2022年3月10日9:00

 

要件対応のための独自の手法を支援する
カスタマイズドアプローチを設定

続いて2つ目のゴールについて説明いたします。PCI SSCは、要件とは異なる独自の手法でセキュリティを達成する事業体・組織を支援するための柔軟性を追加すべきと考えてまいりました。バージョン4.0では、新しいテクノロジーや手法の使用を認めて評価してまいります。PCI DSSの基本的なフレームを維持しつつ、要件とは異なる対応を評価する新しいアプローチを導入し、DSS要件の目的を達成するための2つのオプションを用意します。

アプローチの1つはDefined(定義された)アプローチ、もう1つはCustomized(カスタマイズド-独自)アプローチです。これら2つのアプローチは要件単位で選択できますので、混合した使用も可能になっています。

Defined(定義された)アプローチは、DSSの実行と評価についての従来型の手法です。要件に沿った対応が実行され、評価者は定義されたテスト手順にしたがって評価を行います。DSSの要件通りに対応を装備している事業体、あるいは従来手法に沿って実施することを希望する事業体に有効です。また、新たにゼロからDSS対応、あるいは情報セキュリティに取り組む事業体にも適していると思います。

これに対してカスタマイズドアプローチは、DSS要件の目的にフォーカスします。要件に規定された目的に対応するための独自の対策を認めるものです。独自のアプローチですので、決められたテスト手順は存在しません。評価者は規定された目的が達成されていることを確認するために、独自にテスト手順を考案することが必要です。カスタマイズドアプローチにはより多くのレポート要件がありますので、リスクマネジメントにおいて成熟した事業体に向いていると考えています。

皆様にすでに馴染みのある「代替コントロール」という手法もあります。バージョン4.0でもこれが事業体の選択肢として維持されることになります。この代替コントロールはカスタマイズドアプローチの導入に合わせ、第2回のRFCでは廃止する方向で提案してまいりました。しかしフィードバックにより復活することになりました。バージョン4.0では評価される事業体が代替コントロールとカスタマイズドアプローチの両方を活用できます。

代替コントロールはあくまでビジネス上、あるいはテクニカルな事情により、要件対応ができない事業体が、リスクを緩和するために使う手法です。一方、カスタマイズドアプローチは、異なる手法でDSS要件の目的を達成する、ある意味で革新的、斬新な手法です。採用された対応がDSS要件の目的を達成しているかについて、文書化されたリスク管理プラクティスを持っていることが求められます。ROC(Report on Compliance)という詳細レポートの中で文書化され、これをQSAまたはISAと呼ばれる被監査企業側の内部セキュリティ評価者が完成させることになります。したがってカスタマイズドアプローチを採用する場合は、QSAまたはISAによる評価と、ROCの作成が必須になります。

バリデーション文書も大幅に改訂
信頼性・透明性の強化と共に作成者の負荷を軽減

次に3つ目のゴールについて説明いたします。継続的なプロセスとしてセキュリティを推進していくということです。これを実現するために、セキュリティを維持する手法についてのガイダンスを追加しています。要件ごとに、目的を明らかにするとともに、グッドプラクティス、事例紹介、参考情報などの項目を設けて丁寧な解説を行っています。また、各自の役割や責任について明文化する要件を追加しています。役割を与えられた責任者や担当者が、セキュリティ確保という課題に日常の職務の中でどのように取り組んでいくべきかについて解説しています。

4つ目のゴールは、バリデーションの手法と手続きの強化です。ひとつには、カスタマイズドアプローチに必要な情報をROCに取り込み、レポートの柔軟性と完全性を向上させてまいります。一方で自己診断に関しては、レポートと準拠証明書の簡素化と内容の明確化、透明性の向上など、診断の信頼性と理解の向上を目指します。

昨年6月の第3回RFCでは、バリデーション文書のドラフトを対象に意見を募りました。提示したドラフトの中には、ROCのテンプレートのほかに、MAF(Merchant Assessment Forms:加盟店自己診断書)、AOCが含まれていました。寄せられた1,300件近いフィードバックのうち48%がROCについてのもの、37%がMAFについて、15%がAOCについてでした。

カスタマイズドアプローチの導入によりROCがより広く、頻繁に使われることが想定されています。ROC作成の負荷軽減のためにコピー&ペーストがうまく活用できるとか、作成ガイドをドキュメントの中に設定するなどの工夫をしています。代替コントロールについてもAOCの中にワークシートを用意しています。これを使うことによってレポーティングが強化されていくと考えています。

ROCは資格を持つ評価者が作成しますが、一方でSAQに代わるMAFを活用した自己診断の方法についても検討してまいりました。加盟店の自己診断について、以前より現状のSAQの種類が非常に多くてわかりにくいという声がありました。結果的にチェックボックスにチェックを入れるだけで終わらせてしまったり、正しい評価ができなかったりする傾向がありました。このような課題に対応するために考案されたMAFですが、しかし第3回RFCで寄せられたフィードバックにより、MAFの導入は延期されバージョン4.0用のSAQをリリースし、ステークホルダーはSAQの利用を継続することとなりました。

またサービスプロバイダのSAQに関しては廃止し、ROCに一本化してはどうかという提案をいたしました。これについてもRFCで多くの意見が寄せられ、より詳細で複雑なレポーティングが必要なROCを完成させることは、特に比較的小規模なカード会社やサービスプロバイダにとっては大きな負担になるとの声が聞かれました。一方では、ROCに取り組むことで、SAQよりも信頼性の高い評価を実現できるという意見もありました。その結果、現在のSAQを改訂したサービスプロバイダ用のSAQがリリースされます。これにはテスト手順などを盛り込んで、使いやすさの向上を目指します。

新基準の日本語版は4月リリース目標
バージョン3.2.1から4.0への移行期間は2024年3月まで

このコンテンツは会員限定(有料)となっております。
「Paymentnavi Pro2021」の詳細はこちらのページからご覧下さい。

すでにユーザー登録をされている方はログインをしてください。

関連記事

ペイメントニュース最新情報

トッパンの決済ソリューションをご紹介(凸版印刷)
決済シーンにdelight(ワクワク感)を!PCI P2PE 認定国内実績 No.1の「確かな信頼」を提供します(ルミーズ)

国内最大級のクレジットカード情報データベース(アイティーナビ)

現金とキャッシュレスの売上をリアルタイムに確認可能なIoTプラットフォーム「IoT Cube」/Pay BOX(飛天ジャパン)

スマホ会員証でポイントサービス。今イチオシの「VALUE GATE」(トリニティ)

不正決済対策の本質と弊社のサービス提供スタンス(スクデット)

Spayd スマートフォン、タブレットがクレジット決済端末に!(ネットムーブ)

40ブランドに対応するキャッシュレス決済ゲートウェイ事業のほか、ハウスプリペイドやクラウドPOSなどのマーケティングソリューションを提供する情報プロセシングカンパニーです。(トランザクション・メディア・ネットワークス)

DNPキャッシュレス 決済プラットフォームをご紹介(大日本印刷)

決済業界において30年以上の歴史を誇るシステムベンダー。ブランドプリペイド/デビット、クレジットの基幹プラットフォームをはじめ、幅広いサービスラインナップを用意。(エクサ)
EMVCoや国際カードブランドから認定を受けた試験機関(テュフズードジャパン)

ネットビジネスを始めた方が選ぶ「おすすめしたい」決済代行サービス部門No.1。クレジットカード決済が初めての方も切り替えの方も、事業者様のニーズに合わせて最適な決済方法をご提案します。(ゼウス)

Global Payment Technology Solutions(インコム・ジャパン)

国内最大級の導入実績を誇る決済代行事業者(GMOペイメントゲートウェイ)

非対面業界唯一!!カード会社とダイレクト接続により、安心・安全・スピーディーで質の高い決済インフラサービスを提供。Eコマースの健全な発展に貢献する決済代行事業者(ソニーペイメントサービス)

QRコードを活用したパスワードレスの認証方式で不正アクセスを未然に防止 セキュリティ課題を解決する認証サービス「認証BANK QR Auth」(セイコーソリューションズ)
チャージバック保証、不正検知・認証システムなどクレジットカード不正対策ソリューションを提供(アクル)

カードシステムシェア70%の実績「NET+1」、不正検知システム国内導入実績NO,1「ACEPlus」(インテリジェントウェイブ)

PAGE TOP