クレジットカード情報
クレジットカード情報セキュリティフォーラム
情報セキュリティフォーラム～PCI DSSへの効率的な対応を探る～

PCI DSS準拠
DSS準拠の準拠のポイントとポイントとネット加盟店向
ネット加盟店向け加盟店向けサービスのごサービスのご紹介のご紹介
2012年 7月 25日

ＩＴ基盤サービス第１事業部 シニアエキスパート 三木 基司
Copyright © 2012 TIS Inc.

本日のアジェンダ
第１部 ＰＣＩ ＤＳＳ準拠のための事例紹介
１． PCI DSS制度におけるＴＩＳの位置付け
２． 当社取り組み姿勢
３． PCI DSS要件に対するシステム化要件
４． PCI DSS要件に対するシステム化ポイント
５． PCI DSS準拠のＴＩＳフレームワーク
６． ギャップ分析後の改善方針検討
７． セキュリティツールの選定・評価
８． PCI DSS準拠のコスト
９． PCI DSS準拠コストの削減事例
第2部 インターネット加盟店様向けサービスのご紹介
１０．インターネット加盟店様向けサービスのご紹介
１１．『インターネット加盟店認証プログラム』全体フロー
１２．『インターネット加盟店認証プログラム』実施フロー

Copyright © 2012 TIS Inc.

1

1．

Copyright © 2012 TIS Inc.

ＰＣＩ ＤＳＳ準拠のための事例紹介

2

１．PCI DSS制度におけるTISの位置付け
PCI SSC

認定

認定

Payment Card Industry Security Standards Council

PCI DSSのDSSの維持、維持、管理、管理、普及活動を普及活動を実施

共同設立
国際クレジットカードブランド
国際クレジットカードブランド5
クレジットカードブランド5社
VISA､VISA､MasterCard､MasterCard､American Express､
Express､JCB､JCB､Discover

報告

準拠要請

クレジットカード会社
クレジットカード会社様
会社様
報告
審査

要請

加盟店
百貨店，百貨店，スーパー，スーパー，レストラン，レストラン，小売店，小売店，ECサイト
ECサイト様サイト様Copyright © 2012 TIS Inc.

報告

要請

プロセッサ
決済代行事業者，決済代行事業者，業務代行事業者
業務代行事業者様
業者様

ＡＳＶ
スキャン
準拠の準拠の支援

２．当社取り組み姿勢◆ ＡＳＶ技術者として対象システムのセキュリティ対策全般をご支援◆ ＳＩ事業のノウハウを活かし、最適なソリューションの組合せをご提供◆ ＰＣＩ ＤＳＳ準拠対象のすべての企業様を全国規模でサポート
カード会社様加盟店様

PCI DSS準拠支援
コンサルサービス

インターネット加盟店様

インターネット加盟店様向け
認証プログラム

カード情報取扱いデータセンタ様

SIサービス、ソリューション提供

Copyright © 2012 TIS Inc.

３．PCI DSS要件に対するシステム化要件◆ PCI DSS要件と情報システムのセキュリティ対策として考慮点
PCIDSS

セキュリティ上の管理策

関連するシステム構成要素または管理策

要件１

ネットワークセキュリティ

ファイアウォール、通信制御

要件２

サーバセキュリティ

サーバ機器の堅牢化（デフォルト変更）

要件３、４

データセキュリティ

保管データ、DB、通信経路の暗号化

要件５

ウイルス対策

ウイルス対策要件６

アプリケーションセキュリティ

ＷＡＦ、セキュアWEB開発（ソースレビュー）

要件７、８

アクセス制御（アカウント管理）

ID/Pass管理、アクセス制限

要件９

物理セキュリティ

入退室管理、施錠管理

要件１０

ログ管理

ログ管理、時刻同期

要件１１

システムのテスト

侵入検知、改ざん検知、脆弱性検査

要件１２

ポリシー（マネジメントシステム）

ポリシー作成、委託先管理、教育

Copyright © 2012 TIS Inc.

5

４．PCI DSS要件に対するシステム化ポイント◆ カード会員情報の伝送、処理、保管範囲を最小化する
・ 業務上の取扱い範囲を見直す
・ 情報システム上のカード会員情報を集約化または情報のトークン化◆ カード会員情報へのアクセスできる人や場所を見直し最小化する
・ アクセス権限の見直し
・ アクセスするための認証方式の見直し◆ 情報システムの新規／改修のための仕様書では、非機能要件とPCI DSS準拠のためのセキュリティ要件は意識して書き分ける
・ セキュリティ機能の導入（暗号化、IDS/IPS、ログ管理など）
・ 脆弱性対策（どのような脆弱性への対応を何で行なうのか）※脆弱性対処の方針は示されていますが、対処方法は不明確です。(要件6.5)
脆弱性対処についてはOWASPなどのベストプラクティスからの引用になっている。

◆ ISMSやプライバシーマークのセキュリティ対策との整合性を考慮する
Copyright © 2012 TIS Inc.

6

５．ＰＣＩ ＤＳＳ準拠支援のＴＩＳフレームワーク
フェーズ

Ⅰ

事前準備

Ⅱ ギャップ分析

タスク

1★
対象範囲の決定
対象範囲の決定2
評価資料の洗出
評価資料の洗出

3
評価計画の作成
評価計画の作成

4
評価シート作成
評価シート作成

5
準拠性評価実施
準拠性評価実施（ヒアリング）（ヒアリング）

6

8

ASVスキャン
ASVスキャン

7
評価結果の確認
評価結果の確認

改善計画の作成

改善対応

9
Ⅲ 改善計画作成

改善案検討
改善案検討
（代替案）
（代替案）

12

Ⅳ QSA予備調査

11
改善計画の作成
改善計画の作成
15★
監査結果報告監査結果報告（改善方針）（改善方針）

16

Ⅴ

14★
QSA監査
QSA監査

改善対応
改善対応

13
改善結果報告改善結果報告

改善対応
改善対応

17★
改善結果の報告
改善結果の報告※★印はQSA実施タスクです。
※グリーンの網掛けタスクは、別途お見積りとなります。また、ピンクの網掛けは、認定機関による作業タスクです。
※QSA：国際マネジメントシステム認証機構株式会社、ASV：ＴＩＳ株式会社が実施します。
Copyright © 2012 TIS Inc.

改善結果報告コスト軽減を図るため「QSA予備調査」後に改善対応を行います。

10★
QSA予備調査
QSA予備調査

QSA監査

評価結果報告評価結果報告（改善方針）（改善方針）

7

６．ギャップ分析後の改善方針検討◆ 改善方針は、実現性と導入コスト、運用負担を総合的に判断し決定◆ 既存システムの安定・安全な動作を最優先に代替コントロールを検討◆ 必要最小限のツール選定により、対応コストを最小化◆ 戦略的なセキュリティ対策の実践に向け、改善方針は３方向に分けて整理◆ 対応後なお残るお客様環境固有の残存リスクについても、確認方法を検討【サンプル】
改善方針
ＰＣＩＤＳＳ
要件番号

8.5.8 グループ、共有、または汎用のアカウントとパスワードなどの認証方法を使用しない。

テスト手順

システム管理作業およびその他の重要な機能のための共有ユーザ IDが存在しない。

Copyright © 2012 TIS Inc.

対策状況

システム運用管理のために共有ＩＤを使用

具体的なリスク

なりすましシステム設定

ツール導入

運用改善

パスワードポリシー設定

自動アクセス
制御ツール・個別ID付与

8

残存リスク

残存リスク
確認方法

不正操作

90日毎のたな卸し

７．セキュリティツールの選定・評価◆ ギャップ分析結果を要求仕様とした最適なツール化対応の組合せをお客様に代わり評価・選定◆ ツール選定時の視点
・ 情報システム基盤技術となる点を重要視「保守を含む国内実績」、「取扱いベンダの注力領域」【サンプル】

Copyright © 2012 TIS Inc.

9

事例紹介

８．ＰＣＩ ＤＳＳ準拠のコスト◆ 「システム対応コストが高く、運用負担も大きのでは？」◆ PCI DSS要件の目的を正しく解釈し、コストを抑えます
事例紹介企業様の情報準拠対象システム新規開発のシステム

システム規模とOS

サーバ約30台（Windows、Linux、Nonstop）

対応期間１０ヵ月

Copyright © 2012 TIS Inc.

10

事例紹介

９．ＰＣＩ ＤＳＳ準拠コストの削減事例◆ セキュリティツールの機能を上手く組合せてコスト削減※ 赤文字は代替コントロール対応ヶ所
準拠対応内容システム化要件

削減費用(単位：M円）

要件２
サーバ機器の堅牢化（デフォルト変更）

・サーバ設定シートの提供
・管理コンソールの暗号化実施せず

要件３、４
保管データ／DB／メール等の暗号化

・DBは暗号化せず
・代替コントロールによる対応

要件５
ウイルス対策・ウイルス対策ソフトを導入※IDS機能付きウイルス対策ソフト

要件６
ＷＡＦ、セキュア開発（ソースレビュー）・WAFは導入せず※年一回のペネトレーションテストで対応

▲4.0

要件７、８
ID管理、アクセス制限

・自動アクセス制御システムを導入※改ざん検知機能付きのツール

16.6

要件１０
ログ管理

・ログ管理サーバを導入

要件１１
システムのテスト、侵入検知、改ざん検知

・侵入検知ツールは導入せず
・ペネトレーションテスト、内部スキャン

▲6.0

要件１２
ポリシー整備、既存規程類との整合性

・ISMSを利用し、追加コストなし▲3.0

Copyright © 2012 TIS Inc.

11

▲1.5
▲12.0
2.7

4.9

２．

Copyright © 2012 TIS Inc.

インターネット加盟店様向けサービスのご紹介

12

１０．インターネット加盟店様向けサービスのご紹介◆ インターネット加盟店様のPCI DSS準拠をお手伝いします・ヒアリングと実査によるPCI DSS準拠対象範囲の明確化
・カード会員情報非保持化によるPCI DSS準拠負担の軽減※本サービスには、国際マネジメント認証機構(QSA)様の認証プログラムを利用します。

◆ 決済業務を外部委託している場合には最大で必須準拠項目が「２９６→１３項目」まで低減されます
Copyright © 2012 TIS Inc.

13

国際マネジメントシステム認証機構様サービスの活用

１１．『インターネット加盟店認証プログラム』全体フロー
インターネット決済代行事業者様の非保持サービスを導入した
インターネット加盟店様へ国際マネジメントシステム認証機構が独自認証マークを発行するサービスです◆ PCI DSSの準拠証明書にQSAのサインが入ります◆ 加盟店様はアクワイアラ様へ状況をご報告いただけます
会社様
クレジットカード会社
様会社
クレジットカード
準拠要請

報告証明書

④ 証明書発行③準拠調査
・インタビュー
・記録確認

インターネット加盟店様
加盟店様①ネットワークスキャン② 申請書提出

準拠状況確認Copyright © 2012 TIS Inc.

（QSA)

14

１２．『インターネット加盟店認証プログラム』実施フロー【サービス内容】◆ 申込み書類、添付資料の作成◆ 必要記録の事前確認◆ 脆弱性スキャンの実施◆ ＱＳＡインタビュー準備◆ PCI DSSご質問受付(専用窓口)【メリット】◆ PCI DSS準拠対応の過大過小投資を防止◆ ＱＳＡインタビュー準備支援・調査対象記録を事前確認します
・不足資料の雛形をご提供します・インタビュー調査の準備をご支援します（資料不備による再調査や調査延長を防止します）
Copyright © 2012 TIS Inc.

15

この資料は、著作権法と不正競争防止法上の保護を受けています。本書の一部あるいは全部について、TIS株式会社から文書による承諾を得ずに、いかなる方法においても無断で複写、複製、ノウハウの使用、企業秘密の展開等をすることは禁じられています。

●お問い合わせＩＴ基盤サービス本部 ＩＴ基盤サービス第１事業部
ＩＴ基盤サービス第４部
TEL ： 03-5337-4392
三木 基司 E-mail： miki.motoji@tis.co.jp

http://www.tis.co.jp