PCI DSS準拠の方法とJCDSC によるサポート体制(Japan Card Data Security Consortium)

2019年2月15日版
日本カード情報セキュリティ協議会（JCDSC）
Copyright 2019 © JCDSC

日本カード情報セキュリティ協議会（JCDSC）について
安全なカード社会の実現を図ることをテーマに、PCI DSS の普及・推進活動や、カード情報に関係する企業・団体の情報交流を行うため、2009年4月に設立されました。
会員企業はセキュリティ専門会社、国内QSA・ASV会社、コンサル会社、ITベンダー会
社など約240社が参加 (2019年2月現在)

JCDSC主催のPCI DSSセキュリティ・フォーラム（2018.6.22 東京国際フォーラム）PCI DSS 準拠の推進について、経産省取引監督課と日本クレジット協会、JCDSC運営委員・QSA部会による情報交換会。（2017.5.24）

Copyright 2019 © JCDSC

Page-2

おもな内容1. クレジットカード情報保護の世界基準=PCI DSS
2. 適用レベルの分類と準拠確認の手続き
3. 準拠に向けた取組みと参考資料
4. 実行計画におけるJCDSCの役割【本資料について】
・「クレジット取引セキュリティ対策協議会 実行計画2016」に基づき、(一社)日本クレジット協会が同協会会員を対象に、2016年6月～7月に札幌から沖縄まで全国9都市で説明会を行い、その中で、PCI DSSについて
JCDSC運営委員が説明を担当いたしました。
・この資料は会場で配付したものを基本に、「実行計画2018」の内容や
PCI DSSに関する2019年2月現在の情報を加えて更新しています。

Copyright 2019 © JCDSC

Page-3

1.クレジットカード情報保護の世界基準=PCI DSS

Copyright 2019 © JCDSC

Page-4

PCI DSSとは
1.

カード会員情報や取引情報の保護を目的に、2004年に国際クレジットカードブラ
ンドが共同で策定した、ネットワークなどの処理システムや情報管理に関するセキュリティ要件（基準）。ISMSより範囲は狭いが、具体的で深さが要求される。

2.

「クレジット取引セキュリティ対策協議会」の実行計画は、カード情報を保持する事業者については、PCI DSS準拠を求めることとした。

●準拠期限：カード会社・PSP・EC加盟店は2018年3月、対面加盟店は改正割賦販売法の施行
2018年6月を期限とし、最終的には2020年3月末にすべての事業者が対応完了をめざす。

PCIDSS = Payment Card Industry Data Security Standard
AmericanExpress
DSOP

DiscoverNetwork
DISC

Master
Card
SDP

VISA
AIS

JCB
JDSP

国際カードブランド各社と実施プログラム(下段の文字)
Copyright 2019 © JCDSC

Page-5

PCI DSS要求基準の構成 = 6つの項目・12の要件
PCIDSS Ver3.2.1

I.

安全なネットワークの構築と維持
要件1:カード会員データを保護するために、ファイアウォールをインストールして構成を維持する
要件2:システムパスワードおよび他のセキュリティパラメーターにベンダー提供のデフォルト値を使用しない

II.

カード会員データの保護
要件3:保存されるカード会員データを保護する
要件4:オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する

III.

脆弱性管理プログラムの維持
要件5:すべてのシステムをマルウェアから保護し、ウィルス対策ソフトウェアまたはプログラムを定期的に更新する
要件6:安全性の高いシステムとアプリケーションを開発し、保守するIV.

強力なアクセス制御手法の導入
要件7:カード会員データへのアクセスを、業務上必要な範囲内に制限する
要件8:システムコンポーネントへのアクセスを確認・許可する
要件9:カード会員データへの物理アクセスを制限する

V.

ネットワークの定期的な監視およびテスト
要件10:ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
要件11:セキュリティシステムおよびプロセスを定期的にテストする

VI.

情報セキュリティ・ポリシーの維持
要件12:すべての担当者の情報セキュリティに対応するポリシーを維持する

対象となる範囲において上記の要件をすべて遵守し、これを自己問診(SAQ)、
もしくは第三者(QSA)の確認によって証明する ＝ PCI DSS準拠
Copyright 2019 © JCDSC

Page-6

参考：ISMS(ISO27001)と PCI DSSの比較
例：パスワードに関する要求事項の比較【ISMS】 ISO/IEC 27001:2014 付属書A
A.9.4.3 パスワード管理システム• P/W管理システムは、対話式でなければならず、また良質なP/Wを確実にするものでなければならない。

「良質なパスワード」のレベルは、守るべき情報資産の機密度合や、リスクの大きさを考慮して、企業が自主的に決定する。

【PCI DSS】 v3.2.1要求事項• パスワードは数字と英字の両方を含めて、少なくとも７文字にする。(8.2.3)• パスワード/パスフレーズは少なくとも90日ごとに変更する。(8.2.4.a)• 直近４回使用されたパスワードは、新しいパスワードとして使用できないようにする。(8.2.5.a)• ユーザーＩＤのロックアウトにより、連続したアクセス試行を6回以内に制限する。(8.1.6)• ロックアウト時間は最低30分間、または管理者が許可するまでとする。(8.1.7)• セッションのアイドル時間が15分を超えた場合、パスワードの入力を再び要求する。(8.1.8)• ユーザーが、デフォルト（配布時の）パスワードから変更していることを確認する。(8.2.6)
クレジットカード情報の安全に特化しているので、・内容を具体的に指示・対応レベルが示されている

Copyright 2019 © JCDSC

Page-7

参考：PCI DSS基準書・日本語版のダウンロード• PCI SSCの日本語サイトからv3.2.1日本語版が取り出せます。
https://ja-pci.onelink-translations.com/minisite/env2/「PCI DSS」をクリックし、PCI SSCの使用許諾契約書に「同意する」をクリックしたあと、再び「PCI DSS」をクリックすれば、PDF版が開きます。
Copyright 2019 © JCDSC

Page-8

2.適用レベルの分類と準拠確認の手続き

Copyright 2019 © JCDSCPCI DSSの適用レベル

Page-9「PCI DSS準拠にかかる基準及び検証方法等に関する実施要領」 2017.6 版より

加盟店
クレジット
カード会社

PSP
(非対面/ネット)

対面

非対面

ASVスキャン
(Approved Scanning
Vendors : 認定スキャニ
ングベンダー)

レベルA
レベルA①～④を基に、4ブランド
により選別する

レベルA
レベルA①VISA 600万件以上

すべて②Master 600万件以上

QSA による訪問
審査③JCB 100万件以上④Amex 250万件以上（Qualified Security
Assessors:認定審査会社）

QSA審査または※SAQ

レベルB
レベルB

レベルB
レベルB

4ブランドいず
れかが100万
件以上

(レベルA
以外)

国際ブランドから指定のアクワイアラーまたは
プロセッシング全社

・内部・外部ネットワークのぜい弱性スキャン（四半期毎）※外部N/Wスキャンは
ASVが実施する※SAQの場合
はROCの作成
が必要

レベルB
レベルB

自己問診（SAQ）(Self Assessment
Questionnaire)

レベルC
レベルC
4ブランドいずれも100万件未満

対面加盟店の対応期限は改正割賦販売法の施行
2018年6月を意識。

イシュアー
または
レベルA以外のアクワイアラー

対応期限 (年度)2019年度

内部・外部ネットワーク、
アプリケーションへのペネトレーションテスト
（年1回）はシステム環境
により別途必要2017年度Copyright 2019 © JCDSC

Page-10QSAの訪問審査によるPCI DSS準拠QSA（認定審査会社）の審査員が、実際にクレジットカード情報が取り扱われているシステムや業務を調査し、報告を行う。
 訪問審査は年1回行われる。
 審査後、結果を記したレポートが引き渡される。
 「ROC（Report on Compliance：報告書）」
 「AOC（Attestation of Compliance：準拠証明書）」

 契約先のアクワイアラーまたはカードブランドによるAOCの提出を求められた場合、すみやかに提出する。

Copyright 2019 © JCDSC

Page-11

訪問審査の方法
QSAは、PCI DSSで求められる要件の準拠状況を“テスト手順”に定められた方法（規定や証跡の確認、インタビュー、システム設定の確認）で審査。

約250項目

約400項目要件によっては、１つの要件に対して、複数のテスト手順（＝審査項目）が存在
Copyright 2019 © JCDSC

Page-12QSAの連絡先

日本国内のおもなQSAは、JCDSCサイトに一覧表を掲載し、各QSAの連絡先や担当者（部署）、特色なども申告原稿ベースで載せています。（現在9社を掲載中）※現在時点で免許が有効なQSAの登録状況は、PCISSCのサイトで、英文名称で検索して確認してください。
https://www.pcisecuritystandards.org/assessors_and_solutions/qualified_securi
ty_assessors

Copyright 2019 © JCDSC

Page-13

SAQによるPCI DSS準拠
SAQ （自己問診 = Self Assessment Questionnaire） は、
自己調査によって準拠を証明する方法
1. 内部・外部N/Wスキャン検査を四半期ごとに実施し、対応の必要がある脆
弱性がない・または解決済である結果レポート1年分をそろえます。※システ
ム環境により、内部・外部ペネトレーションテストや、アプリケーションぜい弱性検査も求められます。

2. 所定のSAQに指定されている、PCI DSS要件のすべての項目に対応済であることを確認して記入し、内容責任について事業者の役員が署名します。※業
務内容により適合するSAQタイプは異なります。次のページの資料を参照ください。

3. 契約先のアクワイアラーまたはカードブランドによる、所定の手続きに添って提出します。※決済件数の取扱いレベルにより、必ず提出する場合と、要求されたら提出する場合があります。ブランドやカード会社によりガイドラインが異なりますので、契約先へお問合せください。

※SAQには、支援したQSAや ISA （Internal Security Assessor＝PCI DSSの社内審査資格者) がある場合、署名する欄があります。
QSAの支援・署名は必須ではありません。受理はアクワイアラー判断です。
Copyright 2019 © JCDSC

Page-14

業種によるSAQの適用区分と適用項目数一覧
V3.2.1版
V3.2.1版

加盟店の業態

カード情報の取扱い形態

・PSPのﾘﾝｸ(ﾘﾀﾞｲﾚｸﾄ)型の決済ｻｰﾋﾞｽを使用するEC加盟店
ECまたは通信販売の加盟店でｶｰﾄﾞ情報をｼｽﾃﾑまたは加・ｶｰﾄﾞ情報の全ての処理を外部委託するEC/通信販売加盟店 盟店内で電子形式で通過、処理、保存しない。

タイプ

項目
数

A

24

非対面
EC/通信販売加盟店
・PSPのJavaScript型の決済サービスを使用するEC加盟店

CCTなどの決済端末をﾀﾞｲｱﾙｱｯﾌﾟ接続する、主に対面加盟店

CCTなどの決済端末をIP接続する、主に対面加盟店

対面/通信販売加盟店
POSをｲﾝﾀｰﾈｯﾄに接続してｶｰﾄﾞ処理する、主にPOS加盟店※EC加盟店には適用されない
電話やﾊｶﾞｷ/FAXでｶｰﾄﾞ処理する、主に通信販売加盟店

PCI P2PEｿﾘｭｰｼｮﾝを導入した主にPOS加盟店

対面/非対面加盟店

・PSPのﾓｼﾞｭｰﾙ(ﾌﾟﾛﾄｺﾙ)型を使用する
EC加盟店
・ｶｰﾄﾞ情報をｻｰﾊﾞｰやPCで保存する
POSや通信販売加盟店
・ｶｰﾄﾞ情報をPOSｼｽﾃﾑで通過、処理、保存する加盟店

・カード発行のみ行うカード会社（イシュア）
サービスプロバイダー ・決済サービスプロバイダー（PSP)・カード会社・PSP以外で、カード情報を取り扱っている事業者

ECの決済をPCI DSS準拠済みのｻｰﾋﾞｽﾌﾟﾛﾊﾞｲﾀﾞｰに部分的に委託しているECの加盟店で、カード情報をｼｽﾃﾑまた A-EP 192
は加盟店内で電子形式で通過、処理、保存しない。
ｲﾝﾌﾟﾘﾝﾀｰ､ｽﾀﾝﾄﾞｱﾛン型のﾀﾞｲｱﾙｱｯﾌﾟの決済端末のみに
よってカード情報を処理する加盟店であり、ｶｰﾄﾞ情報を保B
41存していない。
決済ﾈｯﾄﾜｰｸまたはASP/ｸﾗｳﾄﾞ事業者にIP接続されるｽﾀ
ﾝﾄﾞｱﾛﾝ型のPCI PTS認定の決済端末のみによってｶｰﾄﾞ情 B-IP 87
報を処理する加盟店であり、ｶｰﾄﾞ情報を保存していない。
POSｼｽﾃﾑまたはその他のｲﾝﾀｰﾈｯﾄに接続されているﾍﾟｲ
ﾒﾝﾄｱﾌﾟﾘｹｰｼｮﾝ経由で、ｶｰﾄﾞ情報を処理するが、カード情C 161
報をｺﾝﾋﾟｭｰﾀｰｼｽﾃﾑに保存しない加盟店。
Webﾌﾞﾗｳｻﾞなどの仮装端末のみでｲﾝﾀｰﾈｯﾄを経由して、1件ずつｶｰﾄﾞ情報を処理し、ｶｰﾄﾞ情報をｺﾝﾋﾟｭｰﾀｰｼｽﾃﾑに
C-VT 84
保存しない。決済に利用するWebｱﾌﾟﾘｹｰｼｮﾝはPSP、ｱｸﾜ
ｲｱﾗｰなどｻｰﾄﾞﾊﾟｰﾃｨｰから提供される必要がある。
PCI P2PEに認定されたｿﾘｭｰｼｮﾝを導入し、それらに含まれる決済端末のみでｶｰﾄﾞ情報を処理する加盟店であり、 P2PE 33
ｶｰﾄﾞ情報を保存していない。
・ｶｰﾄﾞ情報を自社のｻｰﾊﾞで処理する加盟店
・ｶｰﾄﾞ情報を電子形式で保存する加盟店
・ｶｰﾄﾞ情報を電子形式で保存しないが他のSAQﾀｲﾌﾟの基
D-M 330
準を満たさない加盟店
・他のSAQﾀｲﾌﾟを満たす環境にあるが、自社の環境に他のPCI DSS要件が適用されるような加盟店
ペイメントブランドによりSAQ対象として定義された、すべてのサービスプロバイダー。

Copyright 2019 © JCDSC

D-S 369

Page-15

どのタイプのSAQを使えばよいか
各タイプ別SAQの冒頭に「開始する前に」をよく読んで検討しましょう。
適合する業務内容が詳しく書かれています。下は一例として「C-VT」タイプの一部分です。

Copyright 2019 © JCDSC

Page-16

SAQの入手
Page-8の要領で、PCI SSCの日本語サイトから、各種SAQのv3.2.1日本語版が取り出せます。
PDF版とWord版が発行されています。

※P15掲載のタイプ別SAQの一覧表や、詳しい説明書は、JCDSCホームページの「PCI DSS準拠に向けて」
参考資料集をごらんください。（https://www.jcdsc.org/topics/special2015.php)
7番に「日本語版PCI DSS基準書と各種タイプ別SAQ」が掲載されています。

Copyright 2019 © JCDSC

Page-17

ASVスキャン および ペネトレーションテスト
№

PCI基準

頻度

検査名称

①

11.1

四半期

ワイヤレスアクセスポイント検査

②

11.2

四半期

外部ネットワーク脆弱性スキャン

③

11.2

四半期

内部ネットワーク脆弱性スキャン

内容・ASVが実施する・ネットワークの内部と外部からの侵入テスト

④

11.3

年1回

ペネトレーションテスト

・アプリケーション層のペネトレーションテストには、
要件 6.5に記載の脆弱性を含める

・セグメンテーションと範囲減少制御の有効性テスト

内部・外部のN/Wスキャンは全事業者に必須の検査で、そのうち外部N/WスキャンはPCI SSC認定の検査機関（ASV）が実施します。
国内ASVはQSAと同じく、JCDSCサイトに一覧表が掲載されています。
Copyright 2019 © JCDSC

Page-18

ASVスキャンとは
PCI SSCによって認定されたベンダー（ASV: Approved Scanning Vendor)によって実行される外部からの脆弱性スキャン
スキャン実施イメージ
PCI DSS 要件11.2で要求される項目
「ASV Program Guide」で定められているセキュリティレベルを満たしているか確認する

internet→ アカウント推測攻撃やサービス不能攻撃などは実施対象外ではあるが、業界標準のセ
キュリティレベルを確認可能

ASV

スキャン
の実施

外部脆弱性スキャンシステム

外部ネットワークの対象

PCI DSS対象システムが所持している全てのグローバルIPアドレスが対象→ カード情報を取り扱っていないシステムでも、扱っているシステムと同一のセグメントに設置されている場合はスキャン対象となる
4半期に一度、ASVによって実施される必要

ルータ

外部に公開されている全てのサーバに対してスキャンを実施します。

ファイアウォール
メール
サーバ

DNS
Web
サーバ サーバ

社内LANがある
ASVによって合格（PASS）レポートが発行されルータ
社内メール社内DNS
社内Web
サーバ サーバ
サーバ

るまで繰り返す必要がある
L3スイッチカード会員データ環境

出典：NRIセキュアテクノロジー株式会社資料
Copyright 2019 © JCDSC

Page-19

3.準拠に向けた取組みと参考資料

Copyright 2019 © JCDSC

Page-20

準拠までのスケジュール
準拠が確認されるまでの一般的な流れ① QSAに審査を依頼する前に「ギャップ分析」を行った上で、プロジェクト全体のスケジュールを立てる② PCI DSSすべての要件が満たされるよう対策を行う③ 審査の前には、「ASVスキャン」や「ペネトレーションテスト」によって脆弱性の対処が完了していることを確認し、規程類や証跡なども準備しておく
コンサルタント (必要な場合)or QSA

ASV

8

9

10 11

維持活動

7

受領
AOC

6

再審査

5

改善対応

4

脆弱性
調査

3

改善

2

訪問審査

改善検討
実施

1

脆弱性
調査

ギャップ分析

スコープ調査社内体制の構築
(月) 0

QSA

12ｹ月

※SAQを用いる場合は、QSAに依頼する必要はありません。

規模やセキュリティ達成状況によって、準拠までの期間や予算に差Copyright 2019 © JCDSC

Page-21

審査の範囲（スコープ）
WEB

Internet

PCI DSSでは、スコープ（審査の範囲）を、事業者側が自由に決めることはできません。

本社

カード会員データを取り扱っている（伝送・処理・保管されている）環境と、それに分離されずに接続された環境が対象となります。

カード会員データ（Card holder Data）

プライマリアカウント番号(PAN)等
センシティブ認証データ（Sensitive Authentication Data)

工場

支店

店舗
磁気ストライプデータ等

Copyright 2019 © JCDSC

Page-22

スコープの縮小－スコーピングとセグメンテーション• スコープ定義の手順（１）準拠の必要性確認
伝送・処理・保管、いずれかを行っていれ
ばPCI DSS準拠の必要があります（PCI DSSの対象です）

当該システムでは、PANが伝送・処理・保管されていますか？

PANを取り扱わない（非保持化）（２）-１．直接対象となる範囲の確認

PANを全て
外部委託先に預ける

PANが伝送・処理・保管されているシステ
ムコンポーネントはどれですか？

あてはまるシステムコンポーネントはすべて
すべて
対象です
対象
対象システムを外部サービスに切り替える（２）-２．間接的に対象となる範囲の確認（PANを伝送・処理・保管していなくても）そこに直接接続（フラットネットワーク）しているシステムコンポーネントはどれですか？

そのシステムコンポーネントも、すべて対象
すべて対象です
接続するシステムを限定、分離（セグメンテーション）
Copyright 2019 © JCDSC

Page-23

スコープの縮小－非保持化：トランケーション• カード番号として復元できないように切り落とす

Copyright 2019 © JCDSC

Page-24

スコープの縮小－非保持化：トークナイゼーション
トークナイゼーションとは、データの一部、または全部を別の一意の乱数に取り替えて単独では元に戻せないトークンとすること。
 トークンはカード会員データとしては扱わない※PCI DSSでは暗号化された場合でもカード会員データとして扱う

 手続きを踏むことで元のデータの参照が可能 トークナイゼーションの仕組みそのものは検証される必要がある。

PCI SSC「PCI DSS Tokenization Guidelines」より

http://www.jcdsc.org/topics/vol02.php
Copyright 2019 © JCDSC

Page-25

外部サービスの利用－ P2PE
• Point-to-Point Encryption (P2PE)
 P2PE準拠ソリューションを使用する加盟店のPCI DSSスコープ縮小

加盟店環境のPCI DSSスコープを大幅縮小

出典：PCI DSS徹底解説 / NTTデータ先端技術株式会社
http://www.intellilink.co.jp/article/pcidss/15.html
Copyright 2019 © JCDSC

Page-26

各種検査会社・コンサル会社の一覧「参考資料集」

・ペネトレーションテストや内部･外部ネットワーク検査など、各種ぜい弱性検査を実施できる会社、コンサル会社、およびカード情報非保持検査実施会社について、特色や連絡先情報を含めて一覧表を掲載しています。
・PCI DSSの要求事項別に、セキュリティ・ソリューションの一覧表も掲載しています。

Copyright 2019 © JCDSC

Page-27

4.実行計画におけるJCDSCの役割

Copyright 2019 © JCDSC

Page-28

“実行計画2018“ におけるJCDSCの役割(1) PCI DSSに関する認知度の向上及び準拠への取組促進に向けた情報提供
・基本資料や準拠のための参考情報などをJCDSCサイトへ掲載、各種セミナーの開催。PCI
DSSセキュリティフォーラム、カード情報非保持セミナー、PCI DSS実務者向けセミナーなど。

(2)準拠に向けた加盟店へのサポート体制①理解増進のための講師派遣
・日本クレジット協会、日本通信販売協会、大手アクワイアラーなどが開催する講習会、セミナーへQSA部会等から講師派遣。

②コンテンツの提供･展開
・PCI DSS基本説明資料、FAQ、簡易自己診断表の作成･掲載。

③相談窓口の設置
・JCDSCサイトへ「事務局への問合せ」メールを設置し、随時対応中。

④分かりやすいツールの提供
・国内QSAやASV、コンサル企業等の特色・連絡先一覧をJCDSCサイトへ掲載。

⑤専門人材の育成
・QSA、ISA育成講習会の日本開催をPCI SSCへ協力し、日本語での案内を実施。
Copyright 2019 © JCDSC

Page-29

Copyright 2019 © JCDSC

Page-30

最後に・・・

日本が世界の“セキュリティホール“になってきた
全国のコンビニATMから、偽造
クレジットカードで約18億円の不正引き出し被害発生。
出し子100人以上を動員した、大規模組織犯罪。
(2016.5.24)

・米国は大統領令でICカード化を急速に進行中。2017年完了。
①南アフリカの銀行で漏えい
・国際犯罪組織は、犯行が困難な
欧米を回避して、日本をターゲットにする傾向にある。

②中国系焼き肉店の磁気カード③日本のATMが被害にイラストの出典：PCISSC / Educational Resources●PCISSC制作の 「セキュリティ啓発のビデオアニメ」が、「セキュリティ啓発のビデオアニメ」が、日本語字幕入りで公開されています
ビデオアニメ」が、https://www.jcdsc.org/memberstore_case.php
Copyright 2019 © JCDSC

Page-31

カード情報非保持・PCI DSS準拠達成を確実に各主体の役割について (“実行計画2018“より)●割賦販売法においては、従来カード会社に義務が課されていたが、2018年6月1日施行の改正割賦販
売法では、加盟店にも義務が課されることになった。
●最終的には、全加盟店が 2020年3月末までにカー
ド情報の適切な保護に関する対応（非保持化又はPCI DSS 準拠）が完了している状態になっていることを目指す。

Copyright 2019 © JCDSC

Page-32