「PCI DSS v3.0準拠対応事例と関連サービスのご紹介」～まだ間に合う！情報システムに対する早く正確なFIT＆GAPの秘訣～

TIS株式会社
IT基盤サービス第4部 シニアエキスパート
三木 基司
Copyright © 2014 TIS Inc. All rights reserved.

PCI DSSセキュリティフォーラム2014
2014.07.29

IT基盤サービス第1事業部 IT基盤サービス第1営業部
IT基盤サービス第1事業部 IT基盤サービス第4部

Copyright © 2014 TIS Inc. All rights reserved.

自己紹介
氏 名 三木 基司 （ミキ モトジ）
略 歴
1987年 長銀情報システム（株） 入社（現ＴＩＳ）
・ 通産省の安全対策基準認定事業所制度の対応
2000年 2000年問題を契機に情報セキュリティの必要性を痛感
・ イスラエルのCOMSEC Consulting社において、BS7799による情報セキュリティコンサルティング技術を修得
・ セキュリティコンサルティング会社を立上（国内企業のISMS・PMS取得支援、セキュリティ対策支援）
2003年 MasterCard様のSDP（Site Data Protection）ベンダとしてクレジットカード会社のセキュリティ対策を支援
2004年 PCI DSS制度の立上り時期より国内普及活動へ協力中
保有資格

公認情報セキュリティ主任監査人
PCIDSS認定コンサルタント
ISO27001審査員補
ネットワークスペシャリスト
情報セキュリティアドミニストレータ
防犯設備士
CSPM of Technical認定講師

参加団体

日本カード情報セキュリティ協会 日本情報セキュリティ監査協会

Copyright © 2014 TIS Inc. All rights reserved.

（日本セキュリティ監査協会）（国際マネジメントシステム認証機構）（日本規格協会）（経済産業省）（経済産業省）（警察庁所管 日本防犯設備協会）（SEA/J）

3

ＴＩＳ株式会社のご紹介◆ 認定ＡＳＶ事業者として対象システムのセキュリティ対策全般をご支援◆ ＳＩ事業のノウハウを活かし、最適なソリューションの組合せをご提供
PCI SSC

認定

認定

Payment Card Industry Security Standards Council

PCI DSSの維持、管理、普及活動を実施

共同設立
国際クレジットカードブランド5社
VISA､MasterCard､American Express､JCB､Discover

報告

準拠要請

クレジットカード会社様報告
審査要請

加盟店
百貨店，スーパー，レストラン，小売店，ECサイト様Copyright © 2014 TIS Inc. All rights reserved.

報告

要請

プロセッサ
決済代行事業者，業務代行事業者様

ＡＳＶ
スキャン
準拠の支援
4

ASVクラウドサービスリリースのご案内

Copyright © 2014 TIS Inc. All rights reserved.

5

PCI DSS普及までのあゆみ
昨年は、クレジットカード会社様のPCI DSS準拠対応が本格化【PCI DSS普及のポイント】
ポイント１

2004年 国際カードブランド5社による、業界のセキュリティ標準が誕生！
・その後、国内では一部組織を除き、数年間は認知さえされていない状況～ PCI DSSに対する認知度、準拠への取組みは停滞 ～ポイント２

2012年 日本クレジット協会が準拠の実行計画を公表「日本におけるクレジットカード情報管理強化に向けた実行計画」
・ 具体的な目標感が定まった
・ 勉強会やPCI DSS完全準拠を意識した行動計画の作成が始まった

ポイント３

2013年 PCI DSS ver3.0 の公開
・ 様子見のクレジットカード会社様でもPCI DSS準拠対応の機運高まり
・ 先行するクレジットカード会社様では、取組み範囲を一部から全体へ拡張
・ 他業種組織でもPCI DSSをセキュリティ評価基準に取込む動き

Copyright © 2014 TIS Inc. All rights reserved.

6

Ⅰ．

Copyright © 2014 TIS Inc. All rights reserved.

序章

7

１．情報システムのセキュリティ対策(現在）

Copyright © 2014 TIS Inc. All rights reserved.

8

２．日々狙われるクレジットカード情報

外部環境

内部環境

情報システムの管理部門およびその担当者は、次々と発生する内外のセキュリティ問題に素早く対応しなければならない状況
Copyright © 2014 TIS Inc. All rights reserved.

9

３．今、見直すべきセキュリティ対策①◆ これまでのセキュリティ対策は、「抑止・予防」、「防御」に力が注がれてきた。
◆ 今後のセキュリティ対策は、脅威の発生をいち早く 「検知」 、発生した場合有効な対処（フォレンジックスによる原因や影響調査）を施し、速やかに回復をさせることが重要になってきている。
・利用者認証方式強化（２因子認証）・パスワード強化

予防（桁数、文字種、変更サイクル）・アクセス制御強化

回復

検知・改ざん検知

・追跡に必要なログ保全（サーバ、DB、NW機器）
・安全なバックアップの確保

Copyright © 2014 TIS Inc. All rights reserved.

保全

防御・ログのチェック- 同一アドレスからのアクセス集中- 連続した認証失敗- トラフィック量の急激な変化- システム設定値の変更
10４．今、見直すべきセキュリティ対策②◆ たとえＩＳＭＳやプライバシーマークの認証を得ていても、対策としてはまだまだ安心できるレベルでは、ないかもしれません。
◆ 例えば、PCI DSSでは、システムへアクセスするためのユーザＩＤ管理を以下のように規定しています。
【PCI DSS要件によるセキュリティ要求事項の例】✓ ９０日ごとに非アクティブなユーザアカウントを削除/無効する。(8.1)✓ 保守用ユーザＩＤは、通常無効化。必要な期間内だけ有効化する。(8.1)✓ 連続パスワード試行時の６回以下でのロックアウト制御する。(8.1)✓ パスワードは７文字以上とする。(8.2)✓ 英数を含むパスワードを使用する。(8.2)✓ ９０日以内のパスワード変更サイクルとする。(8.2)✓ ４世代分のパスワード再利用設定を禁止する。(8.2)✓ 初期パスワードおよびリセットパスワードを一意化する。(8.2)
Copyright © 2014 TIS Inc. All rights reserved.

11

５．本フォーラムにてお伝えしたいこと◆ 当社が過去に行なった、これまでのフォーラム講演では、その時の時流に応じたメッセージを発信してきました。

過去のセキュリティフォーラムでお伝えしたこと。
2012年 「PCI DSS要件について、よくある課題を事例に理解しましょう」
2013年 「PCI DSS準拠対応は対象範囲の明確化から始めましょう」
今年のメッセージ ：この一年間で、PCI DSS準拠の必要性はグンっとアップ！しています。
但し、２０１８年３月を期限とするとシステム対応時間は残り少ないです。
まずは情報システム強化のための予算感を掴み、期限内にどのように準拠対応を進めていけるのかを検討する材料を揃えることです。
ポイントとなるのは、現場負担の少ないギャップ分析と情報システムの運用負荷をこれ以上増やさないツールありきの運用検討だと考えます。
Copyright © 2014 TIS Inc. All rights reserved.

12

Ⅱ．

Copyright © 2014 TIS Inc. All rights reserved.

ＰＣＩ ＤＳＳ要件とは
（復習）

13

６．PCI DSS要件概要
要件1： データを保護するためにファイアウォールの導入をし、最適な設定を維持すること
要件2： システムまたはソフトウエアの出荷時の初期設定値をそのまま利用しないこと

1

要件12： 情報セキュリティに関するポリシーを保持すること安全なネットワークの構築・維持
62

情報セキュリティ・ポリシーの整備

カード会員
データの保護5
要件10： ネットワーク資源およびカード会員情報に対するすべてのアクセスを追跡し、監視すること
要件11： セキュリティシステムおよび有事の対応手順を定期的にテストすること

PCIDSS概要（セキュリティ要求事項）

3

脆弱性を管理するプログラムの整備

定期的なネットワークの監視およびテスト
4

要件3： 保存されたデータを安全に保護すること
要件4： 公衆ネットワーク上でカード会員情報・センシティブ情報を送信する場
合、暗号化すること

要件5： アンチウイルスソフトを利用し、定期的にソフトを更新すること
要件6： 安全性の高いシステムとアプリケーションを開発し、保守すること強固なアクセス制御手法の導入

要件7： 業務目的別にデータアクセスを制限すること
要件8： コンピュータにアクセスする際、利用者毎に識別IDを割り当てること
要件9： カード会員情報にアクセスする際、物理的なアクセスを制限すること
Copyright © 2014 TIS Inc. All rights reserved.

14

７．PCI DSSとシステム構成要素の関係
要件１１ セキュリティ対策の定期点検
要件６ アプリケーション脆弱性

アプリケーション
業務ソフトウェア

要件２
要件７
要件８
要件１０

デフォルトＩＤの使用禁止
アクセス制限ユーザID／Passの管理
アクセスログの記録と監視

アンチウィルス

ミドルウェア
DBAP

WEB

OS
ハードウェア（サーバなど）

要件５ ウイルス対策
要件１ FWの構成

要件３ 個人情報のデータ保護

要件９
物理的なアクセス制限
要件１１ 外部脆弱性スキャン
要件１２ 運用の記録と手順の確認
Copyright © 2014 TIS Inc. All rights reserved.

IDS/IPSFW
Internet

要件１１ 内部脆弱性スキャン

要件４ 通信の暗号化

15

８．情報システム強化視点から見たver3.0◆ PCI DSS要件は、ver2.0→ver3.0となりましたが情報システムの強化・改修検討への影響は少ないです。
PCI DSSver3.0の変更は、208件あります。
・追加要件 ・・・ 新たに追加された要件（17件）
・発展型要件・・・ ver2.0の要件にさらに要求を加えた要件（40件）
・明確化要件・・・ ver2.0ではあいまいだった点を具体化した要件（151件）■追加要件： 主にシステム責任者がシステムを把握していることを確認する為に追加された要件。
情報システム構築に対する要件ではないため、情報システムの強化・改修には影響はありません。
■発展型要件 ： 実装時のセキュリティレベル向上を要求する要件。
本要件の対応については、設計書、手順書の内容をしっかりと実装することです。
■明確化要件 ： ver2.0であいまいであった点を具体化した要件。
PCI DSS要件を運用手順書などに正しく反映させることです。
特別なことを要求されているわけではないため、通常の対応範囲内です。
Copyright © 2014 TIS Inc. All rights reserved.

16

Ⅲ．

Copyright © 2014 TIS Inc. All rights reserved.

PCI DSSについてよく聞く話
現状と解決策のご提案

17

９．PCI DSS準拠対応検討前の課題【PCI DDS準拠対応について、よく聞く課題？】
とにかく対応する要件数が多すぎる「大変そう」

どの要件を誰に聞けばよいのか解らない「チェックに時間が掛かりそう」

何を確かめるのか解りづらい「解り難そう」

いったい幾らコストが掛かるのか不安「とにかくコストが掛かりそう」【ＴＩＳからのご提案】◆ 「～そう」 の仮定が邪魔をして、なかなか検討が進まないことはないですか？

◆ PCI DSS要件は、情報システムに対するセキュリティ標準です。
◆ 情報システムの強化が必要なのかどうか、的を絞ってチェックしましょう！
Copyright © 2014 TIS Inc. All rights reserved.

18

ご提案１：

１０．情報システムの現状確認①
PCIDSS要件（V3.0)

要件区分

ギャップ分析評価対象システム記入欄

対応チーム

TIS記入欄

システム上の対応状況確認
要件 Ver3.0※公開されている情報です。

テスト手順 Ver3.0

確認ポイント※公開されている情報です。

※TISによる補足です。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.a
会員データを伝送するワイヤレス環境の場合、インストール時にすべてのワイヤレスベンダのデフォルト値を変更する。これには、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコミュニティ文字列が含まれるが、これらに限定されない。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.b 2.1.1.b 担当者をインタビューし、ポリシーと手順を調べることで、以 ワイヤレス関連文書に以下の記載があることを確認する。
会員データを伝送するワイヤレス環境の場合、インストール時下を確認する。
• デフォルトの SNMP コミュニティ文字列をインストール後に変更するにすべてのワイヤレスベンダのデフォルト値を変更する。これに• デフォルトの SNMP コミュニティ文字列をインストール後に変更す 必要があること
は、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコる必要があること。
• アクセスポイントのデフォルトのパスワード/パスフレーズをインストール
ミュニティ文字列が含まれるが、これらに限定されない。
• アクセスポイントのデフォルトのパスワード/パスフレーズをインストー ごとに変更する必要があること
ルごとに変更する必要があること。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.c
会員データを伝送するワイヤレス環境の場合、インストール時にすべてのワイヤレスベンダのデフォルト値を変更する。これには、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコミュニティ文字列が含まれるが、これらに限定されない。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.d 2.1.1.d ベンダ文書を調べ、ワイヤレス構成設定を観察して、ワイ ベンダ文書を調べ、ワイヤレス構成設定を観察して、ワイヤレスデバイ
会員データを伝送するワイヤレス環境の場合、インストール時
ヤレスデバイスのファームウェアが、以下の強力な暗号化をサポートす スのファームウェアが、以下の強力な暗号化をサポートするために更新にすべてのワイヤレスベンダのデフォルト値を変更する。これにるために更新されていることを確認する。
されていることを確認する。
は、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコ• ワイヤレスネットワーク経由での認証• ワイヤレスネットワーク経由での認証
ミュニティ文字列が含まれるが、これらに限定されない。
• ワイヤレスネットワーク経由での送信• ワイヤレスネットワーク経由での送信（設計書、またはベンダ提供文書で確認できること）

構成/設定

2.1.1.a 担当者をインタビューし、関係文書を調べて、以下を確認 ワイヤレス関連文書に以下の記載があることを確認する。
する。
• 暗号化キーがインストール時のデフォルトから変更されていること• 暗号化キーがインストール時のデフォルトから変更されていること。 • 暗号化キーの知識を持つ人物が退社または異動するたびに、その• 暗号化キーの知識を持つ人物が退社または異動するたびに、その キーが変更されていることキーが変更されていること。

2.1.1.c システム管理者の協力を得て、ベンダ文書を調べ、ワイヤレスデバイスにログインして、以下を確認する。
• ワイヤレスデバイスのデフォルトの SNMP コミュニティ文字列が変更されていないこと。
• アクセスポイントのデフォルトのパスワード/パスフレーズが変更されていること。

実際のQSA監査チェック経験から得た情報を記載

システム管理者の協力を得て、ベンダ文書を調べ、ワイヤレスデバイスにログインして、以下を確認する。
• ワイヤレスデバイスのデフォルトの SNMP コミュニティ文字列が変更されていないこと• アクセスポイントのデフォルトのパスワード/パスフレーズが変更されていること（設計書、および実機のコンフィグまたはの画面キャプチャで確認できること）

文書化

○○

○

アプリケー
インフラション

○

PCI
DSS
運用

０：未対応
１：一部対応２：対応済み確認内容※左欄の「現状確認結果」の理由を記入してください。

評価結果

改善方針

✔

システム化要件の絞込み部分です○○

ｲﾝﾀﾋﾞｭｰ

運用ﾌﾟﾛｾｽ

現状確認結果

✔

○

✔

○

✔

お客様にご記入いただく部分です

当社からのご返答部分です

ポイント１： ＰＣＩ DSSver3.0の要件1～12における詳細項目のうち、情報システムに関連する項目に絞り込みチェック可能です。

ポイント２： 要件項目ごとにリスク対応の目的と何を確認すれば良いのか具体的なチェック方法が解ります。
ポイント３： 当社コンサルタントがQSAと共に記載内容を確認し、評価を報告を作成、返答します。
Copyright © 2014 TIS Inc. All rights reserved.

19

ご提案１：

１１．情報システムの現状確認②
ポイント４： まずは、システム強化が必要な「要件は何か？」に答えを出します。
PCIDSS要件（V3.0)

要件区分

ギャップ分析評価対象システム記入欄

対応チーム

TIS記入欄

システム上の対応状況確認
要件 Ver3.0※公開されている情報です。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.a
会員データを伝送するワイヤレス環境の場合、インストール時にすべてのワイヤレスベンダのデフォルト値を変更する。これには、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコミュニティ文字列が含まれるが、これらに限定されない。

テスト手順 Ver3.0

確認ポイント※公開されている情報です。

※TISによる補足です。

構成/設定

2.1.1.a 担当者をインタビューし、関係文書を調べて、以下を確認 ワイヤレス関連文書に以下の記載があることを確認する。
する。
• 暗号化キーがインストール時のデフォルトから変更されていること• 暗号化キーがインストール時のデフォルトから変更されていること。 • 暗号化キーの知識を持つ人物が退社または異動するたびに、その• 暗号化キーの知識を持つ人物が退社または異動するたびに、その キーが変更されていることキーが変更されていること。

PCIDSS要件の対応状況を確認する とき の 観点で は不明瞭なところに対し、これまでの監査の対応実績からTISが補足させていただいている部分です。
【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.b 2.1.1.b 担当者をインタビューし、ポリシーと手順を調べることで、以 ワイヤレス関連文書に以下の記載があることを確認する。
会員データを伝送するワイヤレス環境の場合、インストール時下を確認する。
• デフォルトの SNMP コミュニティ文字列をインストール後に変更するにすべてのワイヤレスベンダのデフォルト値を変更する。これに• デフォルトの SNMP コミュニティ文字列をインストール後に変更す 必要があること
は、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコる必要があること。
• アクセスポイントのデフォルトのパスワード/パスフレーズをインストール
ミュニティ文字列が含まれるが、これらに限定されない。
• アクセスポイントのデフォルトのパスワード/パスフレーズをインストー ごとに変更する必要があること
ルごとに変更する必要があること。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.c会員データを伝送するワイヤレス環境の場合、インストール時にすべてのワイヤレスベンダのデフォルト値を変更する。これには、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコミュニティ文字列が含まれるが、これらに限定されない。

【要件２】システムパス 2.1.1
ワードおよびその他のセキュリティパラメータにベンダ提供のデフォルト値を使用しない

2.1.1 カード会員データ環境に接続されている、またはカード 2.1.1.d 2.1.1.d ベンダ文書を調べ、ワイヤレス構成設定を観察して、ワイ ベンダ文書を調べ、ワイヤレス構成設定を観察して、ワイヤレスデバイ会員データを伝送するワイヤレス環境の場合、インストール時ヤレスデバイスのファームウェアが、以下の強力な暗号化をサポートす スのファームウェアが、以下の強力な暗号化をサポートするために更新にすべてのワイヤレスベンダのデフォルト値を変更する。これにるために更新されていることを確認する。
されていることを確認する。
は、デフォルトのワイヤレス暗号化キー、パスワード、SNMPコ• ワイヤレスネットワーク経由での認証• ワイヤレスネットワーク経由での認証
ミュニティ文字列が含まれるが、これらに限定されない。
• ワイヤレスネットワーク経由での送信• ワイヤレスネットワーク経由での送信（設計書、またはベンダ提供文書で確認できること）

文書化

ｲﾝﾀﾋﾞｭｰ

運用
ﾌﾟﾛｾｽ

アプリケー
インフラション

○○

✔

○○

✔

PCI DSS要件がシステム構成要素の何を求めているのかを整理しています。

2.1.1.c システム管理者の協力を得て、ベンダ文書を調べ、ワイヤレスデバイスにログインして、以下を確認する。
• ワイヤレスデバイスのデフォルトの SNMP コミュニティ文字列が変更されていないこと。
• アクセスポイントのデフォルトのパスワード/パスフレーズが変更されていること。

システム管理者の協力を得て、ベンダ文書を調べ、ワイヤレスデバイスにログインして、以下を確認する。
• ワイヤレスデバイスのデフォルトの SNMP コミュニティ文字列が変更されていないこと• アクセスポイントのデフォルトのパスワード/パスフレーズが変更されていること（設計書、および実機のコンフィグまたはの画面キャプチャで確認できること）○○

要件区分構成/設定

文書化○PCIDSS運用

現状確認結果０：未対応
１：一部対応２：対応済み確認内容※左欄の「現状確認結果」の理由を記入してください。

評価結果

改善方針

✔

○

✔

ｲﾝﾀﾋﾞｭｰ

運用
ﾌﾟﾛｾｽ

対応チーム

アプリケー
ション

インフラ

PCI
DSS
運用

PCI DSS要件の現状を回答するチームを整理しています。
Copyright © 2014 TIS Inc. All rights reserved.

20

ご提案２：

１２．PCI DSS要件準拠度合いの確認
ポイント５： 評価の結果、PCI DSS要件への未準拠検出部分について12要件への準拠度合い(%)とPCI SSC指定のマイルストーンレベルの分布を判りやすく表示、PCI DSS要件への対策優先順位の検討にお役立てください。
準拠対応状況の偏りをレーダーチャートを使って分析。要件毎の評価
対象項目数に対する準拠度合いをパーセント換算してあります。

対象となる情報システムにおけるPCI DSS準拠のためのシステム化検討ポイントを記載しています。

未準拠の要件内容を確認し、PCI SSCが公表している要件の優先度（マイルストーン）※（下記参照）ごとに表示しています。
※ PCI SSCが公開している優先度（マイルストーン）
優先順位

1
2
3
4
5
6

リスク低減効果

大小目的

具体的実施策不必要な情報の削除

クレジットカード番号/機密認証データの削除

ネットワーク境界の保護

ネットワーク管理、セキュリティパラメータ設定
通信路の暗号化、ウィルス管理、脆弱性管理

アプリケーションの保護

サービスの制限、セキュリティパッチ適用
安全なアプリケーション開発

監視とアクセス制御

ID／PW管理、アクセス権限管理
ログ管理（監視含む）、ファイル整合性監視

保管データの保護

PANのマスキング・暗号化、媒体の保護

その他（文書化等）

ポリシ整備、運用手順書整備、運用確認書整備

PCI DSSの要求事項を導入した場合のリスク低減効果の大きさを根拠に６つの優先順位付けCopyright © 2014 TIS Inc. All rights reserved.

21

ご提案３：

１３．PCI DSS要件準拠対応方針
ポイント６： PCI DSS準拠のために必要な情報システムの強化方針に関する情報を検出したPCI DSS未準拠要件ごとに取り纏めご提供します。
【記載情報】・ PCI DSS要件が求めている強化策（オリジナル要件）
・ よくある代替コントロールの考え方
・ 関連ツールの情報

Copyright © 2014 TIS Inc. All rights reserved.

22

ご提案３：

１４．ツールによるPCI DSS準拠の検討①
ポイント７： セキュリティツールを対策目的ごとにマップ化した資料を使いツール・コンシェルジュが最適ツールの情報をご提供します。

Copyright © 2014 TIS Inc. All rights reserved.

23

ご提案３：

１５．ツールによるPCI DSS準拠の検討②

Copyright © 2014 TIS Inc. All rights reserved.

24

ご提案３：

１６．代替コントロールの考え方◆ 代替コントロールの採用にあたっては、代替策とその理由、代替策の運用方法、代替策の有効性をチェックする手順について整理する必要があります。（専用シートを使い上述情報の整理をご支援します。）

Copyright © 2014 TIS Inc. All rights reserved.

25

Ⅳ．

Copyright © 2014 TIS Inc. All rights reserved.

PCI DSS対応事例のご紹介

26

事例紹介：

１７．仮想化環境のウイルス対策

ESXに１つのVirtualApplianceをインストール
Virtual Applianceにパターンファイルを配信
Virtual Applianceで設定を一括管理
Copyright © 2014 TIS Inc. All rights reserved.

27事例紹介：

１８．クレジットカード情報の難読化◆ 暗号鍵管理用のハードウェアを使った暗号化対応のソリューション提供。

Copyright © 2014 TIS Inc. All rights reserved.

28

事例紹介：

１９．次世代ワンタイムパスワード認証◆ 急激に増えている中間者攻撃による不正送金を水際で阻止◆ 北米・南米・欧州で採用が始まっている。（邦銀は採用検討中）
１.画面上からトランザクションデータを読み取り
２.トランザクションデータ表示(振込額、口座等）
３.ユーザが目視確認
４.正しいことを確認してボタン押下、署名データが表示

署名データ生成ロジック:
トークン内部の160bits鍵(トークン毎にユニーク）＋時刻(GMT）＋トランザク
ション値

Copyright © 2014 TIS Inc. All rights reserved.

79803729

まとめ
今年のメッセージ ：この一年間で、PCI DSS準拠の必要性はグンっとアップ！しています。
但し、２０１８年３月を期限とするとシステム対応時間は残り少ないです。
まずは情報システム強化のための予算感を掴み、期限内にどのように準拠対応を進めていけるのかを検討する材料を揃えることです。
ポイントとなるのは、現場負担の少ないギャップ分析と情報システムの運用負荷をこれ以上増やさないツールありきの運用検討だと考えます。

一刻も早くシステム投資の予算感を掴みリスクの高いところから対策を行なっていく戦略的なセキュリティ対策が求められています
Copyright © 2014 TIS Inc. All rights reserved.

30

ご清聴ありがとうございました．．．

この資料は、著作権法と不正競争防止法上の保護を受けています。本書の一部あるいは全部について、TIS株式会社から文書による承諾を得ずに、いかなる方法においても無断で複写、複製、ノウハウの使用、企業秘密の展開等をすることは禁じられています。

●お問い合わせhttp://www.tis.co.jp

TIS株式会社

ＩＴ基盤サービス第１事業部 ＩＴ基盤サービス第４部
TEL ： 03-5337-4392
三木 基司 E-mail： miki.motoji@tis.co.jp