませんよくある誤解③
PCIDSS への準拠はIT部⾨に任せておけばよい

ある加盟店担当者の声『PCIDSSはデータの保護が⽬的なので、総務部の私には関係ないですよね？』

14

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません

PCIDSS準拠の維持に必要な活動
技術的対策以外にも教育や⼊退室管理など、組織全体に渡る対応が必要です
運⽤領域

頻度

常時要件５
• アンチウイルス定義の更新

１⽇ごと
要件１０
• すべてのシステムコンポーネントのログ確認

技術的１週間ごと
要件１１•重要ファイルの整合性監視

１ヶ⽉ごと
要件６
•重要なセキュリティパッチのインストール

３ヶ⽉ごと

１年ごと

要件３
• 不要なカード会員データの削除

要件３• キー暗号化キーの変更（推奨）要件１０• 監査証跡のオンライン保管

要件６• Webアプリケーション脆弱性診断

要件１１• 不正な無線アクセスポイントの検出• 外部脆弱性スキャン（ASVによるスキャン）• 内部脆弱性スキャン

要件１０• 監査証跡のオフライン保管
要件１１• 外部/内部ペネトレーションテスト

６ヶ⽉ごと
要件１
• ファイアウォール設定のレビュー

要件８•不要なアカウントの削除、パスワードの変更

常時⼈的
物理的

15

要件１２
• セキュリティ警告への２４時間対応体制

Confidential

３ヶ⽉ごと
要件９
• 監視カメラ記録の保管• 訪問者記録の保管

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

１年ごと
要件９
• 物理媒体保管場所と在庫チェック
要件１２• 情報セキュリティポリシーのレビュー• 情報セキュリティ教育と同意• 外部委託先のPCI準拠ステータス確認• インシデント対応計画のテスト

PCIDSS 要件ドメインごとの課題や落とし⽳

16

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

要件① カード会員データを保護するために、ファイアウォールをインストールして構成を維持する
ファイアウォールに求められる主な機能(要件1.3.6) ステートフルインスペクション(要件1.3.8) ネットワークアドレス変換(NAT)(要件1.3.4) アンチIPスプーフィング

v3

注意!!

IPスプーフィングとは・・・機能として持っていても、デフォルトで有効になっていなかったり、正しく設定されていなければ当然⾮準拠

内部IPアドレスを詐称することで、本来外部からはアクセスできないはずの内部システムに不正にアクセスしようとする⾏為
攻撃者が本来のアドレス(208.89.41.129)を内部アドレス(10.10.1.129)に詐称して不正アクセス

Internet

内部ネットワークアドレス(10.10.1.0/16)
FW17

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件② システムパスワードおよび他のセキュリティパラメータにベンダ提供のデフォルト値を使⽤しない(要件2.1)• ベンダ提供のデフォルト値を変更する• 不要なデフォルトアカウントは無効にする• OSだけでなく、ネットワーク機器やアプリケーションの管理者パスワードも変更• 無線アクセスポイントへの接続パスワードも変更• SNMPコミュニティストリングを『public/private』 のままにしない• OSのGuest アカウントやアプリケーションのデモユーザーは無効にする

18

Confidential(要件2.2.3) 安全性の低いサービスを保護する••••

FTPは利⽤せず、SFTPを利⽤する
Anonymousアクセスは許可しない
管理共有を無効にする
暗号化されていないファイル共有プロトコルは使⽤しない （SMB3.0やSharepointなどを活⽤する）

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件③ カード会員データを保護する
コールセンターにおける会話録⾳時の注意
⼤原則(要件3.1) 不要なCHDは保存しない(要件3.2) オーソリ後はSADを保存しない
CHD – Card Holder Data (カード会員番号など)
SAD – Sensitive Authentication Data (CVV/CV2など)

アナログ？

19

Confidential

録⾳

デジタル？

ポイント

システム的にCHDが検索可能ならスコープ内であり、対策が必要
CHD

SAD

(カード会員データ)(センシティブ認証データ)

アナログ

録⾳可
(スコープ外)録⾳可(スコープ外)デジタル

録⾳可(スコープ内)録⾳不可(スコープ内or外)

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件④ オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する(要件4.1) 公共ネットワークでの通信は強⼒な暗号化とセキュリティプロトコルで保護する• 決済ページはすべてHTTPS(SSL)だから保護できている• リモート管理にはSSHを利⽤しているから安全• 無線通信はWEPで暗号化しているから盗聴されない• SSLはバージョン3.0以上またはTLS
バージョン1.0以上を利⽤している• SSHはバージョン2.0以上を利⽤している• 無線通信はWPA2 – PSK(AES)で暗号化している注意!!

『暗号化プロトコルを使っている』＝『準拠』 ではない。
※ こうした脆弱なプロトコルを使⽤している場合、そもそもASVによる外部ネットワーク脆弱性スキャンをパスできない可能性が⾼い。

20

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑤ すべてのシステムをマルウェアから保護し、ウィルス対策ソフトウェアまたはプログラムを定期的に更新する(要件5.1.2) 悪意のソフトウェアに影響されないとみられているシステムでも、定期的にマルウ
v3
ェアの脅威を評価し、ウイルス対策ソフトウェアが必要ないか判断する• Linux/Unix 系、Mac OS 系はこれに該当すると考えてよい(最近ではスマホやタブレット⽤OSの考慮も必要。 特にAndroidは悪意のソフトウェアに影響され”やすい”システムとして、ウイルス対策が必須となる要件5.1.1を適⽤する⽅が好ましい。)• ウイルス対策ソフトウェアの導⼊は必須ではないが、マルウェア脅威の定期評価が必要
つまり・・・

脆弱性評価機関（JPCERT/JVN/CVEなど）やアンチウイルスベンダー、OS開発元などが公開する各種セキュリティ情報を⼊⼿し、評価する取り組みが必要（実際に、Linux/Unix/Mac OSに感染するウイルスやワームも存在する）
21

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑥ 安全性の⾼いシステムとアプリケーションを開発し、保守する(要件6.4.2) 開発/テスト環境と本番環境での責務の分離
開発環境と本番環境の責務/担当者を分ける必要があるが、、、
実際は・・・
開発者が本番環境の保守も担当しているケースが⾮常に多い（弊社経験則では、ほぼ100％！！）
準拠するには•••

22

開発担当者とは別に運⽤担当者をアサインし、役割を明確に分担することがベスト担当者の分離が困難な場合、開発担当者が不正に本番環境を変更できないよう、作業承認プロセスを徹底する
不正や不注意による変更が発⽣した際に、担当者や原因を追跡できるよう、ID管理とログ取得を厳格に実施する
Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑦ カード会員データへのアクセスを、業務上必要な範囲内に制限する
アクセス権限定義のベストプラクティス(要件7.1.1) 各役割のアクセスニーズを定義する

各役割が職務上アクセスする必要のあるシステムとデータリソースへのアクセスに必要な特権レベル

••

ポイント
アクセスコントロ ルマトリクス
23

役割ごとのアクセス制御（RBAC: Role Base Access Control）
⼿法に基づく定義表（ACM: Access Control Matrix）をつくる
役割

PCIDSSスコープ内

PCIDSSスコープ外決済アプリ

データベース

開発環境

CRMアプリ

会計アプリ

ファイルサーバ

セキュリティマネージャー

―

ユーザ

ユーザ

特権

特権

ユーザ

システムマネージャー

特権

特権

特権

―

―

特権

オペレーター

ユーザ

特権

―

―

―

ユーザ

プログラマー

ユーザ

ユーザ

特権

―

―

ユーザ

ファイナンスマネージャー

ユーザ

ユーザ

―

ユーザ

特権

ユーザ

ファイナンススタッフ

ユーザ

―

―

ユーザ

ユーザ

ユーザ

その他⼀般従業員

―

―

―

ユーザ

―

ユーザ

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑧ システムコンポーネントへのアクセスを確認・許可する(要件8.1.1) すべてのユーザに⼀意のIDを割り当てる管理者アカウントを共有していませんか？
Admin アカウント

ユーザA ユーザB

ユーザC

Administrator グループ

アカウントA アカウントB アカウントC(要件8.2.2) パスワードリセット前にユーザの⾝元を確認する
パスワードリセットが簡単すぎませんか？
⾮対⾯式の場合、ヘルプデスクに⽒名とアカウント名を伝えるだけでは簡単になりすましができてしまう
ポイント
24

Confidential

本⼈以外知ることが難しい情報（パスポート番号、保険証番号）やあらかじめ設定した秘密の質問と答えなどを利⽤する。

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません

v3

要件⑨ カード会員データへの物理アクセスを制限する(要件9.5) すべての媒体を物理的に保護する• 対象にはレシートの控えやFAX、郵便物なども含まれるが、電⼦媒体ほど厳重に管理されていないケースが多く、権限のない従業員やメンテナンス業者が不正に盗み取ってしまうリスクがある
対策
例25

•
•

Confidential

カード決済業務に関与しない他部署とコピー機やファックスを共⽤しない
パスコード⼊⼒やeFAXなどを使って受信者本⼈しか受け取れないようにする

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑩ ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
統合ログ管理システムは事実上必須？
(要件10.5.3) 監査ログは、⼀元管理ログサーバまたは媒体に即座にバックアップする(要件10.6.1) 毎⽇⼀度以上ログをレビューする•••

すべてのセキュリティイベント
すべての重要なシステムコンポーネントのログ
ファイアウォール/IDS/IPS/認証サーバ/ECサーバなどのログ

これらをすべてマニュアルで実現するのは困難

時刻同期に関する注意(要件10.4.3) 時刻は、業界認知されたソースから受信するプロバイダが提供するものや、国内であればnict.go.jp、海外であればntp.orgなどを参考に、上位NTPサーバを指定
26

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑪ セキュリティシステムおよびプロセスを定期的にテストする
定期スキャン実施に関する注意(要件11.1) 四半期ごとにワイヤレスアクセスポイントを検出するプロセスを実施する
注意!!

カード会員データ取扱い環境で無線デバイスを使⽤していな
くても、不正なアクセスポイントが設置されていないか定期的にスキャンする必要がある※ 無線IDS/IPSやネットワークアクセス制御(NAC)でも代替可能(要件11.2.1) ⾼リスク脆弱性がなくなるまでスキャンを繰り返す(要件11.3.3) 悪⽤可能な脆弱性の修正をテストして確認する• 脆弱性がないことを確認して初めて脆弱性スキャンやペネ
トレーションテストを1回分完了したとみなすことができる※ 再診断や再テストは実施回数にカウントされない
27

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません要件⑫ すべての担当者の情報セキュリティに対応するポリシーを維持する
教育実施に関する注意点(要件12.6.2) 担当者は、年に⼀度セキュリティポリシーおよび⼿順を読み、理解したことを認める必要がある• ただ単に教育を受講した、ということだけでは不⼗分• 明⽰的に書⾯での同意または電⼦的な署名が必要(要件12.10.4) セキュリティ違反への対応を担当するスタッフに適切なトレーニングを提供する。
• ここでいうトレーニングは、⼀般的な情報セキュリティ教育ではない• インシデントレスポンスに必要な、問題の特定、被害拡⼤防⽌、証拠保全、原因究明、復旧、事後分析といった⼀連の活動に必要なスキルの習得を⽬的としたもの
28

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません全要件 – ⽂書化に関する要求事項
ドメイン要件1

1.5 ファイアウォールの管理に関する
セキュリティポリシーと操作⼿順が⽂書化および使⽤されており、影響を受ける関係者全員に知らされていることを確認する。

2

2.5 ベンダデフォルト値およびその他のセキュリティパラメータの管理に関するセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

3

3.7 保存されているカード会員データを保護するためのセキュリティポリシーと操作⼿順が⽂書化および使⽤されており、影響を受ける関係者全員に知られていることを確認する。

4

4.3 カード会員データの伝送を暗号化するためのセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

55.4 マルウェアからシステムを保護するためのセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

6

6.7 セキュアシステムとアプリケーションを開発・保守するためのセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

7

7.3 カード会員データへのアクセスを制限するためのセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

8

8.8 識別と認証に関するセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

99.10 カード会員データへのアクセスを制限するためのセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

1010.8 ネットワークリソースとカード会員データへのすべてのアクセスを監視するためのセキュリティポリシーと操作⼿順が⽂書化され、使⽤されており、影響を受ける関係者全員に知られていることを確認する。

1111.6 セキュリティ監視とテストに関するセキュリティポリシーと操作⼿順が⽂書化されて使⽤されており、影響を受ける関係者全員に知られていることを確認する。

1212.1 セキュリティポリシーを確⽴、公開、維持、普及させる

29

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません

注意!!

全ての要件について⽂書化が必要！

Dell SecureWorks
PCI DSS サービス30

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

PCIDSS ギャップ分析のススメ
準拠⽀援コンサルテーション (≒ギャップ分析)
STEP ①
カード会員データの特定とスコープの限定••••

STEP ②
現状分析

カード会員データ
取扱い環境の把握•

ITコンポーネントの洗い出し•

ネットワークセグメ
ンテーションの検討•

準拠対象範囲の特定

1~2ヶ⽉
31

Confidential

準拠対象範囲におけるギャップ分析※各STEPの必要期間は、対象環境の規模や現状セキュリティ対策状況によって⼤きく変動する可能性があります。

STEP ④

STEP ③
改善策の実⾏とソリューションの実装•

ギャップ分析結果に基づく改善作業の実施

発⾒事項に対する推奨改善策の提⽰-

改善策実装に関する推奨ロードマップの策定--など

規程の策定・改訂
システム導⼊設備導⼊教育の実施
脆弱性スキャン1~12ヶ⽉
本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

準拠審査

•模擬審査

•PCIDSS準拠
認定審査など証跡の収集
インタビュー
実地監査
準拠報告書(ROC)と準拠証明書(AOC)の提出

1~2ヶ⽉

PCI DSS 改善作業および準拠維持に関する⽀援
ギャップ分析で発⾒された改善事項を実⾏するにあたり、弊社はPCI認定機関としての豊富なソリューションやコンサルティング、全体のプロジェクトマネジメントなどを提供することができます

Confidential

個別対策が必要な課題…

課題を解決する個別ソリューション
導⼊・インテグレーション
運⽤

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できません。

規則

End-to-End Security Solutions & Services

32

物理セキュリティ

セキュリティ監視サービス

アイデンティティ管理• SecureWorks

アクセス制御インフラストラクチャ
コンサルティングサービス

セキュリティ統制・ポリシー・戦略・設計
クライアントセキュリティ

SonicWALL
KACE
Wyse
Quest
DDPE
Etc.
+• 3rd Vendor• SecureWorks
••••
•
•

IT
ネットワークセキュリティ

コンサルティング

End-to-End Security Solutions & Services• SecureWorks

お客様が⽬指す結果・⽬標 (PCIDSSへの準拠)

Dell SecureWorks の PCIDSS サービス概要
Dell SecureWorksは、PCI DSS への準拠および準拠後のセキュリティ環境維持に必要な各種サービスを⼀貫して提供可能です

SRC
セキュリティ＆リスクコンサルティング
アセスメントや審査、ポリシー策定

MSS
マネージドセキュリティサービス
⽇々の監視・管理や改善作業• ギャップ分析• 模擬審査• 審査と準拠報告書 (ROC: Reporton Compliance) 作成• ⾃⼰問診 (SAQ: Self-AssessmentQuestionnaires) 作成⽀援
• 準拠計画策定とプロジェクト管理• ペネトレーションテスト

• PCI認定脆弱性スキャン• ログ監視と管理• 侵⼊検知と監視管理• ファイアウォール監視管理• 脆弱性管理• セキュリティ脅威動向とリスクトレンド配信

すべてのサービスは、弊社が誇る世界有数のセキュリティ脅威調査チーム CTU(Counter Threat Unit) の監修により、常に最新のセキュリティ技術動向を反映した効果的なソリューションです。
33

Confidential

本⽂書は、弊社の事前の承諾なくして第三者に開⽰できませんご清聴いただきまして、誠にありがとうございました

この⽂書についてこの⽂書の著作権はデル株式会社に帰属します。
デルの許可無く⼀部または全体の複製・転載・編集等を⾏うことや、許可されていない第三者への開⽰等の⾏為全てを禁⽌します。
本⽂中使⽤されている企業名、製品名、商標などはそれを保持する企業・団体に帰属します。
この⽂章に記載されている仕様は、2014年7⽉現在のものであり、予告なく変更される場合があります。
最新の仕様については、弊社営業またはホームページにてご確認下さい。
© Copyright 2014 Dell Japan Inc.