ITパスポート 2022年 問55

情報セキュリティにおけるPCI DSSの説明として、適切なものはどれか。【ITパスポート 解説】

正解の理由

• 「何を対象にしているか」 → クレジットカード情報（カード番号など）
• 「何を定めているか」 → その情報を守るための具体的なセキュリティ基準（暗号化、アクセス制御、ログ管理など）

解法ステップ

1. 問題文で注目する語句を探す：ここでは「PCI DSS」と「クレジットカード情報」をキーにする。
2. PCI DSSの意味を思い出す：Payment Card Industry Data Security Standard の略で、カード情報保護のための基準。
3. 各選択肢と照らし合わせる：
   • 「セキュリティ基準」→ PCI DSS に合致（選択肢ア）。
   • 他はチップや組織、検知システムなど別の概念であることを確認して除外する。
4. 結果：選択肢アが最も適切。

選択肢別の誤答解説

• ア（正解）
  • PCI DSS はカード情報を扱う企業やサービスプロバイダに適用される実務的な基準です。暗号化やアクセス制御、脆弱性管理、ログ監視など具体的な要件が定められています。
• イ（誤り）
  • これは「セキュリティ関連の処理を行う半導体チップ」の説明です。代表例は TPM（Trusted Platform Module：信頼できるプラットフォームを作るためのチップ）です。PCI DSS ではない。
• ウ（誤り）
  • これは CSIRT（Computer Security Incident Response Team：コンピュータやネットワークのセキュリティ事故に対応する組織）の説明です。CSIRT は組織内外の対応チームであり、基準そのものではありません。
• エ（誤り）
  • これは IDS/IPS（Intrusion Detection System/Intrusion Prevention System：侵入検知・防御システム）の説明です。監視・検知の機能を指しますが、PCI DSS は「何を守るか・どんな対策を講じるか」を定める基準で、システムそのものではありません。

よくある誤解

1. 「PCI DSS を満たせば絶対安全」
   • 誤解です。PCI DSS は安全のための最低限の基準や手順です。準拠していても設計ミスや運用ミスがあれば事故は起こり得ます。準拠は出発点と考えるべきです。
2. 「カード情報を扱うのは店舗だけ」
   • 誤解です。カード番号を保存・送信・処理するクラウドサービスや外部の決済代行業者も対象です。範囲は広く、第三者委託先も考慮が必要です。
3. 「技術だけの話」
   • 誤解です。組織的なポリシーや従業員教育、手順（ログ管理やアクセス権管理など）も要件に含まれます。

補足コラム

• 管理主体：PCI SSC（Payment Card Industry Security Standards Council）が基準を策定。カードブランド（Visa、Mastercard等）によって運用・適用されます。
• 主な要求事項（簡易まとめ）：
  1. 安全なネットワークの構築（例：不要なサービスの遮断、ファイアウォール設定）
  2. カード会員データの保護（例：保存の最小化、暗号化やトークン化）
  3. 脆弱性管理（例：ウイルス対策、定期的な脆弱性スキャン）
  4. 強固なアクセス制御（例：業務上必要な人だけに権限を与える）
  5. ネットワークの監視とテスト（例：ログの保存、侵入検知）
  6. 情報セキュリティ方針の維持（例：運用ルールや教育）
• 評価方法：自己診断（SAQ：Self-Assessment Questionnaire）や外部監査（ROC：Report on Compliance）などがあり、事業規模や取扱量で要求されるものが変わります。

FAQ