まず診断からはじめましょう！

PCI対策ソリューションのご紹介（自問自答形式）
2012年７月25日
三和コムテック株式会社

三和コムテック（株）って、どんな会社？

PCI DSSでは、「ASV /McAfee SECURE」と思われています。

2

なぜですか？

恐らく、国内でのASV診断実績(2007年～）や利用社数では、NO.1だと思います。

でも……、
3

それだけじゃ、ないんですか？

最近では、診断のみならず、WAFサービスや暗号化など、他のPCI対策ソリューションもご提供しています！
4

JCDSCでは運営委員もさせていただいています！
三和コムテック株式会社〒106-0032
東京都港区六本木3-4-3 三和ビル
Tel 03-3583-2386
Fax 03-3583-2387
URL http://www.sct.co.jp
設立：
業務内容：

１９９１年
Webシステムインフラの構築
Webアプリケーション開発
PCI DSS準拠の普及促進（JCDSC活動）

技術提携先：McAfee, Inc. (USA)Penta Security Systems Inc.(KOREA)
IBM JAPAN

Tango/04 (スペイン)
MicrosoftNetworld
参加団体：

日本カード情報セキュリティ協議会（JCDSC）運営委員
情報システム学会
日本ガイドシェア（JGS）IP部会メンバー
5

なぜ、PCI DSS準拠を推進するのか？

PCI DSS準拠がセキュリテ
ィ強度を上げることに繋がるからです！

6

でも、我が国の準拠の状況は-----、はい、頻繁な情報漏洩やハッキングの報道がある割には、あまり進んでいないようです！
7

なぜ、進まないのか？

それは、多くの準拠企業に共通の悩み = 問題点があることに気づきました。

8

問題点とは？

PCI DSS準拠にいくらかかるのか分からない、ことです！

9それなら、どうすれば？

まずは、脆弱性診断の実施をお勧めします！

10

なぜ、脆弱性診断なんですか？

自社の現状を把握するのに適しているからです！
SAQだけでは、実態との間にGAPがある可能性があります。
11GAPがあるって、本当ですか？

弊社の診断実績では、診断対象のなんと60％以上に脆弱性（PCIDSSに不合格）が見つかっています！

12

どんなことがわかるのか？

ネットワークやWEBアプ
リの脆弱性を検出して、その対策方法がわかります！
対策がわかれば、その費用もわかりますよ！
13

でも脆弱性診断は、有償ですよね？！

もちろん有償ですが--本フォーラムに参加の準拠
企業の皆様には、特別に無償で診断します！
14

でも、診断レポートだけでわかるんですか？

もちろんわかりますが、本フォーラムに参加の準拠企業の皆様には、特別にレポート説明も行います！
15

当然？！

無償で？？

当然……ではないですが、こちらも無償で提供します！
さらに……
16

まだ、何かあるんですか？

はい、今回は診断要件以外のPCI DSS準拠ソリューシ
ョンのご紹介も致します。

17

主なサービスをご紹介します！

18

主なPCI DSS準拠対策ソリューション
ファイアウォール
インフラ/DB/アプ
リの監視・管理：
Visual MessageCenter

SSL証明書発行
Webサイトの脆弱性テスト：
McAfee Secure

Ⅰ．安全なネットワークの構築・維持要件1. ファイアーウォールを導入し最適な設定を維持する• 「信用しない」ネットワークからのアクセスを拒否しないといけない• FTPには対策を施さないといけない• DMZを設置しなければならない
要件2. システムまたはソフトウェアの出荷時の初期設定値をそのまま使用しないこと• 不要なアカウントは削除しないといけない• システムセキュリティパラメータは悪用を防ぐように設定されていなければいけない

Ⅱ．カード会員データの保護要件3. 保存されたカード会員データを安全に保護すること• 保存するデータは最小限にしなければならない• 認証データは削除しなければならない• カード番号は判読不能にしなければならない• 暗号鍵を管理しなければならない
要件4. 公衆ネットワーク上でカード会員データを送信する
場合、暗号化すること• 伝送データをSSLなどで暗号化しなければならない

アンチウィルス
運用負荷の小さい
WAF：WAPPLES

Webセキュリティコンサルティング
サービス

Ⅲ．脆弱性を管理するプログラムの整備
カード会員データの保護要件5. アンチウィルスソフトウエアを利用し、定期的に更新すること• アンチウィルスの監査ログを取得しなければならない
要件6. 安全性の高いシステムとアプリケーションを開発し、保守すること• 産業のベストプラクティスに基づく開発を行うこと• 変更管理基準に従ったソフトウェア設定変更を行うこと• コーディングの脆弱性をつぶさなければならない• WAFを設置しなければならない

Ⅳ．強固なアクセス制御手法の導入
要件7. カード会員へのアクセスを業務上の必要範囲に制限すること• アクセス権は業務上の必要範囲に制限しなければならない
要件8. コンピュータにアクセスする利用者毎に個別IDを割り当てること• 利用者ごとに個別のIDを付与しなければならない

Ⅴ．ネットワークの定期的な監視およびテスト
要件9. カード会員データへの物理アクセスを制限すること• 物理アクセスを制限しなければならない• 媒体管理をしなければならない• マシンルームへの入退出を監視しないといけない
要件10. ネットワーク資源およびカード会員データに対するすべてのアクセスを追跡し、監視すること• 関連するログをすべて監視しなければならない• 時計を合わせなければならない• アクセスログを3ヶ月間保管しなければならない

Ⅵ．情報セキュリティ・ポリシーの整備要件11. セキュリティシステムおよび管理手順を定期的にテストすること• 四半期に一回以上、脆弱性スキャンをしなければならない• すべてのネットワークトラフィックを監視しなければならない

要件12. 情報セキュリティに関するポリシーを整備すること• ポリシーを整備しなければならない• リスク評価のプロセスを含まなければならない• リスクを評価しなければならない• インシデント対応計画を導入しなければならない• サプライチェーンを考慮しなければならない

弊社では、上記に限らずお客様要件にあったソリューション製品・サービスをご提供します。
19

McAfee Secure PCI 診断サービス
McAfee Secureのサービスを最低限PCI DSSに準拠するかたちで低価格でご提供

特徴
四半期ごとに実施する脆弱性診断サービスです。
初回診断実施日から90日ごとに自動で行ないます。
メリット
高実績 / セキュリティ・リスクの低減されます。
 ENDユーザー様に安心感を与えます。
 クレジットカード会社への報告が簡単になります。
クレジットカード加盟店、銀行、決済代行サービス企業だけでなく、小売りや流通、サービス、通信、などの各業界へご提案ください。

20

McAfee Secure Ｗｅｂサイトの脆弱性診断＆セキュリティ証明
McAfee Secure
MｃAfee社が日々更新する最新の脆弱性Knowledge Baseに基いてネットワーク上の診断ロボットが、貴社のWEBｱﾌﾟﾘｹｰｼｮﾝの脆弱性診断を毎日実施。

◆世界で70カ国、95,000以上のWebサイト導入による実績と信頼◆のべ2,000万以上のスキャンを実行による蓄積◆TRUSTeとの相互連携（国内、海外）◆PCI DSS ASV（認定ベンダー）◆JCBの標準サービス（国内、海外）◆VISAの推奨サービス（国内、海外）◆政府・自治体への導入実績
年額３５万円～21

Web Security Suite ( 診断 + WAF運用 ）Webシステムの脆弱性を発見する診断サービスと、脆弱性に対処して貴社システムを守るWAF、そしてWAFのメンテナンスサポートをセットにしてご提供します。

お客様

クラウドセンター

脆弱性診断（最新情報で毎日診断）

WAF

インターネット

脆弱性診断サービス
サーバー貴社Webシステム

最大スループット100MbpsのWAF1台、を運用及び脆弱性診断をつけて月額サービスで提供。

脆弱性診断のレポート
攻撃状況のレポート
WAFに対策設定
WAFのメンテナンス

SCTサポートセンター

診断と対策、対応をセットで月額サービスとしてご提供。
Copyright2011® Sanwa Comtec K.K.

22

Visual Message Center （VMC）


システム全体の監視ソリューションです。
 サーバー導入の手間が無いため、短期間で構築できます。
 既存本番環境に変更は必要ありません。導入リスク小。
VMCはマルチプラットフォーム対応です。
 Windows、Unix、LinuxからIBMiまで対応
 ネットワーク機器はもちろんDBMS、アプリケーションも監視対象

システム監視ツールとしてシステム・ネットワーク全体の稼働状況を監視すると共にPCI-DSSの要件が求めるアクセ
スログの収集・保管を実現します。

23

セキュリティ コンサルティングサービス
15年、200社あまりに及ぶ基幹系のセキュリティツール導入実績をベースに、お客様の要件や目的に合わせた設定やソリューションをご提供します。Webセ
キュリティでは、ITインフラベンダーや開発ベンダーと構築したWebサイトを、
PCI DSSに準拠したセキュアで安心して使えるサイトへ進化させるお手伝い致します。
お客様の要件・目的にあったセキュアなWebサービス
環境

お客様インフラベンダー

PCI DSS対応ノウハウ
世界中の優れたソリューション

Web開発ベンダー

SCTの技術力

三和コムテック三和コムテックはワンストップでPCI DSSに準拠したセキュアなWebサイト構築をご支援します。
24

最後に、一言。

PCI DSS対策の一歩は、まず手軽な診断から！
まずは、三和コムテックの無料診断をご利用下さい！
25ご清聴ありがとうございました！
三和コムテック株式会社〒135-0047 東京都港区六本木3-4-3 三和ビル
TEL. 03-3583-2518
FAX. 03-3583-2387
sales@sct.co.jp

Copyright2011® Sanwa Comtec K.K.

26