第3回 PCI DSS v1.2で注目すべき4つの変更点

川島　祐樹
NTTデータ・セキュリティ株式会社
コンサルティング本部　PCI推進室
CISSP
2008/11/21

---

　ポイントその2：アンチウイルスソフトウェアの対象範囲が拡大

　アンチウイルスソフトウェアの導入対象が拡大されました。まずは1.1と1.2の要件をご覧ください。

◆バージョン1.1 5.1　ウイルスの影響を受けやすいすべてのシステム（特にPCとサーバ）には、アンチウイルスソフトウェアを導入する 注：ウイルスの影響を受けやすいシステムには、一般的にはUNIXベースのオペレーティングシステムやメインフレームは含まない。 ◆バージョン1.2 5.1　悪意あるソフトウェアによる影響を受けるすべてのシステム（特にPCとサーバ）には、アンチウイルスソフトウェアを導入する。

　バージョン1.1では、UNIXベースのOS、メインフレームなどを含まないと示されており、主たる対象はWindowsだったわけですが、バージョン1.2ではUNIXベースのOSやメインフレームの除外を示す文は削除され、「すべてのOS」が対象と記載されました。アンチウイルスソフトウェアが存在しない場合は別途検討する必要がありますが、UNIX系OSであろうとメインフレームであろうと、適用することができるアンチウイルスソフトウェアが存在するのであれば、導入する必要があります。実環境でどの機器が対象になるかは、QSAと相談して決定することになるでしょう。

　ポイントその3：パッチの適用期限が柔軟に

　パッチの適用については、要件6.1に記載されており、バージョン1.1では1カ月以内のパッチ適用が求められており、その期限の短さには「そこまでするべきなのか」という意見もよく聞こえていました。

　バージョン1.2では、基本的には1カ月に1回という考え方は変わっていないものの、必ずしも1カ月という短い期間で最新パッチを適用しなくてもよいことを分析し、決定することができる柔軟性、つまりリスクベースアプローチの考え方が追加されました。この考え方は、バージョン1.2、要件6.1の注釈部分に見られます。

◆バージョン1.2 6.1　注： 組織は、パッチのインストールに関する優先順位について、リスクベースのアプローチを適用させることを考慮する必要がある。例えば、危険度によりインフラ（例えば、公衆に面しているデバイスやシステム、データベース）に優先順位を付け、優先順位が高いシステムとデバイスは1カ月以内に、危険度が低いデバイスとシステムは3カ月以内と保証しなくてはならない

　単純に、「バージョン1.1では1カ月以内の適用が求められていたが、バージョン1.2ではそうではなくなった」というわけではないことにご注意ください。パッチは適用しなければなりませんし、1カ月以内でなくとも構わないとはいえ、やはり期限は決まっており、少なくとも3カ月以内には適用しなければなりません。また、この期限を決定するためにはリスク分析が必須であり、当該サーバのパッチ適用期間を決定したのであればなぜその期間になったのかの理由や、経営陣の承認も必要となります。

2/3

Index
PCI DSS v1.2で注目すべき4つの変更点
	Page1 基本的な考え方は変わらない バージョン1.2 の変更点のポイント ポイントその1：WEPの禁止
	Page2 ポイントその2：アンチウイルスソフトウェアの対象範囲が拡大 ポイントその3：パッチの適用期限が柔軟に
	Page3 ポイントその4：ペネトレーションテストの対象が明確化 「その要件はなぜ必要？」を考えよう

オール・ザッツ・PCI DSS 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）