情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問27

カード会員データ保護基準【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを見つける：今回は「クレジットカード」「カード会員データ」「技術面及び運用面の要件」。
2. 各選択肢の目的を簡単に当てはめる：
   • カード会員データに特化した基準かどうかを確認する。
3. カード情報に特化した国際的な標準があればそれを選ぶ。ここでは PCI DSS が該当する。

選択肢別の誤答解説

• ア: ISMS適合性評価制度
  ISMSは Information Security Management System（情報セキュリティマネジメントシステム）の略で、組織全体の情報セキュリティ管理体系を評価・認証する制度です。汎用的な枠組みでありカード会員データに特化した技術的要件までは定めません。したがって設問の趣旨と一致しません。
• イ: PCI DSS
  正解です。カード会員データに特化した技術面・運用面の詳細な要件を定めます。
• ウ: 特定個人情報保護評価
  「特定個人情報」は主にマイナンバー（個人番号）などを指します。特定個人情報保護評価はその取り扱いに関する評価であり、カード会員データ全般の技術・運用要件を定めるものではありません。
• エ: プライバシーマーク制度
  プライバシーマーク制度は事業者が個人情報（顧客情報など）を適切に扱っているかを示す制度で、個人情報保護の取り組みの有無や組織運用を評価します。カード会員データのための技術的な詳細要件（例：カード番号の暗号化やログ管理の具体基準）は PCI DSS に比べて明確ではありません。

よくある誤解

• PCI DSSは「ただの技術基準」だと思う誤解。
  実際には技術的対策だけでなく、運用面（ポリシー、教育、監査、インシデント対応）も含みます。
• プライバシーマークやISMSと混同する誤解。
  どちらも情報保護に関係しますが、プライバシーマークは主に個人情報保護のための組織運用を示すマーク、ISMSは組織の管理体系の認証で、カード専用の細かい技術要件は PCI DSS が規定します。
• 「法律」で規定されたものと考える誤解。
  PCI DSS自体は法令ではなく、カードブランドや加盟店契約（カード会社・決済代行会社との契約）により準拠が求められます。つまり契約や業界ルールとして実効力があります。

補足コラム

• 自社でクレジットカード決済を扱う場合、決済の仕組み（POS端末、ECサイトの決済フォーム、カード番号の保管など）がPCI DSSの対象になります。
• 対策の実例：カード番号を自社で保管しない（トークン化や決済代行業者の利用）、決済処理システムを分離したネットワークに置く、定期的な脆弱性スキャンやログの監視を行う、従業員にカード情報の取り扱い教育を行う。
• 外部に委託する場合は、決済代行事業者（PSP：Payment Service Provider）などがPCI DSS準拠かどうか（証明書やレポート）を確認するのが実務的です。これにより自社の負担を減らせます。

• PCI DSS（Payment Card Industry Data Security Standard：クレジットカード会員データ保護基準）
• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）
• PSP（Payment Service Provider：決済代行事業者）
• SAQ（Self-Assessment Questionnaire：自己診断票）・QSA（Qualified Security Assessor：認定評価者）
  これらはPCI DSSの準拠を確認するために使われます。簡単に言えば、自己チェック票（SAQ）や外部評価者（QSA）による評価で準拠状況を示します。

FAQ