情報セキュリティマネジメント 2019年 春期 午前（科目A） 問14

カードセキュリティコードの保管禁止【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「カードセキュリティコード」が何かを確認する（3桁/4桁の認証コード＝SADに該当）。
2. PCI DSSでSADに関してどう定められているかを思い出す（承認後は保存禁止、暗号化しても不可）。
3. 選択肢を見て、加盟店とサービスプロバイダの両方で「保管しない」を示すものを選ぶ（これが エ）。

選択肢別の誤答解説

• ア（暗号化して加盟店内に保管／暗号化してサービスプロバイダに保管）
  誤り。カードセキュリティコードは「承認後に保存してはならない」ため、暗号化していても保存は不可です。暗号化は主にPANなど保存が許されるデータの保護に使われますが、SADには適用できません。
• イ（平文で加盟店内に保管／保管しない）
  誤り。平文保存はもちろん違反です。加盟店側で保管しないのが正しいため、左側が誤りです。
• ウ（保管しない／平文でサービスプロバイダのシステム内に保管）
  誤り。サービスプロバイダ側でも保存は不可です。サービスプロバイダが平文で保管するのはPCI DSS違反になります。
• エ（保管しない／保管しない）
  正しい。加盟店・サービスプロバイダのいずれも、取引承認後にカードセキュリティコードを保存してはなりません。よって エ が正答です。

よくある誤解

• 暗号化すれば保存してよい：誤り。SAD（カードセキュリティコード等）は承認後の保存自体が禁止され、暗号化して保存しても許されません。暗号化はSAD以外（たとえばPAN）を保護するための手段です。
• 一時的なメモリ（RAM）でもダメ？：承認処理のために一時的にメモリ上で扱うことは許容される場合がありますが、永続的なストレージ（データベース・ログ・ファイル）には保存してはいけません。処理後は確実にメモリをクリアする運用が必要です。
• サービスプロバイダなら例外がある：例外はありません。サービスプロバイダもPCI DSSの適用対象となり、SADの保存は不可です。

補足コラム

• 支払フォームではカードセキュリティコードを入力させても、サーバ側で受け取ってすぐに決済ゲートウェイへ送信し、処理が終わったらコードは一切保存・ログ化しないようにします。フォームのログやエラーログに残らないことを必ず確認します。
• 定期課金やカード情報を保管しておきたい場合は、カード会社や決済代行業者が発行する「トークン」（実際のカードデータと置き換える一意の識別子）を使い、SADは保持しない設計にします。これを「トークン化」と呼びます。
• 運用面では、決済処理フローを可視化して、どのシステム・人がカード情報に触れるかを明確にし、不要な保存やログ出力を禁止する規程と監査証跡を整えます。

FAQ