システム監査技術者 2015年 午前2 問21
問題文
PCIデータセキュリティ基準（PCI DSS Version 3.0）のセキュリティ要件から見て、適切なものはどれか。
選択肢
ア：管理者のアクセスログは取得するが、プライバシを考慮して、一般利用者のアクセスログは取得しない。
イ：従業員によるネットワーク外部からのリモートアクセスを許可する場合、管理者以外の従業員は利用者IDとそのIDのパスワードだけの認証でよい。
ウ：伝送中及び保存中のパスワードは、暗号化して解読不能にする。（正解）
エ：利用されない利用者IDの削除及び無効化は、1年に1回まとめて行う。
🔒 解説は解答すると表示されます
PCI DSSの認証情報保護【午前2解説】
正解の理由
正しいのはウです。PCI DSS Version 3.0では、パスワードを伝送中および保存中に、強固な暗号化技術を用いて解読できない状態にすることが求められています。したがって、パスワードを暗号化して保護するという記述は適切です。
解法ステップ
- 各選択肢が、アクセスログ、リモートアクセス認証、パスワード保護、利用者IDの管理のどれに関する記述かを整理します。
- PCI DSSの基本的な要件と照らし合わせます。特に、ログの取得範囲、認証の強度、アカウントの無効化時期に注目します。
- パスワードを伝送中・保存中に解読できないよう保護する要件に合致するウを選びます。
選択肢別の誤答解説
- ア：誤りです。 管理者だけでなく、一般利用者によるカード会員データやシステムへのアクセスも、要件に応じてログに記録する必要があります。プライバシへの配慮を理由に、一般利用者のアクセスログを一律に取得しないという扱いにはできません。
- イ：誤りです。 ネットワーク外部からのリモートアクセスでは、利用者IDとパスワードだけでは不十分です。PCI DSS Version 3.0では、対象となるリモートアクセスに二要素認証を取り入れることが求められます。
- ウ：正しいです。 パスワードは、伝送中および保存中に、強固な暗号化技術を用いて解読できない状態にする必要があります。
- エ：誤りです。 利用されていないアカウントを年に1回だけまとめて無効化するのでは、対応が遅すぎます。PCI DSS Version 3.0では、非アクティブなアカウントを90日以内に削除または無効化することが求められます。
よくある誤解
- 管理者の操作だけを記録すればよいと考えがちです。一般利用者による対象データやシステムへのアクセスも、ログ管理の対象になります。
- リモートアクセスならIDとパスワードで十分と思いがちです。外部からの接続では、追加の認証要素が必要です。
- パスワードの保護は保存時だけでよいと誤解しがちです。保存中だけでなく、伝送中の保護も必要です。
補足コラム
PCI DSSは、カード会員データを保護するためのセキュリティ基準です。問題を解く際は、個別の文言だけでなく、認証情報の保護、アクセス管理、ログ監視といった要件の目的も合わせて押さえておくと、選択肢の誤りを見抜きやすくなります。
FAQ
Q. パスワードは、どのように保存すればよいですか？
A. 解読できない状態で保存する必要があります。PCI DSSの要件に沿った強固な暗号化技術を用いて保護します。
A. 解読できない状態で保存する必要があります。PCI DSSの要件に沿った強固な暗号化技術を用いて保護します。
Q. 二要素認証は、すべてのアクセスで必要ですか？
A. この問題で問われているのは、ネットワーク外部からのリモートアクセスに関する要件です。どのアクセスに適用されるかは、該当するPCI DSSの要件に基づいて判断します。
A. この問題で問われているのは、ネットワーク外部からのリモートアクセスに関する要件です。どのアクセスに適用されるかは、該当するPCI DSSの要件に基づいて判断します。
関連キーワード: PCI DSS、二要素認証、アクセスログ、パスワード保護、アカウント管理
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！