「PCI-DSSって最近よく聞くんだけど、いったい何のことなの?」と思っている方。利用者がますます増えるとともに、流通額も増えていくこれからのEC業界においては、犯罪者目線でいえば不正アクセスの価値も高まります。そのため、セキュリティの観点では、「PCI-DSS」は避けて通れないトピックです。PCI-DSSはセキュリティを守るときのガイドラインであり、これを守れば不正アクセスや情報漏えいからECサイトを守る可能性が高まります。いえ、横文字も多く、難しくてわかりにくいですよね。DSS準拠支援サービスメニューについてTISが「金融業界向けAWS運用テンプレート」の提供を開始PCI-DSSのバージョンと主な変更点の順にPCI-DSSについてお伝えします。PCI-DSSという言葉だけ見ると難しく感じますが、実は理解するのに必要な要素は多くありません。この記事で大まかな概要からおさえていきましょう!そもそも「PCI-DSS」とはPCI-DSSを一言で言うならば「クレジットカード業界のセキュリティ基準」です。以前まではクレジットカード会社ごとに独自のセキュリティプログラムがありました。今や一つのお店で複数のクレジットカードが使えるのは当たり前ですよね。なると、お店はクレジットカード会社ごとに別々のセキュリティ対策をする必要があり、負担が大きかったのです。ECサイトをはじめとしたインターネット上での商取引において、クレジットカード情報の漏えいはすぐにでも解決すべき課題でした。そこで登場したのが「PCI-DSS」です。クレジットカード会社が手を組んで、世界で統一されたセキュリティ対策をすることになりました。いう方に向けて記事を書きました。企業のブランディングにつながる不正アクセスからユーザー情報を守るECサイトの改ざん・悪用も防ぐというメリットがあります。デメリットとしては、これまでより運用の負担が増えることがあります。いえ、お客さまの情報が漏れてしまうことに比べると、コストは少ないと言えるはずですよね。PCI-DSSには「6個の目標・12個の要件」があるPCI-DSSには6個の目標と12個の要件があります。保存されるカード会員データを保護するオープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する【目標3:脆弱性管理プログラムの整備】マルウェアにしてすべてのシステムを保護し、ウィルス対策ソフトウェアを定期的に更新する安全性の高いシステムとアプリケーションを開発し、保守する【目標4:強力なアクセス制御手法の導入】カード会員データへのアクセスを、業務上必要な範囲内に制限するシステムコンポーネントへのアクセスを識別・認証するカード会員データへの物理アクセスを制限する【目標5:ネットワークの定期的な監視およびテスト】ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視するセキュリティシステムおよびプロセスを定期的にテストする【目標6:情報セキュリティポリシーの整備】すべての担当者の情報セキュリティに対応するポリシーを整備するです。2017年3月に「クレジット取引セキュリティ対策協議会」が発表した「実行計画2017」によればEC事業者はカード情報の非保持化PCI-DSS準拠のいずれかを2018年3月までにする必要があります。そのため、いまPCI-DSSは注目されている基準なのです。実務者セミナー」など、PCI-DSSを理解するための講座が開かれています。セミナーは定期的に開かれているので、気になる方は日本カード情報セキュリティ協会HPをチェックしてみてください。次は、PCI-DSSに対応する具体的な方法をみていきましょう!PCI-DSSに対応する3つの方法PCI-DSSに対応する方法は以下の3つです。自己問診それぞれ詳しくみていきますね。Assessor)と呼ばれる審査機関から認証してもらいます。具体的にどんな機関があるのかはPCI国際協議会サイトのQSA一覧からチェックしてみてください。カードを発行する会社など、大量の情報を扱う事業者に求められている方法です。サイトスキャンECサイト運営者は必ずやっておきたいのが、サイトスキャンと呼ばれる方法です。スキャンツールを使ってWEBサイトのセキュリティを、四半期に1回以上チェックして、サイトセキュリティを定期的に認証してもらいます。具体的な機関はPCI国際協議会サイトのASVの一覧に掲示されています。街のお店など、一般的な加盟店は自己問診によって認証を得ます。具体的にはPCI-DSSの要求事項に基づいたチェック項目に回答、全てに「Yes」と回答できれば準拠していると認められます。Ver1.0では、専門用語が多すぎて理解するのが難しい内容でした。それ以降は専門的な用語がわかる事業者とそうでない事業者で分け、全ての事業者がPCI-DSSを理解できるように作られています。LIBRARYからダウンロードすることが可能です。2017年11月現在の最新版はver3.2ですね。自己問診の3つを紹介しました。扱う情報の量によって対応する方法が異なるように見えますが、場合によっては複数の方法を行う必要もあります。全て自社で対応してノウハウをためるのも1つの手段ですが、外注したほうがスムーズに勧められるでしょう。PCI-DSSの認定取得に向けた対策の流れでは、PCI-DSSの認定取得に向けた対策方法の流れについて詳しく説明していきます。1.事前準備まずはPCI-DSSの認定取得に向けた事前準備として、自社が展開しているサービスやシステムを踏まえ、PCI-DSSに準拠する必要のある範囲を確認しておきましょう。事前準備が整ったら、PCI-DSSが要求している事項と、減税のセキュリティ状況との間にあるギャップを分析していきます。この分析結果に基づき、ギャップを改善するための計画を立てます。次に、ギャップ分析をした結果に基づいて出された改善策を実行していきます。プロセスやポリシーの文書化や、必要であればそれに応じたシステムの再設計・実装を行っていきます。4.テストを実施する最後に、システムスキャンやセキュリティチェックテストを実施し、テストの結果に応じたシステムの改修を行っていきます。DSS認定審査に向けた準備や調整をしていきます。DSSに準拠する必要があるのはクレジットカード会社だけではありません。DSSに準拠しなければいけません。DSSに準拠する必要があるのです。最低100万円以上程度の費用がかかります。DSSを取得するとなると、莫大な費用と1年程度の長い時間が必要になり、非効率的であることが分かります。DSSの準拠を支援してくれるサービスを活用することをおすすめします。DSS準拠支援サービス」を利用しようTISというのは、日本国内だけではなく海外の金融・製造・サービス・公共などにおいて、多くの人のビジネスをサポートするITサービスを提供している会社です。DSS準拠支援サービス」を提供しています。DSS準拠支援サービスのメニューを紹介します。DSS準拠支援コンサルティング」です。ルール順守のための体制構築・運用の定着までを全面的にサポートしてくれるというものです。ASVスキャンサービス」です。DSSでは、多角的なセキュリティ診断の実施が不可欠です。DSSで要求される全てのセキュリティ診断に対応しているサービスメニューを準備しています。DSSの12要件に合ったソリューションサービスが用意されています。DSS準拠支援サービスを利用することで、コンサルティングから運用まで全てを通してのサポートを受けることができるようになっています。TISが「金融業界向けAWS運用テンプレート」の提供を開始2018年2月19日にTIS株式会社より、AWSを本格的に利用し大規模な展開を支援するための「金融業界向けAWS運用テンプレート」の提供するという発表がありました。10万人以上と、多くの人から利用されているサービスです。現在AWSでは100以上のサービスを展開していて、企業で必要とされるITリソースを余すことなく取り入れています。TISが提供する「金融業界向けAWS運用テンプレート」の特長について「金融業界向けAWS運用テンプレート」は、TISがAWSのパートナーネットワークプレミアコンサルティングパートナーとして100件以上の導入実績から得た知識やノウハウを元にして作ったテンプレートのことです。DSS対応など、金融業界のAWEへの移行がスムーズに行えるようになります。2つがあるので、1つずつ詳しく説明していきます。クラウド利用ガイドライン「クラウド利用ガイドライン」では、クラウドを利用する際の「運用ガイドライン」「セキュリティガイドライン」といったガイドラインテンプレートを提供しています。DSSのセキュリティ基準に準拠したテンプレートがあります。活用することにより、金融業界に最適な裏独活運用環境を、低価格・短納期で提供することが出来るようになっています。PCI-DSSのバージョンと主な変更点を紹介PCI-DSSは定期的にバージョンアップされています。そのため、ver2.0(v2.0):新しく情報を追加、今までの情報を明確化ver3.0(v3.0):カード情報についての業務を委託するさいの管理方法を追記ver3.1(v3.1):文章の誤りを修正、読みやすくしたver3.2(v3.2):要件の趣旨を明確化・追加のガイダンス・基準を新種の脅威や市場の変化に応じた最新の状態にするための変更が行われた。日本語版」も公開されたというように日々アップデートが繰り返され、より使いやすくなるように進化しています。LIBRARYから定期的にチェックする必要がありそうです。https://www.pcisecuritystandards.org/document_libraryPCI-DSSに準拠した、安全なECサイトを構築しようPCI-DSSについて、大まかな概要を紹介しました。まとめると、そもそもPCI-DSSとは「クレジットカード業界のセキュリティ基準」でした。クレジットカード会社が手を組んで、世界で統一されたセキュリティ対策を作ろうとしたのがはじまりです。PCI-DSSを守るメリットは企業のブランディングにつながる不正アクセスからユーザー情報を守るECサイトの改ざん・悪用も防ぐで、デメリットとしては運用の負担が増えることでした。【目標6:情報セキュリティポリシーの整備】でしたね。自己問診の3つを紹介しました。DSSに準拠しようとすると、審査や導入コスト、ランニングコストなど、非常にハードルが高いものになります。DSSに準拠している決済代行サービス会社のサービスを利用する方がコストも労力も軽減します。ECでは、トークン決済が可能になる「セキュリティ強化パッケージ」をご提案しています。ゴウ大手Sierや、ECコンサルティング会社での経験を活かし、ファッションや食品などの各種商品ジャンルから、バックオフィス、ITインフラ系まで幅広く執筆が可能。webライティングの講師や、メディアコンサルティング、採用系メディアの編集長なども請け負っている。