カード会員データをインターネット接続のサーバに保存してはならないカード会員データが含まれるデータは、DMZ環境と分離された内部ネットワークに保存する本要件のバージョン2.0における変更点は、軽微な用語の修正のみで、インパクトのある変更はない。本要件では、”データベースサーバ”や”Webサーバ”が要件に記載されており、決済Webアプリケーションが想定されている。同様にインターネットに直接接続する環境に配備される決済アプリケーションであれば、対応しなければならないと考えて良いだろう。インターネットに直接アクセス可能、もしくはインターネットから直接アクセスされる環境には、カード会員データは保管してはならない。ECサイトのような決済アプリケーションがDMZに実装されるのであれば、そのバックエンドとなるデータベースサーバは、同一ホスト上や、同一セグメント上に配置してはならず、必ずDMZとは厳密に分離された内部ネットワークに配置する必要がある。これは、不特定多数ユーザからのアクセスを受ける環境にカード会員データが保管されてしまっていると、ひとつのリスクが発生しただけで簡単に侵害を受けてしまうためである。決済アプリケーションがカード会員データを保管しないとしても、関連するサーバにそのような構成を要求する、といった事もあってはならない。決済アプリケーションに関連する部分でカード会員データを保存することがあるならば、内部ネットワークに保存すること、もしくはDMZと分離された内部ネットワークに保存することを阻害する構成とならないよう注意する必要がある。本要件は、PA-DSSバージョン1.2.1における要件10と要件11がマージされ、新しい要件10が構成されている。旧要件10がリモートからの決済アプリケーションの更新、旧要件11がリモートアクセス全般に関する要求事項であったため、うまく要件が統合されたといえる。ここで2つの要件が統合されたため、これより後の要件番号は1ずつずれることになる。本要件では、”リモートアクセス”という用語がつかわれるが、リモートアクセスの定義については用語集から引用すると、以下のようになっている。VPN.”========ネットワーク外部の拠点からのアクセスのことをリモートアクセスとしている。内部ネットワーク間の通信はリモートアクセスとみなされないため、インターネット環境や、信頼できないネットワークからのアクセスがないのであれば、要件10の多くの項目が対象外となる場合もあるだろう。要件10では、大きくわけて3つのポイントがある。それぞれ、以下に解説する。DSSでは、カード会員データが扱われる環境に対してリモートアクセスが行われる場合、ニ要素認証を使用することが要求される。決済アプリケーションは、このニ要素認証の実装に干渉してはならない。決済アプリケーションがインストールされていることが原因で、ニ要素認証が実装できない、といった事が発生しないようにする必要がある。“干渉しない事を証明する”というのは難しい。これは、例えば情報漏洩事故が発生した疑いがある時に、事故が発生したことを証明するのは簡単だが、発生していないことを証明するのは非常に難しいことであるのと同様だ。ひとつのやり方としては、”リモートアクセスを実装する場合は、このように実装すること”とひとつの具体例を挙げてしまう方法もあるだろう。■決済アプリケーション自体にリモートアクセス可能な場合、リモートアクセスを安全に実装する(10.2)決済アプリケーションに直接リモートからアクセスする場合は、そのリモートアクセス方法も安全に実装しなければならない。安全に実装する、というのはつまり、ニ要素認証を実装するということである。決済アプリケーションへのリモートアクセスでは、IDとパスワードに加えて、スマートカード、トークン、PIN等を使用してアクセスするための方法を実装しておく必要がある。■決済アプリケーションがリモートから更新される場合、その仕組みを安全に実装する必要がある(10.3)決済アプリケーションをリモートからバージョンアップする場合、バージョンアップを行う時間帯のみ、リモートアクセスの仕組みを有効にする必要がある。常時接続で接続された環境の場合は、ファイアウォール等でアクセス制御を行う必要がある。システムなどクレジットカード不正対策ソリューションを提供(アクル)設立25年以上の実績を誇る決済サービスプロバイダ。クレジットカード決済をはじめ、対面・非対面問わず豊富な決済手段を取り揃え、ニーズに合わせて最適な決済方法をご提案します。QRコードリーダーをOEM/ODMでご提供します。お客様に代わってセキュリティ認定も取得可能です。デジタルトランスフォーメーションやFintechへの取り組みを強力にご支援します。(エクサ)国内ICカードシェアNo.1(大日本印刷)シンクライアント型電子決済サービス(トランザクション・メディア・ネットワークス)「ハウス電子マネー/ギフトカードサービス」のニュース、導入事例のご紹介(富士通FIP)決済情報コラムを好評連載中!「コンビニ収納ペーパーレス決済(番号方式)のわずかな、でも大事な違い」(NTTインターネット)非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。無断転載・複製を固く禁じます。記載されているロゴや製品・システム名は各社および商標権者の登録商標・商標です。