情報セキュリティマネジメント 2017年 春期 午前（科目A） 問26
問題文
クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され、技術面及び運用面の要件を定めたものはどれか。
選択肢
ア：ISMS適合性評価制度
イ：PCI DSS（正解）
ウ：特定個人情報保護評価
エ：プライバシーマーク制度
🔒 解説は解答すると表示されます
PCI DSS【情報セキュリティマネジメント解説】
正解の理由
質問で求められているのは「クレジットカードなどのカード会員データの保護」を目的に、技術面と運用面の要件を定めた基準です。これは業界標準である PCI DSS（Payment Card Industry Data Security Standard：決済カード産業データセキュリティ基準）がまさに該当します。PCI DSS はカード会社（Visa、Mastercard 等）が出資する組織が策定した基準で、カード情報（カード会員データ）を安全に取り扱うための具体的な技術要件（ネットワーク設定・暗号化・脆弱性スキャン等）と運用要件（アクセス管理・ログ管理・セキュリティ方針等）を明確に定めています。したがって選択肢の中では イ が正解です。
解法ステップ
- 問題文のキーワードを探す：「カード会員データ」「技術面及び運用面の要件」など。
- キーワードに合う規格を思い浮かべる：カード情報を対象にしたものは PCI DSS。
- 他の選択肢と比較して範囲を絞る：ISMS やプライバシーマークは広く個人情報や組織全体の管理が対象で、PCI DSS のように決済カードに特化して技術＋運用の詳細を定めるものではない。
- 最も該当するものを選ぶ：イ（PCI DSS）。
選択肢別の誤答解説
- ア: ISMS適合性評価制度
- ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は組織全体の情報セキュリティ管理体制を評価・認証する制度（ISO/IEC 27001 等）。広範な管理の仕組みを扱いますが、決済カード特有の細かい技術要件や運用手順を規定するものではありません。
- イ: PCI DSS
- PCI DSS（Payment Card Industry Data Security Standard：決済カード産業データセキュリティ基準）はカード会員データを保護するための業界標準です。技術面（例：ネットワークの分離・暗号化・脆弱性スキャン）と運用面（例：アクセス制御・ログ監視・セキュリティ方針）双方の要件を具体的に定めます。よって正解です。
- ウ: 特定個人情報保護評価
- 「特定個人情報」は日本のマイナンバー（個人番号）に関する用語で、保護評価はその取扱いに関する影響評価や手続きに関するものです。決済カード全般の技術／運用基準ではありません。
- エ: プライバシーマーク制度
- プライバシーマーク（Privacy Mark）は事業者が個人情報を適切に取り扱っていることを示す認証制度で、個人情報保護体制の整備が主眼です。個々の決済カード技術要件（例：カード番号の保存方法や通信の保護）を詳細に規定するものではありません。
よくある誤解
- PCI DSS は「法律」だと思う誤解
- 実際は業界標準で、法律ではありません。ただしカードブランドや加盟店契約により遵守が事実上求められ、違反すると罰金や取引停止などの実務上の不利益があります。
- ISMS や プライバシーマーク を取れば PCI DSS 対応済みと考える誤解
- これらは管理体制の評価であり、PCI DSS の細かな技術要件や運用細則まではカバーしないため、別途確認や対策が必要です。
- 「外部の決済代行を使えば自社は無関係」という誤解
- 決済代行（PSP）を使うと自社の PCI 範囲（スコープ）は小さくなる場合がありますが、契約や実装次第で自社にも最低限の対応や確認義務が残ることがあります。契約先の準拠証明を要求しましょう。
補足コラム
PCI DSS の構成は「12の要件」としてまとめられており、主な項目は次のとおりです（代表例）。
- ネットワークの安全な構築（ファイアウォール設定等）
- カード会員データの保護（保存・転送時の暗号化等）
- 脆弱性管理（パッチ適用、脆弱性スキャン）
- 強力なアクセス制御（業務上必要な権限のみ付与）
- ログの監視とテスト（アクセスログや侵入検知の確認）
- 情報セキュリティポリシーの維持運用
実務では、加盟店や事業者は PCI DSS の準拠証明（自己診断の SAQ：Self-Assessment Questionnaire や外部監査による ROC：Report on Compliance、ASV による脆弱性スキャンなど）を求められます。クラウドや決済代行を利用する場合は「範囲（スコープ）の縮小」と「委託先の準拠確認」をセットで対応してください。
職場でのイメージ：社内でカード決済の仕組みを導入する際、技術チームはシステム構成や暗号化を整え、管理部門はアクセス権やログ保管のルールを作り、経営側はカードブランドやアクワイアラー（決済処理会社）へ準拠状況の報告・証明を行う、といった役割分担になります。
FAQ
Q1: PCI DSS に従わないと罰則はありますか？
A1: 直接の法律罰ではありませんが、カードブランドや決済会社の契約違反として罰金、取引停止、補償請求などの実務上の不利益が生じます。
A1: 直接の法律罰ではありませんが、カードブランドや決済会社の契約違反として罰金、取引停止、補償請求などの実務上の不利益が生じます。
Q2: 小さい店でも適用されますか？
A2: カード決済を扱う事業者は原則として適用範囲になります。規模や扱い方によっては自己診断（SAQ）で済む場合や、決済代行を使ってスコープが小さくなる場合があります。まずは加盟するカード会社や決済代行業者に確認してください。
A2: カード決済を扱う事業者は原則として適用範囲になります。規模や扱い方によっては自己診断（SAQ）で済む場合や、決済代行を使ってスコープが小さくなる場合があります。まずは加盟するカード会社や決済代行業者に確認してください。
Q3: 既に ISMS や プライバシーマーク を取得しています。PCI 対応は不要ですか？
A3: 異なる基準なので不要にはなりません。ISMS やプライバシーマークは有用ですが、PCI DSS の技術的要件やログ要件など、追加で対策すべき点があります。
A3: 異なる基準なので不要にはなりません。ISMS やプライバシーマークは有用ですが、PCI DSS の技術的要件やログ要件など、追加で対策すべき点があります。
関連キーワード: カード会員データ, 決済カード保護, PCI SSC, SAQ, ASV, トークン化, スコープ管理, 脆弱性スキャン
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！