DSSV3.2の主な変更点については、関連する最新記事があります。併せてご一読ください。DSS準拠に関するお問い合わせや、当社のサービス資料ご希望の方は、下記フォームより承ります。3.2へのバージョンアップには、3つカテゴリの変更があるが、すでに準拠済み企業に影響の大きい追加のガイダンス及び発展型要件について解説する。Appendixについては今回大幅に改編されたため、明確化の区分になっているが説明を加えた。要件とセキュリティ評価手順V3.2』にバージョンの終了期限を書き込んでいることから、今までの3年毎のアップデートサイクルは事実上なくなったと解釈している。よって新規バージョンのリリース時期は、不定期になったということになる。要件の趣旨を明確化する。標準で簡潔な文で要件の目的とする要求が明確に示されていることを確実にすること。追加ガイダンス:セキュリティの脅威は常に進化するため、ベンダーにサポートされていないペイメントアプリケーションは、サポートされているバージョンと同様のレベルでなければ提供できない。DSSのバージョンが以前の有効バージョンに対してどのようなインパクトがあるかを記載した。PANの最初の6桁及び最後の4桁よりも多くの桁数表示するためには、正当なビジネス要件が必要であること。PANの共通のマスキング概要に追加されたガイダンスとなる。暗号化アーキテクチャに関する文書化の維持すること。※2018年1月31日まではベストプラクティス要件となり、それ以降は要件となる。DSS要求事項の検証を含めること。※2018年1月31日まではベストプラクティス要件となり、それ以降は要件となる。発展型要件:すべての従業員のコンソールを利用しない管理者アクセスとリモートアクセスには、多要素認証に対応することを8.3のサブの要求事項として拡張した。新しい要件:すべての従業員のコンソールを利用しない管理者アクセスには多要素認証に対応すること※2018年1月31日まではベストプラクティス要件となり、それ以降は要件となる。サービスプロバイダのため新しい要件:重要なセキュリティコントロールシステムの失敗についてを検知し報告すること。※2018年1月31日まではベストプラクティス要件となり、それ以降は要件となる。サービスプロバイダのための新しい要件:セグメンテーション・コントロール、少なくとも半年ごとに侵入テストを実行すること。※2018年1月31日まではベストプラクティス要件となり、それ以降は要件となる。DSS準拠プログラムの責任を負うこと。サービスプロバイダの責任は、特定のサービスがどのような状態で提供されるかと、二社間の合意内容に依存する。サービスプロバイダのための新しい要件:担当者がセキュリティポリシーと操作手順に従っていることを確認するため、少なくとも四半期レビューをすること。※2018年1月31日まではベストプラクティス要件となり、それ以降は要件となる。DSS要件を再付番した。SSLと初期のTLSに関して新規追加要件:SSLと早期TLS削除に関して移行期限が組み込まれた。・新規実装にはセキュリティ管理としてSSLと早期TLSを使用してはいけない。・既存実装はSSLと早期TLSを使用を2018年6月30日までに完了してセキュアなサービスに移行する。(ただしPOS/POI端末を除く。最後の項目を参照)・2018年6月30日までは、SSLや早期TLSを使用する既存の実装は、正式なリスク低減と移行プランを持たなければならない。・SSLや早期TLSの既知の不正利用の影響を受けにくい状態であるPOS/POI端末は2018年6月30日以降もSSLや早期TLSを使用可能とする。SSLや早期TLSでトランザクションを処理するPOS/POI端末は以下のいずれかを実施する。・デバイスがSSLや早期TLSに対する既知の不正利用の影響を受けにくい状態であることを確認する。・正式なリスク低減と移行プランを立案する。SSLや早期TLSが既に実装されている組織(A2.1以外の)は、正式なリスク低減と移行プランを持たなければならない。移行計画の完了は2018年6月30日までとなる。全てのサービスプロバイダはセキュアなサービス(TLS1.2などの)を2016年6月30日までに開始する。(DESV)を新しいAppendix(付録)へ組み込んだ。この付録は、国際ブランドやアクワイアラから指定された組織のみが適用される。DSS準拠プログラムを導入する。DSSが日常業務活動に組み込まれていることを確認する。カード会員データ環境への論理アクセスを管理、コントロールする。不審な兆候を識別し、対応する。