＠IT セキュリティソリューション Live! in Tokyoレポート
PCI DSSは“北極星”に向かうためのツールだ！
宮田 健
＠IT編集部
2010/3/26
日本におけるPCI DSSの現状、世界における課題
PCI DSSの現状を押さえておこう。VISAによるグローバルのPCI DSS準拠プログラムにおいて、年間取引量が600万件を超えるレベル1加盟店の準拠期限が2010年9月末と設定されている。
| 【関連記事】 VISAがPCI DSS順守に期限を設定（＠IT NewsInsight） http://www.atmarkit.co.jp/news/200811/14/pcidss.html |
国内のPCI DSS準拠企業は現在のところ40社程度で、ほとんどの加盟店は「ギャップ分析」を行っている段階だ。日本では法整備の動きもあり、改正割賦販売法が2009年12月に施行された。この中で、認定割賦販売協会として「日本クレジット協会」が認定されており、同協会においてクレジットカード番号の管理などの条文を決める際に、PCI DSSの要件が引用される可能性も十分あると考えられる。
| 【関連記事】 クレジット情報を守る「日本カード情報セキュリティ協議会」発足（＠IT NewsInsight） http://www.atmarkit.co.jp/news/200904/21/jcdsc.html |
アメリカでは一足先に準拠期限を迎えている。レベル1加盟店の準拠期限（2007年10月）の時点では、対象企業のうち約65％が準拠しており、その割合は徐々に上がっていることが分かる。VISAはこの準拠期限を2006年12月に発表したが、同時にPCI CAP（PCI Compliance Acceleration Program）と呼ばれるインセンティブプログラムを発行、準拠した企業には最大2000万ドルのインセンティブが与えられた。
 |
| 図1 アメリカにおける準拠期限時の状況（クリックで拡大します） |
ときを同じくして、TJXによる大規模なクレジットカード情報漏えい事件が発覚し、加盟店と国際クレジットカードブランドは情報漏えいによる多大な金銭的ダメージを目の当たりにした。アメリカにおけるPCI DSSは、この「インセンティブプログラム」と「情報漏えい事件」の2つが後押しとなっていたという。
日本での状況はどうだろうか。グローバルでもインセンティブプログラムが用意されているものの、2008年9月のリーマンショックによる経済的な悪影響もあり、条件は悪いといえる。そのため、期限を迎えるタイミングでは、日本はアメリカほどは準拠率があがらないのではないかと考えられる。
カード利用状況の違いも影響要因の1つだ。アメリカではリボルビング払いや多回数払い、カードローンの利用が多いが、日本では一括支払いが利用されることが多い。日本では加盟店の方がカードブランドよりも大きな影響力があることで、加盟店のPCI DSS非準拠に対する罰金をアメリカと同じような仕組みでできるのか、という懸念があるという。現状ではこのような課題があるものの、日本でも業界大手に習う形で「他社の動向を見ながら」、徐々に加盟店が準拠の動きを見せている。
普及するためのキーとなるのは、やはり「加盟店にとってのメリット」を明確に打ち出せるかだろう、と矢野氏は述べる。例えばPCI DSS準拠により、一般消費者が「この加盟店／カードブランドは“信頼できる”」と判断できるように、準拠マークを制定するのも1つの方法だ。これはPonemon Instituteが発行するレポートでも提言されており、PCI SSCがなんらかの準拠マークを作るべきだとしている。
品質のばらつきをどう是正するのか
PCI DSSはどの程度信頼できるのだろうか。Verizon Businessが発行した「2009 Data Breach Investigations Report」によると、情報漏えい事件を起こした企業のセキュリティ対策状況をPCI DSSに沿って調査したところ、「事故後の調査でPCI DSS要件3を満たしていた（準拠）企業は11％だけ。要件10に至っては5％」という評価を発表している。そしてPonemon Instituteの「PCI Compliance Cost Analysis: A Justified Expense」では、「セキュリティ事故が発生したときのコストは、PCI DSS準拠に必要なコストの軽く20倍になる」という評価も発表されている。
 |
| 図2 PCI DSS有効性評価（クリックで拡大します） |
しかし、残念ながら問題となる「事件」も発生している。PCI DSS準拠と認定されていた加盟店、サービスプロバイダからの情報漏えいがいくつか発生した。特に2005年に発生した、CardSystem Solutionsの4000万件にも及ぶカード情報流出事件では、PCI DSSの認証を行ったQSAを訴える事態にまで発展した。この問題はQSA自体の「品質のばらつき」が根本の問題であり、審査の甘いQSAが存在することで、PCI DSSへの効果が疑問視されるようになってしまった。PCI SSCはこの問題に対して、QSAに対する品質保証プログラムを実行し、事態の収拾を図った。
| 【関連記事】 「大量クレジットカード情報漏えい」CardSystems相手に集団訴訟 http://www.itmedia.co.jp/enterprise/articles/0506/29/news018.html |
QSA品質のばらつきの是正、日本においてこの作業を行うのはJCDSCだ。QSA部会が活動を行うのは、そこに理由がある。
 |
2/3 |
 |
| Index | |
| PCI DSSは“北極星”に向かうためのツールだ！ | |
| Page1 日本のPCI DSSを創る「日本カード情報セキュリティ協議会」 そもそもPCI DSSとは |
|
 |
Page2 日本におけるPCI DSSの現状、世界における課題 品質のばらつきをどう是正するのか |
| Page3 PCI DSSとは北極星に向かうための「北斗七星」 |
|
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
