解説

PCI データセキュリティ基準 (PCI DSS Version 2.0) の要件のうち、詳細要件の選択肢として WAF の導入を含むものはどれか【午前2 解説】

要点まとめ

• 結論：WAF（Webアプリケーションファイアウォール）の導入は「要件6：安全性の高いシステムとアプリケーションを開発し、保守すること」に該当します。
• 根拠：要件6はアプリケーションの脆弱性対策を含み、WAFはアプリケーション層の攻撃防御に有効な手段だからです。
• 差がつくポイント：ファイアウォールはネットワーク層の防御、WAFはアプリケーション層の防御と役割が異なるため、要件1と要件6の区別が重要です。

正解の理由

よくある誤解

解法ステップ

1. PCI DSSの各要件の概要を把握する。
2. 要件1はネットワークファイアウォールの設置・管理に関するものと理解する。
3. 要件3は保存データの保護、要件7はアクセス制御に関する内容と認識する。
4. 要件6はシステム・アプリケーションの安全な開発と保守であり、脆弱性対策が含まれる。
5. WAFはアプリケーション層の防御機器であるため、要件6に該当すると判断する。

選択肢別の誤答解説

• ア: 要件1はネットワークファイアウォールの設置・管理が対象であり、WAFのようなアプリケーション層の防御は含まれません。
• イ: 要件3はカード会員データの保存時の保護に関するもので、WAFの導入とは直接関係ありません。
• ウ: 要件6は安全なシステム・アプリケーションの開発・保守であり、WAF導入はここに該当します。
• エ: 要件7はアクセス制御の範囲設定に関するもので、WAFの導入とは異なる内容です。

補足コラム

FAQ